Fortinet выпустила прогноз ландшафта угроз на 2020 и последующие годы, подготовленный командой экспертов FortiGuard Labs. Исследование раскрывает направления, по которым будут действовать киберпреступники в ближайшем будущем. Кроме этого, были обозначены приемы, которые помогут организациям защититься от будущих атак. Для более подробного ознакомления с прогнозами и ключевыми выводами исследования посетите блог.

Дерек Мэнки, руководитель отдела безопасности и анализа глобальных угроз Fortinet, отмечает: «До сих пор успех в действиях злоумышленников был связан во многом с расширением поверхности кибератак и образующихся в результате этого пробелов в безопасности, вызванных цифровой трансформацией. В последнее время их методики проведения атак стали еще более изощренными благодаря интеграции начальных форм ИИ и swarm technology. К счастью, можно восстановить прежний уровень безопасности, если многие компании будут придерживаться одинаковых стратегий для защиты своих сетей, через которые преступники организуют нападения. Это потребует унифицированного подхода с использованием широкоформатных, интегрированных и автоматизированных решений для обеспечения защиты и подконтрольности всех сегментов сети, а также различных периферийных устройств, от IoT до динамически подключаемых облаков».

За последние годы методики проведения кибератак становились все более изощренными, что привело к росту их эффективности и скорости. Этот тренд, вероятнее всего, сохранится, пока на рынке не появится достаточно организаций, которые изменят свой подход к стратегиям защиты. Учитывая масштабы нынешнего ландшафта глобальных угроз, скорость и сложность кибератак, организациям придется реагировать на возникающие угрозы в реальном времени, не отставая от работы машин, чтобы эффективно противостоять агрессивным действиям. В этой борьбе станет жизненно необходимым применять последние достижения в области искусственного интеллекта (ИИ) и исследования угроз.

Одной из долгосрочных целей в разработке ИИ для обеспечения безопасности является создание адаптивной системы невосприимчивости к угрозам, работающей аналогично иммунной системе человека. Разработка такого ИИ первого поколения была направлена на использование различных моделей машинного обучения. Они обучались, корректировались и предлагали определенный план действий для отражения атаки. В системах ИИ второго поколения акцент был сделан на создание механизма интеллектуального анализа. Его уровень значительно вырос к этому времени и позволял выявлять паттерны, существенно улучшавшие работу различных функций, таких как управление доступом, путем размещения обучающихся узлов по всем направлениям защиты. Развитие систем ИИ третьего поколения идет по пути отказа от использования монолитного центра обработки в пользу создания системы региональных обучающихся узлов. Данные накапливаются локально и используются для распределенного сравнения, коррекции и анализа. Это будет иметь крайне важное значение для компаний, которые ищут пути защиты своих разрастающихся периферийных сегментов.

Помимо применения традиционных форм анализа угроз с использованием данных из открытых источников или после изучения внутреннего трафика и накопленной информации, будущие системы машинного обучения начнут со временем активно применять данные, собираемые с периферийных устройств нового поколения и передаваемые на локальные обучающиеся узлы. Отслеживая и сопоставляя информацию в реальном времени, ИИ-система сможет иметь более полное представление о текущем состоянии угроз. Она также сможет корректировать работу локальных устройств, задавая им правила для ответной реакции на инциденты. Это позволит будущим ИИ-системам безопасности распознавать угрозы, корректировать свои действий, отслеживать и быть готовыми к ответным мерам, обмениваясь информацией в пределах сети. В конечном итоге, распределенная система обучения позволит объединить наборы данных, чтобы адаптироваться к изменяющимся условиям, тенденциям и событиям. Таким образом, каждое событие будет улучшать качество всем системы. В результате, информация об инциденте, полученная в одном месте, будет повышать осведомленность о текущих угрозах для всей системы.

Внедрение ИИ позволяет компаниям не только автоматизировать выполнение задач, но и открывает возможность создания автоматизированной системы поиска и выявления кибератак — как после появления признаков, так и до реализации сценария. Благодаря совместному использованию машинного обучения и статистического анализа, организации могут разработать индивидуальный план действий с опорой на ИИ для улучшения раскрываемости угроз и реагирования. Подготовленные сценарии реагирования (playbooks) должны научиться выявлять закономерности (паттерны), с помощью которых ИИ будет прогнозировать действия атакующей стороны, подсказать время вероятного начала следующей атаки и даже выявлять подозреваемых, стоящих за угрозой. Если эти данные можно предоставить системе обучения ИИ, то удаленные обучаемые ноды смогут поддержать эффективную и упреждающую защиту, не ограниченную только обнаружением угроз, но позволяющую также предсказывать последующие действия, проактивно вмешиваться в процесс и координировать действия с другими нодами для одновременного противодействия на пути распространения атаки.

