- ภัยคุกคามหลักๆ ได้แก่ มัลแวร์ขั้นสูง วิศวกรรมสังคม และการกำหนดค่าที่ผิดพลาดซึ่งถูกใช้ประโยชน์โดยผู้โจมตีที่เป็นอัตโนมัติมากขึ้นเรื่อยๆ
- ผลกระทบมีตั้งแต่การสูญเสียทางเศรษฐกิจและการปิดกิจการไปจนถึงการลงโทษทางกฎหมาย ความเสียหายต่อชื่อเสียง และการโจรกรรมทรัพย์สินทางปัญญา
- การป้องกันที่มีประสิทธิผลต้องอาศัยการป้องกันทางเทคนิคหลายชั้น สุขอนามัยทางไซเบอร์ที่ดี การตรวจสอบอย่างต่อเนื่อง และแผนการตอบสนองต่อเหตุการณ์ที่แข็งแกร่ง
- การฝึกอบรมอย่างต่อเนื่องและการบูรณาการ AI ในด้านความปลอดภัยทางไซเบอร์ถือเป็นกุญแจสำคัญในการเชื่อมช่องว่างของบุคลากรและคาดการณ์กลยุทธ์การโจมตีใหม่ๆ
ความปลอดภัยทางไซเบอร์กลายเป็นเรื่องที่ต้องกังวลในชีวิตประจำวันของผู้เชี่ยวชาญด้านไอทีทุกคนความปลอดภัยบนคลาวด์การทำงานระยะไกล อุปกรณ์พกพาขององค์กร และปัญญาประดิษฐ์ ได้เพิ่มพื้นที่การโจมตีอย่างมาก และอาชญากรไซเบอร์ก็ไม่รอช้า พวกเขาใช้ระบบอัตโนมัติในการโจมตี ปรับปรุงเทคนิคการหลอกลวงทางสังคม และใช้ประโยชน์จากความผิดพลาดในการตั้งค่าหรือความประมาทของมนุษย์เพื่อแทรกซึมเข้าไปในองค์กร
สำหรับทีมไอที การติดตั้งซอฟต์แวร์ป้องกันไวรัสและไฟร์วอลล์ที่แข็งแกร่ง เพียงอย่างเดียวนั้นไม่เพียงพออีกต่อไป แล้วความเข้าใจอย่างถ่องแท้เกี่ยวกับภัยคุกคามทางไซเบอร์หลักๆ ต่อผู้เชี่ยวชาญด้านไอทีผลกระทบที่แท้จริงต่อธุรกิจ และแนวทางปฏิบัติที่ดีที่สุดในการลดผลกระทบเหล่านั้น เป็นกุญแจสำคัญในการรักษาความต่อเนื่องทางธุรกิจ หลีกเลี่ยงบทลงโทษทางกฎหมาย และปกป้องข้อมูลสำคัญ ตลอดบทความนี้ คุณจะได้เห็นรายละเอียดและแนวทางปฏิบัติที่เป็นรูปธรรมเกี่ยวกับความเสี่ยงที่กำลังครอบงำสถานการณ์ปัจจุบัน และสิ่งที่คุณสามารถทำได้เพื่อทำให้ผู้โจมตีทำได้ยากขึ้น
สิ่งที่ถือเป็นภัยคุกคามทางไซเบอร์ในปัจจุบัน
เมื่อเราพูดถึงภัยคุกคามทางไซเบอร์ เราหมายถึงเหตุการณ์ จุดอ่อน หรือกิจกรรมที่เป็นอันตรายใดๆที่สามารถบั่นทอนความลับ ความสมบูรณ์ หรือความพร้อมใช้งานของระบบและข้อมูลได้ ซึ่งรวมถึงทุกอย่างตั้งแต่ "มัลแวร์" แบบดั้งเดิม (ไวรัส เวิร์ม โทรจัน แรนซัมแวร์ สปายแวร์) ไปจนถึงช่องโหว่ที่ไม่ได้แก้ไข การใช้งานที่ไม่เหมาะสม การตั้งค่าระบบคลาวด์ที่ไม่ถูกต้อง และการโจมตีเป้าหมายโดยรัฐบาล
ภัยคุกคามเหล่านี้ใช้ประโยชน์ จาก ช่องโหว่ทางเทคนิคและความผิดพลาดของมนุษย์เช่น ซอฟต์แวร์ที่ล้าสมัย รหัสผ่านที่อ่อนแอ การให้สิทธิ์มากเกินไป อีเมลฟิชชิ่งที่หลอกลวงพนักงาน พื้นที่จัดเก็บข้อมูลบนคลาวด์ที่ไม่ปลอดภัย ระบบรักษาความปลอดภัยของบุคคลที่สาม เป็นต้น ผลที่ตามมาอาจมีตั้งแต่การรั่วไหลของข้อมูลเพียงครั้งเดียว ไปจนถึงการปิดบริษัททั้งหมดเป็นเวลาหลายวัน
ในขณะเดียวกัน การบูรณาการปัญญาประดิษฐ์และระบบอัตโนมัติเข้ากับการโจมตีทางไซเบอร์ทำให้สามารถโจมตีบริษัทหลายพันแห่งพร้อมกันได้ สร้างภาพปลอมที่เหมือนจริงอย่างมาก และสร้างมัลแวร์แบบโพลีมอร์ฟิกที่เปลี่ยนแปลงโค้ดอย่างต่อเนื่องเพื่อหลีกเลี่ยงเครื่องมือป้องกันแบบดั้งเดิม ดังนั้น ความท้าทายสำหรับผู้เชี่ยวชาญด้านไอทีจึงมีสองด้าน คือ การปกป้องโครงสร้างพื้นฐานที่ซับซ้อนมากขึ้น และการรับมือกับผู้โจมตีที่รวดเร็วและซับซ้อนยิ่งขึ้น
