AI는 보안팀에게 더 빠른 분석, 대규모 패턴 인식, 자동 탐지 등 진정한 힘의 승수를 제공했습니다. 또한 침입하려는 사람들에게도 동일한 기능을 제공했습니다. 또한 세 번째 문제가 발생했으며, 이는 주의를 덜 끄는 경향이 있습니다. 모든 조직의 직원들은 이제 일상적으로 외부 AI 시스템에 연결하고, 해당 시스템이 보유하고 처리하는 데이터를 공유하며, 대부분의 보안 프로그램은 이러한 일이 일어나고 있음을 볼 수 없습니다.
이러한 융합으로 인해 가시성 격차가 크게 증가했습니다. 그러나 새로운 문제를 해결하기 전에, 왜 귀하의 자산에 무엇이 있는지, 무엇을 하고 있는지, 그것이 정상인지를 아는 등 근본적인 문제가 많은 조직에서 해결되지 않는지 살펴볼 가치가 있습니다.
제가 최근에 호스팅한 Fireside 채팅에서 이 그림을 보여주었습니다. 저는 선임 보안 실무자에게 그의 조직에 대한 가시성이 무엇을 의미하는지 물었고, 그의 답변은 두 부분으로 나뉘어졌습니다. 바로 그들이 시작할 때의 의미와 지금의 의미입니다. 이 두 가지는 동일한 개념으로 거의 인식할 수 없었습니다.
인벤토리에서 인텔리전스까지
대부분의 조직에서 시작점은 자산 인벤토리였습니다. 즉, 네트워크에 있는 장치, 사용 중인 장치 및 실행 중인 소프트웨어입니다. 이는 여전히 기본이지만 아직도 너무 많은 조직에서 해결되지 않았습니다. 그리고 고개를 끄덕이는 사람들도 도전은 계속 진화하여 그 어느 때보다도 어려워지고 있습니다.
화재 현장 인터뷰 대상자는 업데이트가 완료되었는지 확인하는 것뿐만 아니라 실시간으로 행동 데이터를 비교하고, 그 순간에 “정상적”인 모습을 설정하고, 이 인텔리전스를 사용하여 다른 지역 및 구성에서 유사한 롤아웃이 어떻게 작동할지 예측하기 위해 팀이 실시간 엔드포인트 원격 측정을 사용하여 장치를 모니터링하는 방법을 설명했습니다. 재고를 가져오지 않습니다. 몇 년 전에는 필요하다고 간주되지 않았던 충실도 수준의 가시성에서 파생된 운영 인텔리전스입니다. 사용자가 시스템과 상호 작용하는 엔드포인트, 데이터가 생성되고 액세스되는 엔드포인트, AI 도구가 실행되는 엔드포인트는 이 문제의 가장 중요한 단위입니다.
지도를 능가한 자산
근본적인 가시성이 여전히 명확하지 않은 이유의 일부는 구조적입니다. 대규모 조직의 디지털 자산은 깔끔하게 성장하지 않습니다. 예산 주기, 프로젝트 요구 사항 및 몇 년을 몇 개월로 변경해야 하는 위기에 따라 유기적으로 성장합니다.
저는 2000s년 초에 일부 측정에 의해 세계에서 가장 큰 단일 IT 네트워크를 운영했던 국방부에서 근무했습니다. 그 당시에도 네트워크 스캔은 6주에 한 번씩만 실행하고 있었습니다. 기본 설정이 아니라 더 자주 스캔하면 인프라에 과부하가 걸리기 때문입니다. 위협이 몇 시간 만에 발생할 수 있는 환경에서 자산에 대한 6주 된 그림은 가시성 기능이 아닙니다. 이것은 기록 문서입니다. 그리고 이는 게임 콘솔을 네트워크 포트에 연결한 원격 기반 또는 마지막 탑승자가 떠난 후 몇 주 후에 내부 Wi-Fi에 로그인한 회의실의 스마트 TV의 체부를 고려하기 전이었습니다.
위협이 몇 시간 만에 발생할 수 있는 환경에서 자산에 대한 6주 된 그림은 가시성 기능이 아닙니다. 이것은 기록 문서입니다.
코로나19는 여러 부문에 걸쳐 이를 악화시켰습니다. 원격 근무를 지원한 적이 없는 조직은 거의 하룻밤에 완전히 배포되었습니다. 장치는 확립된 가시성 경계를 벗어나 확산되었으며, 많은 조직에서 이 자산은 그 이후 완전히 다시 매핑된 적이 없습니다.
그리고 이러한 모든 문제는 AI가 방정식에 들어가기 전에 존재했습니다.
AI 가시성 문제는
첫 번째 AI 문제는 위협에 있습니다. AI는 공격자가 기존 데이터베이스에 나타나지 않는 취약점을 발견할 수 있도록 지원합니다. 알려진 패턴을 매칭하는 것이 아니라 코드와 시스템에 대해 직접 추론하는 것으로 발견됩니다. 결함을 식별하고 무기화하는 것 사이의 악용 기간은 이미 불편하게 짧았습니다. AI는 이를 더욱 좁히고 있으며, 대부분의 패치 및 대응 주기를 능가하는 속도로 이를 수행하고 있습니다.
