אנשים רבים לא מבינים את העובדה שביג דאטה ומדע הנתונים הולכים יד ביד, במיוחד באבטחת סייבר. לפני 15 שנה, נוף אבטחת הסייבר היה שונה במידה ניכרת ממה שהוא עכשיו. אז, זנים חדשים של תוכנות זדוניות היו נדירים והכמות הייתה נמוכה וניתנת לניהול. אפילו לפני עשר שנים, כאשר החלו להתעורר שחקנים מתוחכמים יותר בזירה, רק שיעור זעום מהם ייצג איומים מתמשכים (APT), או מדינות לאום וממשלות המבקשות להשיג מודיעין. רק ממשלות בודדות השתמשו ביכולת הזאת: סין, רוסיה, צפון קוריאה ואיראן.
אבל היום, העולם שלנו השתנה באופן ניכר. נוף האיומים הבשיל באופן משמעותי. לדוגמה, איראן קידמה את יכולות הסייבר שלה ואת השימוש בתוכנות כופר כדי לשלב פעולות משבשות עם פעילות eCrime (פשיעה אלקטרונית) אותנטית ; רוסיה וסין הפכו דומיננטיות עוד יותר בהפעלת נשק של פגיעות בקנה מידה גדול כדי להקל על מאמצי הגישה הראשוניים ומדינות אחרות לומדות מהן ועוקבות אחריהן, מטורקיה ווייטנאם ועד הודו. כל מדינה מבינה כעת, כי מערכת אבטחת הסייבר שלה צריכה להיות בעלת יכולת לאיסוף מודיעין. היעדר יכולות מודיעין איומים נתפס על-ידי גורמי האיומים כרווחי מאוד, במיוחד במהלך מגפה הקורונה, כאשר מדינות יצרו תוכניות תגובה חיוניות אך ורק ממודיעין שנאסף באמצעות פעולות סייבר.
תקיפה באמצעות כלים לגיטימיים אז מה מלמד אותנו נוף האיומים הנוכחי?
נוף האיומים הולך ומטשטש מיום ליום. מחקרים מראים, כי 62% מהתקפות הסייבר נטולות תוכנות זדוניות. המשמעות היא שתוקפים משתמשים בטכניקות תקיפה באמצעות כלים לגיטימיים שהותקנו במחשב (living-off-the-land techniques) או בטכניקות התקפה ללא קבצים, כלומר הם מסווים את עצמם כמנהל מערכת או משתמש רגיל.
אוקראינה, לדוגמה, מופגזת במשך שנים על-ידי התקפות סייבר מתוחכמות מרוסיה, כמו DriveSlayer, תוכנת מחיקה זדונית הרסנית המכוונת לממשלות באוקראינה. הדבר דומה גם לגורם איום המכונה VOODOO BEAR, הידוע גם בתור "המנהל הראשי של המטה הכללי של הכוחות המזוינים של הפדרציה הרוסית", או פשוט בתור GRU. לרוע המזל, לא רק מדינות הלאום הרוסיות השונות מכוונות לאוקראינה, אלא גם יריבים מתוחכמים ובעלי יכולת קיצונית המהווים חלק מהעולם התחתון של הפשיעה האלקטרונית.
WIZARD SPIDER, הידוע גם כ-CONTI או Ryuk, תמכו גם הם בפדרציה הרוסית והם מזהירים מפורשות, כי יפעלו נגד ארגונים, ממשלות וכל קבוצה אחרת הפועלות ישירות נגד רוסיה באמצעות סנקציות, או גרימת הפסדים בדרך אחרת. אנו ממשיכים לראות מאמצי פעולה של יריבים הקשורים לרוסיה נגד תשתית הרשת במדינות המערב. פעילות זו מרמזת על הכנות שיכולות לספק הזדמנויות לאיסוף מודיעין, או גרוע מכך, פוטנציאל לאפשר פעולות משבשות או הרסניות.
חיזוי הצעד הבא
כיום, הכרחי להישאר צעד אחד לפני גורמי האיומים על-ידי חיזוי הצעד הבא שלהם. פתרונות אבטחת הסייבר היעילים ביותר יכולים לחזות נכון את התנהגות היריב באמצעות שילוב של שני אלמנטים: מדע הנתונים ולמידת מכונה (ML) או בינה מלאכותית (AI), אבל חשוב לציין שבינה מלאכותית היא חסרת תועלת ללא הנתונים המובחנים הנכונים.
אחת מבעיות אבטחת הסייבר המשמעותיות ביותר היא הבנת ההבדל בין התנהגות נורמלית לבין התנהגות רעה של יריב. בטכנולוגיות מסוימות, מקובלת חיוביות כוזבת או אפילו שליליות כוזבת, אך בתחום אבטחת הסייבר, הדבר עלול לגרום לעייפות התראה ו/או, גרוע מכך, לפרצות גדולות שעולות הון תועפות לארגונים.
נתוני אבטחה יושבים במקומות רבים. בנקודות קצה, שרתים, הם חוצים את הרשת, יושבים בענן, בקונטיינרים, בפלטפורמות SaaS או PaaS. הם נמצאים בשירותי Active Directory או Cloud Directory שלנו. נתוני אבטחה או טלמטריה נמצאים בכל מקום. כדי לזהות התקפות במדויק, נדרשים כל הנתונים והחלקים מכל הרשת.
תפקידם של הביג דאטה ומדעי הנתונים
הדרך היחידה למזער תוצאות חיוביות שגויות ושליליות שגויות היא באמצעות כמות עצומה של נתונים כדי לאמן את הבינה המלאכותית. פתרונות אבטחת הסייבר היעילים ביותר בשוק משתמשים במאגר נתונים גרפי אחד, שאוסף למעלה מטריליון אירועים בכל יום. כיום, הנתונים נאספים לא רק מנקודות קצה אלא גם מהענן, מודיעין איומים ונתוני צד שלישי. הנתונים הללו משמשים לאחר מכן לזיהוי גורמי איום רעים ולאימון מאות מודלים של למידת מכונה המשמשים לניבוי התקפות וזיהוי התקפות לא ידועות חדשות.
החלק האחרון בפאזל, ומה שמפריד בין פתרונות אבטחת סייבר טובים למעולים, הוא לוודא שיש אלמנט אנושי. בעוד שבינה מלאכותית מצטיינת בבעיות הניתנות לפתרון ובשילוב כמויות עצומות של נתונים, רק לעתים נדירות יש להם את הרגעים האלה של "א-אה" (‘a-ha’ moments), של המצאות יצירתיות שיוצרות אפשרויות חדשות. משמעות הדבר היא שצוותים מיוחדים לציד איומים יזהו גם התקפות נסתרות וטכניקות חדשות, שאולי הוחמצו במהלך התהליך האוטומטי. בשלב הזה, מומחי אבטחת סייבר יכולים לכוון, להזין, לשנות ולאמת באופן רציף, ולוודא שהמודל יתחזק יותר ויותר עם כל אירוע, תוך מזעור חיוביות שגויות ושליליות שגויות. ספקים מסוימים עשויים להשתמש במילים אופנתיות כמו "בינה מלאכותית" או "ביג דאטה", אבל חיוני לשאול מה זה בעצם אומר והאם זה יגן ביעילות על הארגון שלכם.
בשיתוף חברת CrowdStrike