ผลกระทบที่แท้จริงของภัยคุกคามทางไซเบอร์ต่อองค์กร
ผลที่ตามมาของเหตุการณ์ด้านความปลอดภัยนั้นกว้างไกลเกินกว่าความตกใจในเบื้องต้นการละเมิดแต่ละครั้งสามารถก่อให้เกิดผลกระทบต่อเนื่องในหลายด้าน ได้แก่ ด้านการเงิน ชื่อเสียง กฎหมาย และการดำเนินงาน การทำความเข้าใจมิติเหล่านี้จะช่วยให้ผู้บริหารสามารถวางแผนการลงทุนและจัดลำดับความสำคัญของโครงการด้านความปลอดภัยได้
ในแง่การเงินความเสียหายทั้งทางตรงและทางอ้อมอาจมหาศาล นอกเหนือจากการโอนเงินโดยฉ้อโกง การเรียกค่าไถ่จากมัลแวร์ และการขโมยข้อมูลทางการเงินแล้ว ยังมีค่าใช้จ่ายที่เกี่ยวข้องกับการหยุดชะงักของระบบ การทำงานล่วงเวลาของทีมตอบสนอง บริการตรวจสอบทางนิติวิทยาศาสตร์จากภายนอก การแจ้งให้ผู้ที่ได้รับผลกระทบทราบ และแคมเปญเพื่อฟื้นฟูความเชื่อมั่น การศึกษาหลายชิ้นระบุว่าค่าใช้จ่ายเฉลี่ยของการละเมิดข้อมูลอยู่ที่หลักหมื่นยูโรสำหรับธุรกิจขนาดกลางและขนาดย่อม และหลักล้านยูโรสำหรับบริษัทขนาดใหญ่
ความเสียหายต่อชื่อเสียงนั้นร้ายแรงไม่แพ้กัน หรืออาจร้ายแรงกว่าด้วยซ้ำ: เมื่อลูกค้าเห็นข้อมูลของตนถูกเปิดเผย พวกเขาก็จะสูญเสียความไว้วางใจในทันทีการสูญเสียความน่าเชื่อถือนี้ส่งผลให้สัญญาถูกยกเลิก ยอดขายลดลง และเกิดความยากลำบากในการปิดดีลกับพันธมิตรรายใหม่ หรือการเข้าถึงการประมูลงานภาครัฐบางประเภท การฟื้นฟูความไว้วางใจให้กลับมาเหมือนเดิมอาจต้องใช้เวลาหลายปี หรืออาจไม่สามารถทำได้เลย
ในระดับปฏิบัติการ การโจมตีสามารถทำให้กระบวนการสำคัญเป็นอัมพาตได้อย่างสิ้นเชิงเช่น ระบบการเรียกเก็บเงินล่ม โรงงานผลิตปิดตัวลง บริการออนไลน์ใช้งานไม่ได้ ห่วงโซ่อุปทานหยุดชะงัก... ผู้เชี่ยวชาญด้านไอทีทุกคนที่เคยประสบกับการเข้ารหัสแรนซัมแวร์ครั้งใหญ่ย่อมรู้ดีว่าธุรกิจจะได้รับผลกระทบอย่างรุนแรงเมื่อไม่สามารถขาย ผลิต หรือให้บริการลูกค้าได้
สุดท้ายนี้ เราต้องไม่ลืมผลกระทบทางกฎหมายและข้อบังคับต่างๆข้อบังคับเช่น GDPR ในยุโรปและกฎหมายเฉพาะด้านอื่นๆ กำหนดให้มีการคุ้มครองข้อมูลส่วนบุคคลอย่างเพียงพอและการแจ้งให้ทราบถึงการละเมิดภายในกรอบเวลาที่กำหนดอย่างชัดเจน การไม่ปฏิบัติตามอาจนำไปสู่บทลงโทษทางการเงินจำนวนมากและการฟ้องร้องกับลูกค้า ซัพพลายเออร์ หรือแม้แต่พนักงาน นอกจากนี้ การขโมยทรัพย์สินทางปัญญา (แบบพิมพ์เขียว อัลกอริทึม สูตร รหัสต้นฉบับ) อาจทำให้การลงทุนด้านการวิจัยและพัฒนาหลายปีสูญเปล่าและมอบความได้เปรียบในการแข่งขันให้กับคู่แข่ง
ประเภทหลักของภัยคุกคามทางเทคนิคต่อผู้เชี่ยวชาญด้านไอที
จากมุมมองทางเทคนิคล้วนๆ บริษัทต่างๆ ต้องเผชิญกับความเสี่ยงมากมายที่ส่งผลกระทบต่อโครงสร้างพื้นฐาน แอปพลิเคชัน และผู้ใช้งานการทำความเข้าใจประเภทการโจมตีที่พบบ่อยที่สุดถือเป็นขั้นตอนแรกในการกำหนดมาตรการควบคุมและสถาปัตยกรรมด้านความปลอดภัยที่เหมาะสม
