Umělá inteligence, strojové učení, behaviorální analýza, model SecOps (analogie DevOps pro zabezpečení), řízené bezpečnostní služby – to vše slibuje vyšší automatizaci bezpečnosti. Kde je hlavní problém?
Oliver Rochford ze společnost DFLabs ve svém komentáři uvádí, že nejde ani tak o technologie, ale nedostatek důvěry v ně. Zkušení bezpečnostní specialisté, kteří se v oboru pohybují nějaký čas, důvěřovali antispamovým filtrům nebo systémům IPS (prevence narušení) a výsledkem byl chaos, především v důsledku falešných poplachů. I když se technologie a schopnost automatické detekce mezitím zlepšily, skepse trvá.
Firmy dnes mnohá řešení stejně nevyužívají naplno – takže třeba IPS nastaví tak, aby se podezřelé akce neblokovaly, ale pouze se generovalo upozornění. Tím je vlastně systém IPS „downgradován“ na IDS (detekce narušení). Podobných příkladů lze najít spoustu; automatizace je už dnes zabudovaná do řady systémů, ať už jde o SIEM (zpráva bezpečnostních informací a událostí) nebo orchestraci zabezpečení. Pokročilá technologie může být ale zbytečnou investicí, pokud většinu funkcí nebude organizace ve skutečnosti využívat. Sofistikovaný systém pak třeba jen odesílá upozornění a pravidelně spouští testy, málem jako zdarma dostupná verze antiviru pro PC.
Bez automatizace navíc neustále dochází ke kolizím. Experti na zabezpečení mohou těžko posoudit dopad svých akcí na produkční prostředí (poznámka: z téhož důvodu se proto některé systémy jako ERP nebo databáze naopak vyjímají z pravomoci bezpečnostních specialistů), sedí si ve své věži ze slonoviny, nakonec jejich prací je opravdu jen zabezpečení. Automatizace se ale nasazuje právě od toho, aby bezpečnostní akce byly v souladu s dalšími firemními procesy, je reakcí na složitost prostředí a množství závislostí v systémech, které pro člověka mohou být těžko na první pohled viditelné.
Lidé pracující v zabezpečení bývají navíc často přetíženi (nebo se na to alespoň vymlouvají). V důsledku toho se akce (oproti automatizovanému prostředí už tak pomalé) dále brzdí. Třeba u útoků ransomwaru je přitom rychlost reakce naprosto klíčová, rozhoduje o tom, zda se incident podaří zachytit a izolovat nebo si vynutí obnovu po havárii rozsáhlého prostředí. Bezpečnostní specialisté jsou tedy zahlceni prací, ale přitom de facto odmítají využívat nástroje, které by jim mohly pomoci.
Co s tím? Rochford např. uvádí, že v první okamžik by se daly automatizovat alespoň akce, i když ne samotné rozhodnutí. Systém pak bude nastaven, aby zaznamenal incident, vyhodnotil jeho závažnost, získal z kontextu další potřebné informace a na jejich základě navrhl opatření k nápravě. Tento balíček pak bude zaslán specialistům k potvrzení. V případě „odkliknutí“ pak vše proběhne automaticky a prakticky v reálném čase, nicméně samotné rozhodnutí pořád zůstane na člověku.
Zdroj: SecurityWeek a další