Керівники відділів мережевих операцій, відповідаючи на запитання про зміни цього року, навряд чи вкажуть на один конкретний інцидент. Вони скажуть, що змінився часовий проміжок. Раніше темп розвитку корпоративних ІТ-систем визначали ті, хто ними керував: цикли встановлення оновлень, графіки аудитів, вікна для внесення змін. Проте передові моделі ШІ не чекають на жодне з цих обмежень.
Cisco має назву для результату цього зсуву: пост-мітос-загроза. Це атака, розроблена та адаптована за допомогою ШІ, здатна стискати фази розвідки, розробки експлойтів та латерального руху в один автоматизований прохід. Більшість корпоративної інфраструктури ніколи не створювалася для моніторингу, оновлення та захисту з такою швидкістю, і бізнеси, що її використовують, лише починають усвідомлювати це.
«Математика, на яку захисники покладалися десятиліттями, більше не працює», — зазначає Ліз Чентоні, виконавчий віцепрезидент і директор з клієнтського досвіду Cisco. «Розвідка та генерація експлойтів, які раніше займали тижні, тепер тривають хвилини, а іноді й менше. Щоквартальні аудити та статичні інвентаризації ніколи не були розроблені, щоб витримати це, і більшість організацій лише зараз це усвідомлюють».
За даними аналітичного центру Cisco Talos, минулого року 40% зі 100 найактуальніших вразливостей стосувалися пристроїв, що більше не підтримуються. Cisco очікує, що цей показник зростатиме до 2026 року. Непідтримуваний пристрій — це вже не просто рядок у статті витрат на обслуговування. Це відчинені двері.
«Ось закон», — говорить Чентоні. «Актив, який ви не бачите, — це актив, який ви не можете захистити. А зі швидкістю машини у вас не буде другого шансу знайти його першим. Я постійно чую від клієнтів одне й те саме: вони не знають, що підтримується після закінчення терміну підтримки, і не знають, що сказати своєму раді директорів, коли постає питання про захист від атаки рівня «Мітос». Це не просто брак видимості. Це прихована загроза, яку вони несуть, не усвідомлюючи цього».
Структурне рішення, а не ще одна інформаційна панель
Відповіддю Cisco є послуги Resilient Infrastructure Services, що базуються на трьох напрямках: швидка оцінка загроз, яка виявляє та пріоритизує те, що дійсно перебуває під ризиком; модернізація інфраструктури, яка посилює захист середовища за принципами нульової довіри (Zero Trust); та безперервний захист, який постійно адаптується разом із загрозою.
Частину модернізації часто вважають найменш терміновою з трьох, оскільки заміна інфраструктури займає більше часу, ніж її сканування. Чентоні заперечує таку послідовність. Принципи нульової довіри діють лише тоді, коли базова архітектура може їх застосовувати, а значна частина корпоративної інфраструктури все ще не може. Оцінка показує клієнту, що знаходиться під загрозою. Модернізація — це те, що закриває двері, а безперервний захист — те, що тримає їх зачиненими, поки загроза продовжує рухатися.
«Кожне незаплановане вимкнення має свою історію», — зазначає Чентоні. «Неправильно налаштована політика. Вразливість, яка залишалася невиправленою трохи довше. Відсутність відповідності нормам, яку ніхто не встиг виявити. Клієнти не пропускали ці сигнали, тому що вони не дивилися. У них не було ресурсів, щоб дивитися скрізь одночасно. Це проблема, яку ми вирішили, — не більше сповіщень, а здатність розуміти, які з них дійсно важливі».
Все це працює на базі Cisco IQ, яку зараз використовують тисячі організацій для отримання актуальної картини свого середовища замість щоквартальної.
«Інвентаризація — це список. Інформаційна панель — це просто список із кращим форматуванням», — говорить Чентоні. «Те, що дійсно змінює результат, — це зв’язок статусу життєвого циклу з відомими вразливостями, із тим, як актив реально налаштований і використовується, і збереження всього цього актуальним, а не оновленим за графіком. Це різниця між системою, яка відстежує середовище, і системою, яка його справді розуміє».
Джон Хоенемієр із GlobalFoundries висловився ще простіше. «Ви не можете орієнтуватися в тому, що наближається, за картою, коли вам насправді потрібен GPS», — сказав він аудиторії на Cisco Live у червні. «Cisco IQ дозволяє легко визначити, які саме пристрої піддаються вразливості. Я можу заглибитися, побачити конкретні деталі загрози та миттєво знати, що робити далі».
Вирішення проблем, вимірюване за атакою, а не за SLA
Швидкість виявлення — це лише половина рівняння. Інша половина — те, що відбувається далі.
«Раніше вирішення проблем вимірювалося відповідно до угоди про рівень обслуговування (SLA). Тепер його слід вимірювати відповідно до атаки», — стверджує Чентоні. «Загроза, що діє зі швидкістю машини, не чекає, поки команда збереться і відновить контекст з нуля. Кожне виправлення та виправлення має повертатися в систему, щоб наступне виявлення було швидшим, а клас збою ставав менш імовірним. Це і є стійкість. Гасіння пожежі — це те, що ви робите, коли цього не маєте».
Крім того, на думку Чентоні, це зсув у тому, що клієнти повинні очікувати від взаємодії з підтримкою загалом.
«Роками першим завданням клієнта в надзвичайній ситуації було пояснення власної мережі особі, яка мала її виправити», — каже вона. «У нас більше немає часу на це, і це надмірне висування вимог до команди, яка вже працює на межі. Взаємодія повинна починатися з того, що вже відомо, а не з нуля».
Що насправді означає «завжди на крок попереду»
Чентоні прямо говорить про становище організацій, які все ще працюють за старою моделлю.
«Організації, які досі планують навколо статичних інвентаризацій та ручної тріаджу, не відстають за інструментами», — зазначає вона. «Вони планують діяльність щодо ландшафту загроз, якого більше не існує. ШІ не просто змінив швидкість дій зловмисників. Він змінив цінність переваги захисника, і зараз для більшості компаній вона нічого не коштує».
Саме це мислення стоїть за позиціонуванням Cisco «завжди на крок попереду»: не швидше реагувати на ті самі загрози, а створювати інфраструктуру, яка взагалі не залишає можливостей для реагування.
«Питання ніколи не полягало в тому, чи змінить ШІ ландшафт загроз», — говорить Чентоні. «Питання в тому, чи змінюється ваша інфраструктура разом із ним, чи ви чекаєте, щоб дізнатися це на власному гіркому досвіді».
За матеріалами: venturebeat.com