มัลแวร์ในทุกรูปแบบ
มัลแวร์ยังคงเป็นอาวุธที่ผู้โจมตีนิยมใช้ ภายใต้คำนี้ เราพบซอฟต์แวร์ที่เป็นอันตรายซึ่งออกแบบมาเพื่อแทรกซึม ทำลาย หรือควบคุมระบบโดยที่ผู้ใช้หรือผู้ดูแลระบบไม่รู้ตัว รูปแบบที่พบได้บ่อยที่สุด ได้แก่:
- ransomware: มันเข้ารหัสไฟล์และระบบด้วยคีย์ที่ผู้โจมตีเท่านั้นที่ควบคุม และเรียกร้องการชำระเงิน (โดยปกติจะเป็นสกุลเงินดิจิทัล) เพื่อกู้คืนการเข้าถึง กลุ่มที่ก้าวหน้าที่สุดผสมผสานการเข้ารหัสเข้ากับการขโมยข้อมูล โดยขู่ว่าจะเผยแพร่ข้อมูลหากไม่ชำระเงิน แม้ว่าจะมีการสำรองข้อมูลไว้แล้วก็ตาม
- ม้าโทรจัน: โปรแกรมเหล่านี้แสดงตนเป็นโปรแกรมที่ถูกต้องตามกฎหมาย (ซอฟต์แวร์ฟรี โปรแกรมแคร็ก โปรแกรมยูทิลิตี้ "มหัศจรรย์") แต่เมื่อใช้งานจริง พวกมันจะใช้ฟังก์ชันอันตรายที่ซ่อนอยู่ ซึ่งอาจตั้งแต่การเปิดประตูหลังไปจนถึงการดาวน์โหลดมัลแวร์เพิ่มเติม
- RAT (โทรจันการเข้าถึงระยะไกล): โทรจันที่ออกแบบมาโดยเฉพาะเพื่อให้ผู้โจมตีสามารถควบคุมเครื่องจากระยะไกลได้อย่างสมบูรณ์ พวกเขาอนุญาตให้มีการสอดส่องและดึงข้อมูลที่ละเอียดอ่อนออกมาติดตั้งส่วนประกอบใหม่หรือเปลี่ยนไปใช้ระบบภายในอื่น
- สปายแวร์: โค้ดที่ออกแบบมาเพื่อบันทึกกิจกรรมของผู้ใช้ จับข้อมูลประจำตัว รายละเอียดธนาคาร พฤติกรรมการท่องเว็บ หรือข้อมูลทางธุรกิจที่มีค่า จากนั้นจะถูกส่งไปยังเซิร์ฟเวอร์ที่ควบคุมโดยผู้โจมตี
- การขโมยข้อมูลทางคริปโต: มัลแวร์ที่เข้ามาควบคุมพลังการประมวลผลของเซิร์ฟเวอร์ เวิร์กสเตชัน หรือแม้แต่อุปกรณ์ IoT เพื่อขุดสกุลเงินดิจิทัลโดยที่เจ้าของไม่รู้ ทำให้ประสิทธิภาพลดลง และเพิ่มต้นทุนด้านพลังงาน
เทคโนโลยีอาจล้มเหลว แต่คนเราก็ล้มเหลวได้เช่นกัน การโจมตีโดยใช้กลวิธีทางสังคม (Social engineering) ใช้ประโยชน์จากจุดอ่อนทางจิตวิทยาและพฤติกรรมของผู้ใช้เพื่อหลอกล่อให้พวกเขาทำในสิ่งที่ผู้โจมตีต้องการ เช่น คลิกที่ลิงก์ ปิดใช้งานการป้องกัน มอบข้อมูลประจำตัว หรือเปิดเผยข้อมูลสำคัญ
ในบรรดากลยุทธ์เหล่านี้การฟิชชิงยังคงเป็นกลยุทธ์ที่โดดเด่นที่สุดอีเมลที่ส่งไปนั้นเลียนแบบการสื่อสารจากธนาคาร ซัพพลายเออร์ หน่วยงานรัฐบาล หรือแม้แต่บริษัทเอง เพื่อล่อลวงผู้ใช้ให้เข้าไปยังเว็บไซต์ปลอม หรือบังคับให้ดาวน์โหลดไฟล์แนบที่เป็นอันตราย ในรูปแบบที่เจาะจงที่สุด การฟิชชิงแบบสเปียร์จะมุ่งเป้าไปที่กลุ่มบุคคลเฉพาะ (เช่น ฝ่ายการเงิน ผู้บริหาร ผู้ดูแลระบบไอที) โดยใช้ข้อมูลสาธารณะหรือข้อมูลภายในเพื่อสร้างความน่าเชื่อถือให้กับการหลอกลวง
แนวคิดเดียวกันนี้สามารถนำไปใช้กับช่องทางอื่นๆ ได้เช่นกัน: การหลอกลวงผ่านข้อความ SMS (smishing) เกิดขึ้นเมื่อการล่อลวงมาถึงโทรศัพท์มือถือ โดยใช้ประโยชน์จากข้อเท็จจริงที่ว่าในข้อความเหล่านี้การตรวจสอบ URL ทำได้ยากกว่า และการหลอกลวงทางโทรศัพท์ (vishing) เกิดขึ้นเมื่อการโจมตีเกิดขึ้นทางโทรศัพท์ โดยแอบอ้างเป็นฝ่ายสนับสนุนด้านเทคนิค ธนาคาร หรือผู้จำหน่ายที่ต้องการ "ยืนยัน" ข้อมูล