두 번째 문제는 행동입니다. 직원들은 외부의 대규모 언어 모델, 즉 일부 제재 대상이지만 대부분 그렇지 않은 모델에 연결하고 있으며, 그 과정에서 거버넌스 또는 데이터 보호 프레임워크 외부의 시스템에 기밀 정보를 제공할 수 있습니다. 이는 향후 위험이 아닙니다. 현재 성숙한 보안 프로그램이 있는 조직에서 대규모로 발생하고 있으며, 대부분의 경우 의미 있는 가시성 없이 발생하고 있습니다.
세 번째는 내부입니다. 이제 AI 기능이 보안 및 가시성 도구 자체에 내장되었습니다. 이렇게 하면 조직들이 이제 막 묻기 시작한 일련의 질문이 도입됩니다. 어떤 모델이 사용되고 있고, 얼마나 정확하며, 처리하는 정보로는 어떤 역할을 합니까? 엄격한 가시성 표준을 부동산에 적용하지만 부동산을 관리하는 도구에는 적용하지 않는 것은 검토할 가치가 있는 사각지대입니다.
패치 간격 및 세 번째 경로
취약성 식별부터 패치 가용성까지의 평균 시간은 여전히 90 일 북부입니다. 적극적인 악용은 종종 일 이내에 시작됩니다. 증가하는 제로데이 취약성 범주의 경우 공격은 패치가 존재하기 전에 도달합니다.
이러한 격차는 전통적으로 조직에게 위험을 수용하고 운영을 계속하거나 영향을 받는 시스템을 제거하고 운영 중단을 수용하는 두 가지 옵션이 있습니다. 둘 다 만족스럽지 않습니다. 중요 시스템의 경우 둘 다 실행 가능하지 않을 수 있습니다.
세 번째 경로가 있지만 가시성의 품질에 따라 달라집니다. 엔드포인트에서 공격이 어떻게 나타나는지와 같은 특정 취약성이 어떻게 악용되고 있는지 실시간으로 이해하면 패치가 도착하기 전에 해당 행동 패턴에 대한 표적 탐지를 구축할 수 있습니다. 그런 다음 악용이 움직이는 동안 어떤 모습인지 알 수 있듯이 계속 작동할 수 있으며, 사후가 아니라 시도 시점에 반응을 자동화할 수 있습니다.
이를 효과적으로 수행하는 조직은 현재 위협 인텔리전스를 활용하여 엔드포인트 수준에서 사용자 지정 탐지를 구축하고, 블래스트 반경을 제한하고, 패치 기간 동안 운영 연속성을 유지하고 있습니다. 이는 실제 기능이지만 주간 스냅샷 또는 주 단위로 측정된 스캔 주기가 아니라 실시간 충실도를 통한 가시성이 필요합니다.
또한 이러한 기능은 종종 검토하지 않는 것, 즉 가시성 도구가 실제로 보고하는 것을 수행하고 있다는 확신에 따라 달라집니다. EDR이 배포되어 커버리지가 100% 또는 그 근처에서 읽히기 때문에 많은 조직에서 이 내용이 적용된다고 가정 합니다. 대시보드는 녹색입니다. 그러나 문제 해결 중에 EDR 에이전트가 비활성화되고 다시 활성화되지 않는 경우도 있습니다. 또는 적극적으로 관리되지 않은 시스템에서는 최신 상태가 아닙니다. 대규모 조직의 최근 개념 증명에서 표준 EDR 에이전트가 활성화되지 않은 상태에서 장치가 작동하고 있지만 EDR 플랫폼이 전체 배포를 보고하고 있음을 발견했습니다.
도구가 보고하는 것과 자산에 실제로 적용되는 것 사이의 격차는 가시성 실패의 자체 범주이며, 가장 위험한 종류는 어쩌면 여러분이 알지 못하는 사각지대일 것입니다. 자산이 존재하는 것뿐만 아니라 자산에 대한 보호가 존재하고, 최신 상태이며, 기능하는지를 검증하는 지속적이고 독립적인 발견은 가시성 체제를 보완하는 것이 아닙니다. 이는 하나의 핵심 부분입니다.
격차 내에서 작동
90일 패치 격차는 모든 조직에 존재하며 AI는 내부에서 더 많은 결과적이고 복잡한 운영을 가능하게 했습니다. 사고를 포함하는 조직과 사례 연구가 되는 조직 간에 차이점은 가시성이 문제가 될 때 조치를 취할 수 있을 정도로 실시간이고 완전하며 신뢰할 수 있는지 여부입니다.
이 문제를 잘 관리하는 조직은 가시성을 해결한 문제로 처리하는 것을 중단했으며, 변화를 멈추지 않는 자산과 현재 동일한 도구를 적극적으로 사용하고 있는 위협 환경에 보조를 맞추어야 하는 분야로 처리하기 시작했습니다. 스스로에게 물어봐야 할 질문은 다음과 같습니다. 실제로 존재하는 위협 환경에 적합한 솔루션이 있습니까?
