از تشخیص تا اختلال: یک ایده برای بازتعریف دفاع Endpoint
روزبه نوروزی
من معتقدم زمان آن رسیده که مدل دفاع Endpoint را بازتعریف کنیم. در بسیاری از سازمان‌ها هنوز امنیت بر مبنای «تشخیص و سپس واکنش» طراحی شده است؛ یعنی ابزار داده جمع می‌کند، هشدار تولید می‌شود و بعد از بررسی انسانی اقدام انجام می‌گیرد. اما واقعیت این است که مهاجمان امروزی، به‌ویژه در سناریوهای باج‌افزار، در بازه‌ای بسیار کوتاه می‌توانند از نفوذ اولیه به تخریب کامل برسند. در چنین شرایطی، صرف تشخیص کافی نیست.
ایده‌ای که مطرح می‌کنم، حرکت از «Detection-Centric Security» به سمت «Disruption-Driven Security» است. یعنی هدف اصلی سیستم دفاعی نباید فقط کشف حمله باشد، بلکه باید ایجاد اختلال فوری در زنجیره حمله باشد. Just in time IR. توقف فرآیند مخرب در لحظه اجرا، قطع ارتباط فرماندهی و کنترل، یا ایزوله‌سازی سریع Endpoint، می‌تواند هزینه و سرعت مهاجم را به‌شدت افزایش دهد.
در این مدل، اختلال خودکار در سطح Endpoint با تحلیل انسانی ترکیب می‌شود. ابزار در لحظه اقدام می‌کند و تیم امنیتی سپس با بررسی عمیق، علت ریشه‌ای، بهبود منطق‌های تشخیص و اصلاح سیاست‌ها را انجام می‌دهد. به‌این‌ترتیب، پاسخ امنیتی از «هشدار و رسیدگی» به «توقف و سپس تحلیل» تغییر می‌کند.
از نگاه من، بلوغ واقعی عملیات امنیتی زمانی شکل می‌گیرد که معیار موفقیت، نه تعداد هشدارهای مدیریت‌شده، بلکه سرعت و کیفیت اختلال در فعالیت مهاجم باشد.
چقدر در کشور ما توانستیم در این خصوص مانور بدهیم ؟
روزبه نوروزی
من معتقدم زمان آن رسیده که مدل دفاع Endpoint را بازتعریف کنیم. در بسیاری از سازمان‌ها هنوز امنیت بر مبنای «تشخیص و سپس واکنش» طراحی شده است؛ یعنی ابزار داده جمع می‌کند، هشدار تولید می‌شود و بعد از بررسی انسانی اقدام انجام می‌گیرد. اما واقعیت این است که مهاجمان امروزی، به‌ویژه در سناریوهای باج‌افزار، در بازه‌ای بسیار کوتاه می‌توانند از نفوذ اولیه به تخریب کامل برسند. در چنین شرایطی، صرف تشخیص کافی نیست.
ایده‌ای که مطرح می‌کنم، حرکت از «Detection-Centric Security» به سمت «Disruption-Driven Security» است. یعنی هدف اصلی سیستم دفاعی نباید فقط کشف حمله باشد، بلکه باید ایجاد اختلال فوری در زنجیره حمله باشد. Just in time IR. توقف فرآیند مخرب در لحظه اجرا، قطع ارتباط فرماندهی و کنترل، یا ایزوله‌سازی سریع Endpoint، می‌تواند هزینه و سرعت مهاجم را به‌شدت افزایش دهد.
در این مدل، اختلال خودکار در سطح Endpoint با تحلیل انسانی ترکیب می‌شود. ابزار در لحظه اقدام می‌کند و تیم امنیتی سپس با بررسی عمیق، علت ریشه‌ای، بهبود منطق‌های تشخیص و اصلاح سیاست‌ها را انجام می‌دهد. به‌این‌ترتیب، پاسخ امنیتی از «هشدار و رسیدگی» به «توقف و سپس تحلیل» تغییر می‌کند.
از نگاه من، بلوغ واقعی عملیات امنیتی زمانی شکل می‌گیرد که معیار موفقیت، نه تعداد هشدارهای مدیریت‌شده، بلکه سرعت و کیفیت اختلال در فعالیت مهاجم باشد.
چقدر در کشور ما توانستیم در این خصوص مانور بدهیم ؟
Comments
Be the first to add a comment
Log in to comment