ด้วยความก้าวหน้าของปัญญาประดิษฐ์เชิงสร้างสรรค์ (AI) เทคโนโลยี Deepfake ทั้งเสียงและวิดีโอ จึงได้รับความนิยม มากขึ้น โดยสามารถปลอมตัวเป็นผู้บริหารหรือหัวหน้าแผนกเพื่อสั่งโอนเงินด่วนหรือแบ่งปันข้อมูลที่เป็นความลับได้ เครื่องมือเหล่านี้ช่วยลดต้นทุนและทำให้การดำเนินงานแคมเปญต่างๆ ง่ายขึ้น ซึ่งก่อนหน้านี้ต้องใช้ความพยายามด้วยตนเองมากกว่ามาก
การโจมตีแอปพลิเคชันเว็บและ API
สำหรับหลายบริษัท แอปพลิเคชันบนเว็บและ API ถือเป็นส่วนที่เสี่ยงต่อการถูกโจมตีมากที่สุดข้อบกพร่องในการจัดการข้อมูลขาเข้า การควบคุมการเข้าถึง หรือการตรวจสอบความถูกต้องของพารามิเตอร์ อาจเปิดช่องทางให้เกิดการโจมตีที่สร้างความเสียหายอย่างร้ายแรงได้
- การฉีด SQL (SQLi): การควบคุมการสืบค้นฐานข้อมูลโดยการใส่โค้ดอันตรายลงในช่องป้อนข้อมูล หากแอปพลิเคชันไม่ล้างข้อมูลนี้อย่างถูกต้อง ผู้โจมตีสามารถอ่าน แก้ไข หรือลบข้อมูล และอาจถึงขั้นเข้าควบคุมเซิร์ฟเวอร์ฐานข้อมูลได้
- การดำเนินการรหัสระยะไกล (RCE): ช่องโหว่ที่ทำให้ผู้โจมตีสามารถดำเนินการคำสั่งบนเซิร์ฟเวอร์ที่แอปพลิเคชันทำงานอยู่ โดยปกติจะทำโดยการใช้ประโยชน์จากบัฟเฟอร์ล้นหรือข้อผิดพลาดเชิงตรรกะอื่นๆ ความล้มเหลวประเภทนี้มักจะถือเป็นวิกฤต เพราะมันแปลว่าสามารถควบคุมระบบที่ได้รับผลกระทบได้เกือบทั้งหมด
- XSS (Cross-Site Scripting): การฉีดสคริปต์ที่เป็นอันตรายลงในหน้าเว็บที่แสดงต่อผู้ใช้รายอื่น สคริปต์เหล่านี้สามารถขโมยคุกกี้เซสชัน แก้ไขเนื้อหาเบราว์เซอร์ หรือเปลี่ยนเส้นทางไปยังหน้าเว็บปลอมโดยที่ผู้ใช้ไม่ทราบ
การโจมตีห่วงโซ่อุปทาน
ปัจจุบัน การโจมตีมักมุ่งเป้าไปที่คู่ค้าของบริษัทมากกว่าตัวบริษัทเองการโจมตีห่วงโซ่อุปทานใช้ประโยชน์จากความสัมพันธ์ที่ไว้วางใจได้กับผู้ให้บริการซอฟต์แวร์ ผู้รวมระบบ ผู้ให้บริการคลาวด์ หรือบริษัทที่ปรึกษา
สถานการณ์คลาสสิกอย่างหนึ่งคือผู้ให้บริการที่มีสิทธิ์เข้าถึงระบบภายในจากระยะไกล: หากผู้โจมตีเจาะระบบเครือข่ายได้ พวกเขาสามารถใช้ข้อมูลประจำตัวที่ถูกต้องเหล่านั้นเพื่อเข้าถึงองค์กรของลูกค้าได้โดยมีข้อสงสัยน้อยที่สุด อีกช่องทางหนึ่งคือการดัดแปลงซอฟต์แวร์หรือการอัปเดตจากบุคคลที่สาม: การแทรกโค้ดที่เป็นอันตรายเข้าไปในแพ็กเกจการอัปเดตที่ลูกค้าติดตั้ง โดยเชื่อถือแหล่งที่มาอย่างสมบูรณ์
นอกจากนี้ แอปพลิเคชันสมัยใหม่เกือบทั้งหมดได้รวมเอาไลบรารีโอเพนซอร์สหรือโมดูลจากภายนอก เข้ามา ใช้ ช่องโหว่ร้ายแรงอย่างช่องโหว่ Log4j แสดงให้เห็นถึงขอบเขตที่ชิ้นส่วน "เล็กๆ" ดูเหมือนจะสามารถก่อให้เกิดความเสี่ยงมหาศาลในระดับโลกได้เมื่อมีการกระจายไปอย่างกว้างขวาง สำหรับทีมไอที การสำรวจและจัดการความเสี่ยงของส่วนประกอบภายนอกจึงเป็นสิ่งที่หลีกเลี่ยงไม่ได้อีกต่อไป
การโจมตีแบบปฏิเสธการให้บริการ (DoS และ DDoS)
