مجرمان سایبری برای نفوذ به یک سازمان لزوماً به هوش مصنوعی نیاز ندارند، اما ادغام AI در متدهای کلاسیک حمله، سرعت پیشروی این حملات را به شدت افزایش داده است. کارهایی که پیش از این نیازمند بررسی دستی اطلاعات و تحلیل نحوه عملکرد سازمان توسط مهاجم بود، اکنون توسط AI تسریع شده و زمان واکنش تیم‌های دفاعی را کاهش می‌دهد.
EvilTokens: پلتفرمی برای تسریع زنجیره حمله
یک نمونه اخیر، EvilTokens است؛ یک پلتفرم Phishing-as-a-Service (PhaaS) که به مهاجمان کمک می‌کند به اینباکس‌های Microsoft 365 دسترسی پیدا کنند و سپس از AI برای تحلیل محیط و تعیین موثرترین گام‌های بعدی استفاده نمایند. این پلتفرم از جریان Device Authorization Grant در پروتکل OAuth 2.0 سوءاستفاده می‌کند تا بدون نیاز به ساخت صفحات لاگین جعلی، به حساب‌های مایکروسافت دسترسی یابد.
مایکروسافت اعلام کرده است که عملیات EvilTokens در هر مرحله از زنجیره حمله (Attack Chain) از هوش مصنوعی بهره می‌برد. با حذف اصطکاک‌های عملیاتی، امنیت سازمان‌ها دیگر تنها به سرعت پاسخ تیم‌ها، بلکه به میزان دستاوردهای مهاجم پیش از شناسایی بستگی دارد.
تأثیر AI بر چرخه حیات حمله (The Four S’s)
بیشتر حملات سایبری در سه مرحله دسترسی (Access)، گسترش (Expansion) و تأثیر (Impact) پیش می‌روند. هوش مصنوعی در این چرخه، چهار مزیت کلیدی یا همان “The Four S’s” را به عامل تهدید می‌دهد:
- Speed (سرعت): تسریع در تحلیل داده‌ها و تصمیم‌گیری.
- Scale (مقیاس): امکان هدف قرار دادن تعداد بیشتری از قربانیان به طور همزمان.
- Sophistication (پیچیدگی): تولید پیام‌های فیشینگ متقاعدکننده بر اساس گفتگوهای واقعی تجاری.
- Stamina (استقامت): تداوم عملیات بدون خستگی انسانی.
در EvilTokens، پس از نفوذ اولیه، AI شناسایی می‌کند که چه کسی کنترل پرداخت‌ها را در دست دارد، کدام روابط تجاری مورد اعتماد هستند و کدام فاکتورها فرصت مناسبی برای کلاهبرداری فراهم می‌کنند.
ضرورت تغییر در معیارهای ارزیابی عملکرد SOC
معیارهایی مانند MTTD (میانگین زمان شناسایی) و MTTR (میانگین زمان پاسخ) در عصر حملات AI-assisted تغییر ماهیت داده‌اند. اگر یک مهاجم با کمک AI بتواند در عرض ۳۰ دقیقه پس از نفوذ، اهداف خود را شناسایی و اجرا کند، شناسایی حمله در دقیقه ۳۰ دیگر “سریع” محسوب نمی‌شود.
ارزش یک شناسایی (Detection) زمانی بیشتر است که پیش از گسترش دسترسی مهاجم و ایجاد Persistence رخ دهد. بنابراین، سرعت باید بر اساس “زمان رسیدن تهدید به مرحله تأثیر” اندازه‌گیری شود، نه صرفاً بر اساس آمارهای تاریخی سازمان.
به سوی امنیت پیش‌دستانه (Preemptive Security)
تست تک‌تک ابزارهای امنیتی (مانند Email Security یا Network Monitoring) به تنهایی کافی نیست، زیرا حملات در سطح سیستم‌های مختلف حرکت می‌کنند. سازمان‌ها باید مسیر کامل حمله (Attack Path) را شبیه‌سازی کنند تا متوجه شوند در کدام نقاط زنجیره حمله، کنترل‌ها واقعاً متوقف می‌کنند یا شکست می‌خورند.
این رویکرد منجر به ظهور امنیت پیش‌دستانه (Preemptive Security) می‌شود؛ تمرکزی بر شناسایی و رفع اقدامات احتمالی مهاجم پیش از وقوع حمله، به جای تکیه صرف بر شناسایی و پاسخ به تهدیدات فعال.
