فریب داشبوردهای نظارتی: شکاف‌های پنهان در پوشش شناسایی تهدیدات

بسیاری از سازمان‌ها تصور می‌کنند که با استقرار قوانین شناسایی (Detection Rules) در داشبوردهای نظارتی، در برابر حملات ایمن هستند؛ اما واقعیت این است که یک قانون شناسایی می‌تواند در داشبورد به عنوان «استقرار یافته» (Deployed) نمایش داده شود، اما در هنگام وقوع واقعی حمله، هیچ هشداری صادر نکند.

تحلیل آماری از نقص در شناسایی

بر اساس ارزیابی‌های انجام شده روی بیش از ۱۴,۶۰۰ مورد شناسایی در سازمان‌های مختلف (شامل قوانین تعریف شده توسط کاربر و شناسایی‌های پیش‌فرض венدورها در ابزارهای SIEM، Endpoint، Cloud و Identity)، مشخص شد که به طور متوسط ۴۷٪ از شناسایی‌ها در سازمان‌ها نیاز به بازنگری و اصلاح دارند.

دلایل ناکارآمدی قوانین شناسایی

این پژوهش دلایل متعددی را برای عدم عملکرد قوانین شناسایی علی‌رغم نمایش وضعیت «سالم» در داشبوردها برمی‌شمارد:

• خطاهای منطقی (Logic Bugs): استفاده از اپراتورهای اشتباه یا شرایطی که هرگز برقرار نمی‌شوند، باعث می‌شود قانون اجرا شود اما هرگز Trigger نشود.
• فقدان تلمتری (Missing Telemetry): توقف جریان داده‌ها از منابع، عدم Onboarding صحیح یا تغییر فرمت داده‌ها باعث می‌شود قانون شناسایی روی داده‌های خالی اجرا شود.
• کوئری‌های نادرست: جستجو در جداول یا Indexهای اشتباهی که حاوی رویدادهای مورد نیاز نیستند.
• شناسایی‌های تکراری و نویز: وجود قوانین مشابه که تنها حجم هشدارها را افزایش داده یا قوانینی که به دلیل دقت پایین (Low Precision)، توسط تحلیلگران نادیده گرفته می‌شوند.

چالش شناسایی‌های مدیریت شده توسط Венدور

بخش بزرگی از سطح شناسایی (Detection Surface) توسط پلتفرم‌های Endpoint، ابزارهای امنیت ابری و Identity Providers مدیریت می‌شود. تیم‌های امنیت دسترسی به منطق داخلی این شناسایی‌ها ندارند و در مواجهه با هشدارهای کاذب (Noisy Detections)، تنها دو گزینه دارند: یا هشدار را غیرفعال کرده و یک نقطه کور (Blind Spot) ایجاد کنند، یا اجازه دهند صف هشدارها برای تحلیلگران بیش از حد شلوغ شود.

شکاف بین Threat Intelligence و دفاع عملیاتی

تحقیقات نشان می‌دهد که سازمان‌ها به طور متوسط تنها برای ۶۳٪ از تهدیداتی که خودشان به عنوان «مرتبط» شناسایی کرده‌اند، پوشش شناسایی یا Hunting دارند. این شکاف به دلیل فرآیند کند و دستی تبدیل گزارش‌های Threat Intelligence به منطق شناسایی است.

راهکار پیشنهادی: اتوماسیون و AI

کارشناسان معتقدند برای بستن این شکاف‌ها، نیاز به استفاده از AI است که بتواند مستقیماً به داده‌های Threat Intelligence متصل شده و آن‌ها را به صورت خودکار به قوانین شناسایی و فرضیات Hunting تبدیل کند. در این مدل، مهندسان شناسایی تنها بر استراتژی و تصمیم‌گیری‌های نهایی نظارت می‌کنند و چرخه تبدیل «اطلاعات به دفاع» توسط سیستم مدیریت می‌شود.