การโจมตีเพื่อทำให้ระบบไม่สามารถใช้งานได้นั้น มีเป้าหมายเพื่อทำให้บริการและแอปพลิเคชันหยุดทำงานป้องกันไม่ให้ผู้ใช้ที่ถูกต้องเข้าถึงได้ ในรูปแบบการโจมตีแบบปฏิเสธการให้บริการแบบกระจาย (DDoS) อุปกรณ์ที่ถูกบุกรุกหลายพันเครื่องจะโจมตีระบบของเหยื่อด้วยปริมาณการรับส่งข้อมูลจำนวนมาก ทำให้แบนด์วิดท์ ซีพียู หรือทรัพยากรของแอปพลิเคชันเต็มไปหมด
บางกลุ่มใช้การโจมตีแบบปฏิเสธการให้บริการ(DoS) เป็นเครื่องมือในการขู่กรรโชกโดยขู่ว่าจะโจมตีครั้งใหญ่หากไม่จ่ายค่าไถ่ หรืออาจใช้ร่วมกับการโจมตีด้วยมัลแวร์เรียกค่าไถ่เพื่อเพิ่มแรงกดดัน ในบางกรณี การโจมตี DoS จะดำเนินการโดยการใช้ประโยชน์จากช่องโหว่เฉพาะที่ทำให้ระบบล่มหรือใช้ทรัพยากรมากเกินไปเมื่อได้รับข้อมูลป้อนเข้าที่ไม่ถูกต้อง
การโจมตีแบบ Man-in-the-Middle (MitM และ MitB)
ในการโจมตีแบบ Man-in-the-Middle เป้าหมายคือการดักฟังและหากเป็นไปได้ก็แก้ไขข้อมูลที่ส่งผ่านระหว่างสองฝ่ายที่เชื่อว่าพวกเขากำลังสื่อสารกันโดยตรงและปลอดภัย หากการสื่อสารไม่ได้เข้ารหัสอย่างถูกต้อง ผู้โจมตีสามารถอ่านข้อมูลประจำตัว ข้อมูลธนาคาร หรือข้อมูลทางธุรกิจในรูปแบบข้อความธรรมดาได้
รูปแบบการโจมตีที่อันตรายเป็นพิเศษคือการโจมตีแบบMan-in-the-Browser (MitB)ซึ่งผู้โจมตีจะแทรกซึมเข้าไปในเบราว์เซอร์ของผู้ใช้โดยใช้ปลั๊กอินที่เป็นอันตรายหรือมัลแวร์ และทำการเปลี่ยนแปลงข้อมูลก่อนที่จะแสดงผลหรือส่งไปยังเซิร์ฟเวอร์ วิธีนี้ทำให้พวกเขาสามารถเปลี่ยนแปลงจำนวนเงินที่โอน แก้ไขแบบฟอร์ม หรือดักจับทุกสิ่งที่ป้อนโดยไม่ก่อให้เกิดความสงสัยใดๆ
ภัยคุกคามขั้นสูงและแนวโน้มสำคัญสำหรับมืออาชีพด้านไอที
นอกเหนือจาก "คลังข้อมูลการโจมตีแบบเก่า" แล้ว สถานการณ์ปัจจุบันยังนำมาซึ่งแนวโน้มที่ชัดเจนซึ่งทีมไอทีไม่สามารถมองข้ามได้ ได้แก่บทบาทของ AI ในอาชญากรรมไซเบอร์ที่เพิ่มมากขึ้น ความเสี่ยงด้าน DNS ข้อผิดพลาดในการกำหนดค่าระบบคลาวด์ ภัยคุกคามจากบุคคลภายใน และปฏิบัติการที่ได้รับการสนับสนุนจากรัฐ
ภัยคุกคามจากปัญญาประดิษฐ์
ปัญญาประดิษฐ์ไม่ได้มีไว้สำหรับผู้ป้องกันเท่านั้น ปัจจุบันอาชญากรไซเบอร์จำนวนมากหันมาใช้ AI และการเรียนรู้ของเครื่องจักรเพื่อขยายขอบเขต ปรับปรุง และปรับแต่งการโจมตีของตน ตัวอย่างเช่น:
- การสร้างอีเมลและข้อความฟิชชิ่งจำนวนมากด้วยข้อความที่เป็นธรรมชาติและไม่มีข้อผิดพลาด ปรับให้เข้ากับภาษาและบริบทของเหยื่อ
- ระบบอัตโนมัติในการค้นหาและการใช้ประโยชน์จากช่องโหว่ในระบบที่เปิดเผย โดยจัดลำดับความสำคัญของเป้าหมายที่มีโอกาสประสบความสำเร็จสูงกว่า
- การพัฒนามัลแวร์ที่มีความสามารถในการเรียนรู้จากสภาพแวดล้อมและปรับเปลี่ยนพฤติกรรมเพื่อหลีกเลี่ยงการตรวจจับตามลายเซ็นและรูปแบบคงที่
- การสร้างเสียงและวิดีโอแบบดีปเฟกเพื่อเสริมความแข็งแกร่งให้กับแคมเปญทางวิศวกรรมสังคมที่กำหนดเป้าหมายไปที่โปรไฟล์ที่มีมูลค่าสูง
ในขณะเดียวกัน บริษัทต่างๆ เริ่มนำGenAI มาบูรณาการเข้ากับระบบป้องกันของตนอย่างมีกลยุทธ์เพื่อเร่งการสืบสวน ปรับปรุงการตรวจจับความผิดปกติ และชดเชยช่องว่างด้านบุคลากรที่มีความเชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ ซึ่งผู้นำหลายคนมองว่าเป็นหนึ่งในความท้าทายที่ใหญ่ที่สุดในปัจจุบัน