Одним из наиболее важных факторов борьбы против шпионажа является эффективная контрразведка. Это же справедливо и для кибератак или защиты, где все действия тщательно отслеживаются. Обороняющаяся сторона имеет явное преимущество в доступе к различного рода информации об угрозах. Киберпреступники обычно не обладают такими возможностями, к которым теперь добавились средства машинного обучения и ИИ. Однако применение хитроумных уловок может привести к ответным мерам со стороны злоумышленников. Они учатся отличать легитимный трафик от уловок и стараются делать это незаметно, чтобы не раскрыть себя во время атаки. Чтобы эффективно противостоять такой стратегии, организациям потребуется добавить в свой арсенал сценарии реагирования и улучшенные алгоритмы ИИ. Это поможет не только обнаруживать нарушителей, занятых разбором легитимного трафика, но и улучшит технологию уловок, что сделает невозможным их отличие от легитимных сообщений. В будущем организации должны научиться реагировать на любые шпионские приемы до начала активных действий, сохраняя за собой превосходство в контроле.

Деятельность организаций, связанная с кибербезопасностью, предоставляет им ряд уникальных привилегий, касающихся доступа к персональной информации; представители преступного мира не обладают таким правом. Это позволяет правоохранительным органам создавать собственные командные центры с глобальным охватом и распространять свои действия на частных лиц, имея возможность наблюдать за киберпреступниками в реальном времени и реагировать на их действия. Существующая система законных действий, а также связи с общественными и частными службами также может быть полезна для выявления нарушителей и ответной реакции. Можно ожидать появления инициатив по формированию единого подхода для связей между правоохранительными органами международного и местного уровней, правительственными организациями, корпоративным сектором и экспертами в области безопасности. Это будет способствовать развитию системы своевременного и безопасного обмена информацией для выстраивания защиты критически важной инфраструктуры и усиления борьбы с киберпреступлениями.

Новые возможности, вносимые организациями в свою стратегию защиты, вряд ли останутся без внимания со стороны противника и будут иметь ответную реакцию. Внедрение улучшенных методов обнаружения и противодействия кибератакам приведет к попыткам киберпреступников сделать что-то другое, еще более серьезное. На фоне появления более совершенных методов атаки, расширения направлений потенциальных атак, внедрения более умных ИИ-систем, изобретательность представителей киберпреступного мира также не снижается.

В недавнем отчете Fortinet Threat Landscape отмечался рост популярности различных усовершенствованных методик уклонения. Их разработка направлена специально на то, чтобы избегать обнаружения, отключать функции защиты и устройства контроля, наносить урон, работая «под прицелом» систем защиты и применяя тактику LoTL («Living off The Land») — использование легитимного установленного ПО и маскировка вредоносного трафика под законный. Многие современные вредоносы уже содержат внутри себя функции, позволяющие уклоняться от обнаружения антивирусными программами или другими средствами противодействия угрозам. Но злоумышленники продолжают применять все более изощренные способы запутывания и противодействия анализу. При использовании таких стратегий роста значительно повышается значение «слабых мест», которые могут оставаться в средствах безопасности и появляться в результате ошибок персонала.

Последние несколько лет на рынке наблюдался рост популярности swarm technology, связанного с выполнением поставленной задачи за счет массированных, скоординированных, однотипных действий. Применение средств машинного обучения и ИИ в атаках против легитимных сетей и устройств привело к появлению еще одного способа применения этой технологии. С одной стороны, ее достижения имеют важное значение для решения прикладных задач в области медицины, транспорта, машиностроения, автоматизации. Однако при злонамеренном использовании в условиях, когда организации не вносят изменений в свою стратегию защиты, паритет может нарушиться в пользу злоумышленников. Киберпреступники могут применять Swarm-технологию в бот-атаках для проникновения в сеть, подавления внутренних средств обороны, повышения эффективности поиска и кражи данных. Ожидается, что со временем появятся специализированные боты, наделенные определенными функциями, которые будут обмениваться данными в реальном времени и сопоставлять их. В результате возрастет скорость отбора целей, а тактика проведения атаки станет более разнообразной. Киберпреступники смогут атаковать уже не только одну, а и сразу множество целей одновременно.

Проникновение сетей 5G может со временем стать катализатором для развития функциональных Swarm-атак. В их основе будет лежать возможность выстраивания локальных специальных сетей, которые способны быстро обмениваться и обрабатывать данные, а также запускать в работу приложения. При этом ненадлежащем использовании 5G и периферийных Edge-вычислений каналом для распространения вредоносного кода могут стать взломанные устройства. Если собрать их в группу, то станет возможным проведение скоординированных атак на скоростях 5G. Принимая во внимание быстродействие, степень интеллектуальности, а также локальный характер проведения таких атак, под угрозой могут оказаться устаревшие технологии защиты, что заставит задуматься о поиске путей для эффективного противостояния таким угрозам.

До сих пор на поиски уязвимости нулевого дня и разработку эксплойта уходило традиционно много сил и времени. Поэтому киберпреступники не торопились с их применением, придерживая в своем арсенале, пока оставались другие варианты для атаки. Нынешняя ситуация характерна ростом возможных направлений для угроз, а также упрощением задачи выявления уязвимостей. Это привело к угрозе потенциального роста числа уязвимостей нулевого дня. Применение технологий фаззинга и планомерный поиск («майнинг») уязвимостей нулевого дня с использованием ИИ также способствуют экспоненциальному росту числа подобных кибератак. Поэтому необходимо заблаговременно принимать меры для защиты, чтобы противостоять этому тренду.