De gemiddelde tijd tussen het eerste contact en de daadwerkelijke breach van een domein is de afgelopen jaren drastisch afgenomen. AI speelt daarin een steeds grotere rol. Jan Bervar, Group Security Architect bij Conscia, stelt dat automatisering binnen MDR de echte versneller is. Wat betekent dat voor de beveiligingsstrategie van een organisatie?
Er is en blijft veel aandacht voor AI-aangedreven aanvalstools. Is dat terecht? “Aanvallers maken niet zozeer gebruik van AI, maar vooral van automatisering”, zegt Bervar. Met andere woorden: veel mensen richten zich op de verkeerde dingen. Het is dan ook geen verrassing dat hij ook vindt dat Mythos “erg overdreven” wordt. Kant-en-klare generatieve AI-modellen zijn ook in staat om vrijwel dezelfde taken uit te voeren, zegt hij.
Verdedigers profiteren net zo goed van AI
In discussies over AI en cybersecurity ligt de nadruk meestal sterk op wat aanvallers ermee kunnen doen. Bervar wijst er echter op dat verdedigers AI ook kunnen (en zouden moeten) gebruiken. Sterker nog, verdedigers kunnen met ongeveer 10% extra inspanning nieuwe verdedigingsregels opstellen in het geval er nieuwe aanvallen plaatsvinden, zegt hij. Volgens Bervar betekent deze symmetrie dat AI geen revolutie is voor aanvallers. Verdedigers kunnen hier vrij snel op inspelen, mits ze over de juiste tools en de juiste cultuur beschikken.
Conscia heeft de tools om ervoor te zorgen dat organisaties zich snel kunnen verdedigen tegen nieuwe aanvallen. Wanneer een nieuwe dreiging wordt beschreven in voor mensen leesbare taal, verwerkt Conscia die beschrijving, bootst het aanvalsgedrag na in een klantomgeving en genereert het verdedigingsregels. Dat kan binnen één of twee uur worden gedaan. Vroeger kostte zoiets ongeveer 24 uur, maar dankzij AI is het mogelijk geworden om dat aanzienlijk te versnellen.
Zero-days activeren bestaande detectieregels
Het snel kunnen opstellen van een respons op een nieuwe dreiging is echter slechts een deel van het verhaal. Als het om zero-days gaat, hebben organisaties meer detectie nodig om potentiële aanvallen voor te blijven. Bervar stelt dat dit iets is waar bedrijven meer in zouden moeten investeren.
Het is echter belangrijk om te begrijpen dat niet alle zero-days gelijk zijn. Niet wat betreft de potentiële impact, maar ook niet wat betreft de moeilijkheidsgraad om je ertegen te beschermen. Veel van de zero-days kunnen worden opgemerkt door bestaande detectiemechanismen.
Volgens Bervar zal ongeveer 90% van de nieuwe zero-days bestaande detectieregels activeren zonder dat er aanpassingen nodig zijn. Dat komt doordat nieuwe zero-day exploits doorgaans varianten zijn van bekende technieken, en geen echt nieuwe soorten aanvallen. Bovendien zijn er zelfs bij volledig nieuwe zero-days over het algemeen zo’n tien stappen nodig om ze daadwerkelijk te kunnen misbruiken. Het is voor aanvallers erg moeilijk om al die tien stappen te doorlopen zonder dat iemand of een tool dit opmerkt. De combinatie van het hoge percentage zero-days dat bestaande regels activeert en de complexiteit om ze te misbruiken, betekent dat Bervar zich er eigenlijk niet zo veel zorgen over maakt.
Niet SIEM, maar XDR helpt
Om zero-days snel te detecteren, zijn detectie en respons cruciaal, stelt Bervar. Een meer traditionele tool zoals SIEM zal niet veel helpen. Hij ziet echter nog steeds dat deze laatste hiervoor wordt gebruikt. Het gebruik van SIEM als enige tool voor detectie en respons is zeer gevaarlijk, zegt hij: “Als je dat doet, word je gehackt.” Hij ziet een verband tussen regio’s in Europa en hoe vaak inbreuken plaatsvinden, specifiek in relatie met het zwaar leunen op SIEM voor detectie- en responsdoeleinden.
Dat Bervar voorstander is van MDR is natuurlijk niet erg verrassend, aangezien Conscia dit aan zijn klanten aanbiedt. Dat betekent echter niet noodzakelijkerwijs dat hij ongelijk heeft. MDR is voor de meeste bedrijven een zeer belangrijke laag in hun securitystack.
Zwarte, witte en grijze zones
Bervar deelt de beveiliging van organisaties op in zwart, wit en grijs. Zwart en wit vormen de basis voor elke organisatie. Dat zijn wat je de traditionele preventiemethoden zou kunnen noemen, zoals segmentatie en least-privileged access, maar ook firewalls, policies en patching. Deze stukjes van de beveiligingspuzzel verkleinen het aanvalsoppervlak en vormen de basis van wat elke organisatie zou moeten hebben. Zero trust maakt ook deel uit van deze strategie. Volgens Bervar is die term vooral de moderne marketingterm voor wat in wezen least-privileged access in combinatie met segmentatie is.