อุโมงค์ DNS และการละเมิดระบบชื่อโดเมน
DNS เป็นส่วนประกอบพื้นฐานของอินเทอร์เน็ต และด้วยเหตุนี้จึงเป็นช่องทางที่เหมาะสมอย่างยิ่งสำหรับการซ่อนเร้นทราฟฟิกที่เป็นอันตราย การทำ DNS tunneling คือการห่อหุ้มข้อมูลไว้ภายในคำขอและคำตอบ DNS ที่ดูเหมือนปกติ ทำให้สามารถหลีกเลี่ยงการควบคุมขอบเขตหลายอย่างที่ตรวจสอบทราฟฟิกนี้เพียงผิวเผินได้
เทคนิคนี้ทำให้สามารถดึงข้อมูลที่ละเอียดอ่อนออกมาทีละส่วนหรือรักษาช่องทางการควบคุมและสั่งการด้วยมัลแวร์ที่ฝังอยู่ภายในโดยไม่ก่อให้เกิดความสงสัย การตรวจจับกิจกรรมประเภทนี้จำเป็นต้องตรวจสอบรูปแบบที่ผิดปกติในคำค้นหา ขนาด โดเมนที่ไม่ปกติ หรือพฤติกรรมทางสถิติที่แปลกประหลาดในการรับส่งข้อมูล DNS
ข้อผิดพลาดในการกำหนดค่าและสุขอนามัยทางไซเบอร์ที่ไม่ดี
อุบัติเหตุจำนวนมากมีสาเหตุมาจากการตั้งค่าที่ไม่ถูกต้องและการปฏิบัติที่ไม่ปลอดภัยตัวอย่างที่พบได้ทั่วไป ได้แก่:
- ไฟร์วอลล์หรือกลุ่มความปลอดภัยบนคลาวด์ที่มีการอนุญาตมากเกินไป โดยมีพอร์ตเปิดสู่โลกภายนอกที่ไม่ควรเปิด
- ที่เก็บข้อมูลในบริการคลาวด์ที่กำหนดค่าให้เป็น "สาธารณะ" โดยไม่ได้ตั้งใจ ส่งผลให้ข้อมูลที่ละเอียดอ่อนถูกเปิดเผยโดยไม่มีการตรวจสอบสิทธิ์ใดๆ
- การใช้ข้อมูลประจำตัวเริ่มต้นหรือ รหัสผ่านที่อ่อนแอและนำมาใช้ซ้ำ ครอบคลุมหลายบริการ
- ล้มเหลวในการใช้แพตช์ความปลอดภัยและอัปเดตเฟิร์มแวร์ ทำให้มีช่องโหว่ที่ทราบแล้วเปิดอยู่เป็นเวลาหลายเดือน
- การขาดการสำรองข้อมูลที่เชื่อถือได้ ทันสมัย และผ่านการทดสอบ ซึ่งทำให้ไม่สามารถกู้คืนข้อมูลได้อย่างรวดเร็วจากการโจมตีของแรนซัมแวร์
ทั้งหมดนี้จัดอยู่ในสิ่งที่อาจเรียกว่าสุขอนามัยทางไซเบอร์ที่ไม่ดี : การไม่ปฏิบัติตามแนวทางปฏิบัติที่ดีที่สุดขั้นพื้นฐานจะบั่นทอนความพยายามด้านความปลอดภัยอื่นๆ การตรวจสอบการกำหนดค่าโดยอัตโนมัติ การใช้หลักการให้สิทธิ์ขั้นต่ำ และการฝึกอบรมผู้ใช้เป็นงานที่สำคัญอย่างยิ่งในการปิดช่องโหว่ที่เห็นได้ชัดเหล่านี้
ภัยคุกคามภายในและข้อผิดพลาดของมนุษย์
บุคคลที่มีสิทธิ์เข้าถึงระบบและข้อมูลอย่างถูกต้องตามกฎหมายนั้น มักก่อให้เกิดความเสี่ยงที่ถูกมองข้ามไปภัยคุกคามจากบุคคลภายในอาจเป็นการกระทำโดยเจตนาร้ายหรือโดยอุบัติเหตุก็ได้
- พนักงานที่ไม่พอใจที่ขโมยข้อมูลเพื่อขาย รั่วไหล หรือส่งไปให้บริษัทคู่แข่ง
- ผู้รับเหมาหรือหุ้นส่วนที่มีสิทธิพิเศษมากเกินความจำเป็นแต่กลับตัดสินใจใช้สิทธิพิเศษเหล่านั้นในทางที่ผิด
- สมาชิกในทีมที่แชร์ข้อมูลผ่านช่องทางที่ไม่ปลอดภัย ส่งอีเมลไปยังผู้รับที่ไม่ถูกต้อง หรืออัปโหลดไฟล์ที่ละเอียดอ่อนไปยังบริการคลาวด์ส่วนบุคคล โดยไม่มีเจตนาที่เป็นอันตราย
การลดความเสี่ยงนี้ต้องอาศัยการควบคุมการเข้าถึงอย่างละเอียด การตรวจสอบสิทธิ์อย่างสม่ำเสมอการตรวจสอบกิจกรรมที่น่าสงสัย (UEBA, DLP) และวัฒนธรรมด้านความปลอดภัยที่แข็งแกร่งภายในองค์กร เมื่อมีคนออกจากบริษัท การเพิกถอนข้อมูลประจำตัวและการเข้าถึงจะต้องเป็นกระบวนการอัตโนมัติและไม่สามารถต่อรองได้
