Helsingin Cyber Security Nordic muuttaa SOC-yksiköiden työtä

Tietoturvakeskusten eli SOC-yksiköiden työ muuttuu nopeasti, kun kyberhyökkäykset nopeutuvat ja tekoälyagentit alkavat toimia itsenäisesti. Muutos nousi esiin Helsingissä järjestetyssä Cyber Security Nordic -tapahtumassa, jossa asiantuntijat korostivat puolustuksen automatisointia ja ihmisen roolin painottumista analyysiin.

Perinteisesti SOC-yksiköt ovat tutkineet järjestelmien tuottamia hälytyksiä ja reagoineet havaittuihin uhkiin. Malli joutuu koetukselle, kun hyökkääjät käyttävät tekoälyä hyökkäysten automatisointiin ja toteuttamiseen aiempaa suuremmassa mittakaavassa.

Fortinetin tietoturvatutkija Hossein Jazi kuvasi kyberrikollisuutta teolliseksi ekosysteemiksi. Rikollisten ei enää tarvitse rakentaa hyökkäyksiä itse, sillä työkaluja, varastettuja tunnuksia ja jopa pääsyä yritysten verkkoihin voi ostaa palveluna.

Jazin mukaan nyt nähdään ennen kaikkea generatiivisen tekoälyn avustamia hyökkäyksiä. Seuraava vaihe on hänen mukaansa täysin autonominen hyökkäys, jossa tekoälyagentti toteuttaa koko hyökkäysketjun ilman ihmisen jatkuvaa ohjausta.

”Puolustajien on pystyttävä toimimaan samalla nopeudella ja samassa mittakaavassa. Kun käsiteltävänä on biljoonia tietohavaintoja, niitä ei voida analysoida käsin”, Jazi sanoi ETN:n haastattelussa.

Automaatio voi hoitaa suuren osan hälytysten käsittelystä ja muista rutiinitehtävistä. Ihmisille jäävät monimutkaisten uhkien ymmärtäminen, riskien arviointi ja automaattisten puolustusjärjestelmien toiminnan valvonta.

Haavoittuvuuksien määrä ei kerro todellisesta riskistä

Tenablen Gavin Millard nosti esiin haavoittuvuuksien hallinnan ongelman. Tietoturvajärjestelmät tunnistavat valtavasti haavoittuvuuksia, mutta vain pieni osa niistä on todellisuudessa hyödynnettävissä.

Millardin esittämien lukujen mukaan vain 1,3 prosenttia haavoittuvuuksista on hyödynnettävissä, vaikka CVSS-vakavuusluokitus määrittelee 56 prosenttia niistä vakaviksi tai kriittisiksi.

Korjauksia ei siksi pitäisi priorisoida pelkästään vakavuuspisteiden perusteella. Olennaista on tunnistaa organisaatiolle todellista riskiä aiheuttavat haavoittuvuudet ja erottaa ne niistä, joiden korjaaminen voi odottaa.

Millard tiivisti automaation periaatteen yksinkertaisesti: jos korjaustoimenpide voidaan automatisoida, hän antaisi tekoälyagentin hoitaa sen.

Myös Jazi korosti, ettei perinteinen haavoittuvuuksien hallinta enää riitä. Hyökkääjät voivat hyödyntää uusia haavoittuvuuksia niin nopeasti, ettei puolustajilla ole aina edes viikkoa aikaa asentaa tarvittavia korjauksia.

Tekoälyagenttien käyttöoikeuksia on valvottava

Automaatio tuo tietoturvaan uuden ongelman, kun tekoälyagentit saavat oikeuden tehdä muutoksia järjestelmiin. Tällöin niiden käyttöoikeuksista tulee keskeinen osa organisaation suojausta.

SSH Communications Securityn Rami Raulas käsitteli esityksessään koneellisten identiteettien kasvavaa merkitystä. Tekoälyagentit tarvitsevat pääsyn eri järjestelmiin ja tietoihin, mutta niiden oikeuksia ei voida hallita samalla tavalla kuin perinteisten käyttäjien.

Raulasin mukaan pelkkä yhteyden valtuuttaminen ei enää riitä. Myös agentin suorittama yksittäinen operaatio on pystyttävä valtuuttamaan.

Jos agentti esimerkiksi hoitaa yrityksen laitehankintoja, sillä ei pidä olla pääsyä henkilöstöhallinnon tietoihin vain siksi, että se toimii yrityksen sisäverkossa.

Sama ongelma näkyy hyökkääjien toiminnassa. Jazin mukaan rikolliset ovat alkaneet varastaa koneellisia identiteettejä, API-avaimia ja tekoälyagenttien tunnuksia. Niiden avulla hyökkääjä voi päästä järjestelmiin ilman varsinaista murtautumista.

Cyber Security Nordic -tapahtumassa esiin noussut kehitys muuttaa SOC-yksiköt valvomoista analyysi- ja ohjauskeskuksiksi. Yhä suurempi osa havainnoinnista, uhkien tunnistamisesta ja torjuntatoimista tapahtuu automaattisesti, mutta ihmiset vastaavat edelleen kokonaiskuvan muodostamisesta, riskien arvioinnista ja puolustuksen tavoitteista.

Jos tekoälyagentti pystyy toteuttamaan hyökkäyksen koneellisella nopeudella, ihmisen hyväksyntää ei voida odottaa jokaisen torjuntatoimen kohdalla. Samalla puolustavia agentteja on valvottava tarkasti, sillä niiden laajat käyttöoikeudet voivat muodostaa uuden hyökkäysreitin.