Naast het zwart-witgebied is er ook wat Bervar de grijze zone noemt. Deze heeft betrekking op alle zaken die preventie over het hoofd ziet. Hier komt ook MDR om de hoek kijken. In de grijze zone is het uitgangspunt niet dat er niets door de preventieve maatregelen heen komt. Het is juist het tegenovergestelde: de aanname is dat er een breach heeft plaatsgevonden en dat het belangrijk is om die zo snel mogelijk op te sporen en op te lossen.
Gelaagde securitybenadering
Bervar ziet nog steeds veel investeringen in het zwart-witte (d.w.z. preventie) deel. Dat is niet erg verstandig als er niet ook wordt geïnvesteerd in detectie en respons, stelt hij. Preventie levert sowieso steeds minder op, zegt hij. Detectie en respons kunnen daarentegen organisaties helpen een betere gelaagde securitystack te bouwen.
Wat detectie en respons in de eerste plaats bieden, is veel redundantie. “Zelfs als je geen patches installeert, is er nog steeds detectie en respons”, zegt Bervar. Uiteindelijk draait goede beveiliging om de mate van zekerheid dat je veilig kunt blijven. Om de hoogst mogelijke zekerheid te krijgen, kun je niet op één enkel mechanisme vertrouwen.
Dit alles maakt organisaties natuurlijk alleen veiliger als de detectie en respons bovenop de preventie op de juiste manier worden uitgevoerd. Bervar heeft ook geregeld gezien dat detectie en respons erg slecht worden uitgevoerd. In zo’n geval zal het niet veel helpen.
Dat is waar bedrijven als Conscia (en vele anderen), die MDR-diensten aan klanten verkopen, een rol spelen. Detectie en respons bestaat uit een verzameling van verschillende diensten, tools, telemetrie, observability, enzovoort. Als je over de mensen beschikt om dit zelf allemaal in te richten, kun je dat doen, maar dan zou je een soort SOC (Security Operations Center) moeten opzetten om alles samen te brengen. Dat is voor veel bedrijven niet erg realistisch. Uitbesteding aan een managed provider met een gevestigd SOC is doorgaans effectiever en voordeliger.
“Schuldig tot het tegendeel is bewezen”
Als we Bervar vragen wat Conscia tot een MDR-leverancier maakt die het overwegen waard is, vertelt hij hoe het bedrijf tegen de zaken aankijkt. Het hanteert een aanpak die Bervar “schuldig tot het tegendeel is bewezen” noemt, of “eerst schieten, dan pas vragen stellen”. Dit is noodzakelijk om aanvalsscenario’s aan te pakken die zich binnen enkele seconden en minuten ontvouwen.
In de aanpak van Conscia worden, zodra een verdachte gebeurtenis in de omgeving van een klant wordt gedetecteerd, onmiddellijk geautomatiseerd maatregelen genomen: de getroffen host wordt geïsoleerd. Met andere woorden: het onderzoek volgt op de actie in plaats van eraan vooraf te gaan. Als alles in orde blijkt te zijn, wordt de host binnen ongeveer vijf minuten weer vrijgegeven, met minimale verstoring voor de gebruiker.
De aanpak van Conscia is nogal radicaal. Dit soort automatisering werkt op zich wel op endpoints van gebruikers, zoals laptops, maar kan op weerstand stuiten in andere delen van organisaties. Servers waarop kritieke workloads draaien of OT-omgevingen kunnen niet zo gemakkelijk worden geïsoleerd en/of offline worden gehaald. Volgens Bervar hebben klanten volledige configuratiemogelijkheden om te bepalen welke systemen en groepen onder dit model vallen.
Een ziekenhuis kan bijvoorbeeld specifieke apparaatgroepen definiëren waarvoor de ‘trigger-happy’-aanpak geldt, terwijl de rest ongemoeid blijft. Je hebt dan in ieder geval een deel van de zakelijke omgeving voorzien van extra securitymaatregelen.
Geen stappen, maar mijlenver voor met MDR?
Over het algemeen is Bervar behoorlijk optimistisch over de cyberbeveiligingssituatie. Dat is een aangename afwisseling ten opzichte van het doemdenken dat we doorgaans tegenkomen. Het is dan ook geen verrassing dat hij aan het einde van ons interview stelt dat er geen reden is om extreem nerveus te worden, ook niet over Mythos en de krachtige modellen die daarop volgden.
Aan het einde van ons gesprek verwijst Bervar naar het idee om de aanvallers altijd een stap voor te blijven. Volgens hem is dat niet ambitieus genoeg. “We moeten mijlenver voorlopen”, zegt hij. Met de juiste combinatie van preventie, detectie, respons en offensieve beveiligingstests is dit mogelijk, zo stelt hij.
De belangrijkste boodschap van Bervar is dat er al heel veel is wat je kunt doen om organisaties tegen aanvallen te beschermen, zelfs in het tijdperk van AI. Bestaande detectiemechanismen kunnen nu al veel van de zero-days opsporen die de nieuwe (en oudere) AI-modellen aan het licht kunnen brengen. Het is vooral de manier waarop je erop reageert die het verschil maakt.
Onze belangrijkste conclusie uit ons gesprek met Bervar is dat organisaties moeten kijken naar het versnellen van de reactietijd. Het hanteren van de ‘schuldig tot het tegendeel is bewezen’-benadering waar mogelijk, is een goed begin.
Lees ook: Post-Mythos security is ook nog heel erg pre-Mythos security