การโจมตีที่ได้รับการสนับสนุนจากรัฐและการปฏิบัติการล่วงหน้า
ในอีกด้านหนึ่ง เราจะพบปฏิบัติการที่ดำเนินการหรือได้รับการสนับสนุนจากรัฐชาติการโจมตีเหล่านี้มักมีแรงจูงใจทางการเมือง การทหาร หรือเศรษฐกิจและมุ่งเป้าไปที่โครงสร้างพื้นฐานที่สำคัญ หน่วยงานภาครัฐ บริษัทเชิงยุทธศาสตร์ (พลังงาน การดูแลสุขภาพ การเงิน) และผู้ให้บริการเทคโนโลยีหลัก
ระดับความซับซ้อนของพวกเขาสูงมาก: การใช้ประโยชน์จากช่องโหว่ Zero-day , ห่วงโซ่การติดเชื้อที่ซับซ้อน, การเฝ้าระวังอย่างเงียบๆ เป็นเวลาหลายเดือนก่อนลงมือปฏิบัติการ, เครื่องมือที่ปรับแต่งได้ และแคมเปญที่ประสานงานกันในวงกว้าง แม้ว่าธุรกิจขนาดกลางและขนาดย่อมจำนวนมากจะไม่ใช่เป้าหมายโดยตรง แต่พวกเขาก็อาจได้รับผลกระทบในฐานะที่เป็นจุดอ่อนในห่วงโซ่อุปทานขององค์กรขนาดใหญ่
กลยุทธ์การป้องกันและป้องกันสำหรับทีมไอที
ในสถานการณ์ที่ซับซ้อนเช่นนี้ ทางออกที่เหมาะสมที่สุดคือการใช้แนวทางเชิงรุกที่ครอบคลุมและเป็นลำดับชั้น ไม่มีวิธีแก้ปัญหาใดที่ได้ผลอย่างสมบูรณ์แบบ แต่มีชุดแนวทางปฏิบัติและเทคโนโลยีที่เมื่อรวมกันแล้วจะเพิ่มต้นทุนในการโจมตีสำหรับฝ่ายตรงข้ามอย่างมาก
การจัดการแพตช์และการอัพเดท
ด่านป้องกันแรกคือการอัปเดตระบบ แอปพลิเคชัน และอุปกรณ์ให้ทันสมัยอยู่เสมอการกำหนดช่วงเวลาการอัปเดตเป็นประจำ การใช้เครื่องมือตรวจสอบและแก้ไขช่องโหว่อัตโนมัติ และการจัดลำดับความสำคัญของช่องโหว่ที่สำคัญ จะช่วยลดพื้นที่การโจมตีที่ทราบลงได้
ไม่ใช่แค่ระบบปฏิบัติการเท่านั้นเฟิร์มแวร์สำหรับเราเตอร์ สวิตช์ ไฟร์วอลล์ อุปกรณ์ปลายทาง ไฮเปอร์ไวเซอร์ แอปพลิเคชันของบุคคลที่สามและส่วนประกอบโอเพนซอร์ส ล้วนต้องได้รับการอัปเดต การเพิกเฉยต่อเรื่องนี้ก็เหมือนกับการมอบแคตตาล็อกของช่องโหว่ที่ถูกบันทึกไว้แล้วให้กับผู้โจมตี
การตรวจสอบสิทธิ์และการควบคุมการเข้าถึงที่แข็งแกร่ง
การลดผลกระทบจากการถูกขโมยข้อมูลประจำตัวจำเป็นต้องใช้การตรวจสอบสิทธิ์แบบหลายปัจจัย (MFA)ทุกที่ที่เป็นไปได้ ควบคู่ไปกับนโยบายรหัสผ่านที่เข้มงวดและการหมุนเวียนรหัสผ่านเป็นประจำ ในสภาพแวดล้อมองค์กรที่ซับซ้อน การนำโมเดล Zero Trust มาใช้จะช่วยให้มั่นใจได้ว่าไม่มีอุปกรณ์หรือผู้ใช้ใดที่ได้รับความไว้วางใจโดยค่าเริ่มต้น แม้ว่าพวกเขาจะอยู่ "ภายใน" เครือข่ายก็ตาม
การใช้หลักการให้สิทธิ์ขั้นต่ำสุด (การให้สิทธิ์เฉพาะที่จำเป็นอย่างยิ่งสำหรับแต่ละบทบาท) จะช่วยจำกัดสิ่งที่ผู้โจมตีสามารถทำได้ แม้ว่าพวกเขาจะสามารถเข้าถึงบัญชีของผู้ใช้ที่ถูกต้องได้ก็ตาม
การศึกษาต่อเนื่องและวัฒนธรรมความปลอดภัย
จากรายงานทั้งหมดแสดงให้เห็นว่า ปัจจัยด้านมนุษย์ยังคงเป็นจุดอ่อนที่สุดประการหนึ่ง ดังนั้นการฝึกอบรมด้านความปลอดภัยทางไซเบอร์จึงไม่ใช่หลักสูตรที่เรียนครั้งเดียวแล้วลืมไป แต่ต้องเป็นโปรแกรมต่อเนื่องที่ได้รับการปรับปรุงและดัดแปลงให้เข้ากับบทบาทต่างๆ ภายในบริษัท
เนื้อหาควรครอบคลุมทุกอย่างตั้งแต่การสร้างความตระหนักรู้ขั้นพื้นฐาน (การจำแนกภัยคุกคามฟิชชิง การปกป้องอุปกรณ์ พฤติกรรมที่ปลอดภัยบนโซเชียลมีเดียและบริการคลาวด์) ไปจนถึงกฎระเบียบ แนวปฏิบัติที่ดีที่สุดเฉพาะด้าน และความเชี่ยวชาญขั้นสูงสำหรับผู้ที่มีความเชี่ยวชาญด้านเทคนิค การเรียนรู้โดยการลงมือปฏิบัติจริง ด้วยการจำลองการโจมตีที่สมจริง ห้องปฏิบัติการภาคปฏิบัติ และการอบรมสดกับผู้เชี่ยวชาญ มักเป็นวิธีที่มีประสิทธิภาพที่สุดในการเสริมสร้างความรู้ให้แข็งแกร่งขึ้น
เครือข่าย จุดสิ้นสุด และการปกป้องข้อมูล
ในด้านเทคโนโลยี จำเป็นอย่างยิ่งที่จะต้องผสานรวมการควบคุมต่างๆ เข้าด้วยกัน ได้แก่ไฟร์วอลล์รุ่นใหม่ ระบบตรวจจับและป้องกันการบุกรุก (IDS/IPS)การกรองเนื้อหา การแบ่งส่วนเครือข่าย โซลูชันปลายทางขั้นสูง (EDR/XDR) การเข้ารหัสข้อมูลระหว่างการส่งและขณะจัดเก็บ และเครื่องมือ DLP เพื่อป้องกันการรั่วไหลของข้อมูลโดยไม่ได้รับอนุญาต
การสำรองข้อมูลมีบทบาทสำคัญอย่างยิ่งการสำรองข้อมูลบ่อยๆ โดยแยกการเชื่อมต่อทางตรรกะออกจากเครือข่ายหลักและทดสอบเป็นระยะเพื่อให้แน่ใจว่าการกู้คืนใช้งานได้ จะสร้างความแตกต่างอย่างมากในกรณีเกิดเหตุการณ์แรนซัมแวร์หรือการลบข้อมูลจำนวนมหาศาล
แผนการตอบสนองต่อเหตุการณ์และข่าวกรองภัยคุกคาม
ไม่มีสภาพแวดล้อมใดปลอดภัย 100% ดังนั้นจึงจำเป็นอย่างยิ่งที่จะต้องคิดไว้เสมอว่าไม่ช้าก็เร็วเหตุการณ์ไม่คาดฝันจะต้องเกิดขึ้นการมีแผนรับมือเหตุการณ์ฉุกเฉินที่ชัดเจนผ่านการทดสอบผ่านการฝึกซ้อม และเป็นที่รู้จักของทุกคนที่เกี่ยวข้อง จะช่วยลดความวุ่นวายลงได้อย่างมากเมื่อถึงเวลาเกิดเหตุจริง
นอกจากนี้ การพึ่งพาข้อมูลข่าวกรองภัยคุกคามแบบเรียลไทม์ไม่ว่าจะเป็นจากแหล่งข้อมูลของเราเองหรือจากผู้ให้บริการเฉพาะทาง ช่วยให้เราสามารถปรับกฎการตรวจจับ บล็อกโครงสร้างพื้นฐานที่เป็นอันตรายที่รู้จัก และคาดการณ์แคมเปญใหม่ๆ ก่อนที่จะส่งผลกระทบโดยตรงต่อองค์กรได้
ในบริบทนี้ โซลูชันด้านความปลอดภัยทางไซเบอร์รุ่นใหม่ที่สามารถตรวจจับพฤติกรรมที่ผิดปกติ ตอบสนองโดยอัตโนมัติ (เช่น การแยกอุปกรณ์ การยุติกระบวนการที่เป็นอันตราย การย้อนกลับการเปลี่ยนแปลง) และการเชื่อมโยงเหตุการณ์ต่างๆ ข้ามอุปกรณ์ปลายทาง เครือข่าย และระบบคลาวด์ จะเป็นพันธมิตรที่ยอดเยี่ยมสำหรับทีมรักษาความปลอดภัยที่ในหลายกรณีอาจรับมือไม่ไหว
สำหรับผู้เชี่ยวชาญด้านไอที ความท้าทายไม่ได้อยู่ที่การแก้ไขปัญหาเฉพาะหน้าและการดับไฟอีกต่อไป แต่เป็นการนำกลยุทธ์ด้านความปลอดภัยที่สอดคล้องกันซึ่งบูรณาการเทคโนโลยี กระบวนการ และบุคลากรเข้าด้วยกัน ภัยคุกคามจะยังคงพัฒนาต่อไป ปัญญาประดิษฐ์ (AI) จะยังคงมีบทบาททั้งในด้านดีและด้านเสีย และช่องว่างด้านบุคลากรที่มีความเชี่ยวชาญด้านความปลอดภัยทางไซเบอร์จะไม่หายไปในชั่วข้ามคืน นั่นคือเหตุผลที่องค์กรที่ลงทุนตั้งแต่เนิ่นๆ ในวัฒนธรรมด้านความปลอดภัยที่แข็งแกร่ง ระบบอัตโนมัติอัจฉริยะ และการฝึกอบรมอย่างต่อเนื่อง จะอยู่ในตำแหน่งที่ดีที่สุดในการรับมือกับภัยคุกคามที่หลีกเลี่ยงไม่ได้ที่จะเกิดขึ้น
