بقا در عصر Mythos؛ چرا NDR به ستون اصلی دفاع سایبری مدرن تبدیل شده است؟

با افزایش سرعت کشف آسیب‌پذیری‌ها و گسترش استفاده از هوش مصنوعی در حملات سایبری، تیم‌های عملیات امنیت (SOC) بیش از هر زمان دیگری با حجم عظیمی از هشدارها و داده‌های امنیتی مواجه هستند. در چنین شرایطی، پرسش‌های اساسی همچنان بدون پاسخ باقی می‌مانند:

چه اتفاقی رخ داده است؟ چه شواهدی برای اثبات آن در اختیار داریم؟ چگونه اطمینان حاصل کنیم که تصویر کاملی از حمله مشاهده شده است؟

به اعتقاد ریچارد بیجتلیچ (Richard Bejtlich)، یکی از شناخته‌شده‌ترین متخصصان حوزه امنیت شبکه، پاسخ این پرسش‌ها در Network Detection and Response (NDR) نهفته است؛ رویکردی که به جای اتکا به هشدارها، بر شواهد واقعی شبکه و تحلیل رفتار مهاجمان تمرکز دارد.

چرا هشدارهای امنیتی دیگر کافی نیستند؟

در شرایطی که تعداد آسیب‌پذیری‌های جدید و حملات سایبری به‌طور مداوم در حال افزایش است، تیم‌های امنیتی دیگر توان بررسی تمامی هشدارهای تولیدشده را ندارند. بسیاری از هشدارها تنها احتمال وقوع یک تهدید را نشان می‌دهند و برای تصمیم‌گیری نهایی کافی نیستند.

حتی با استفاده از سامانه‌های خودکار و هوش مصنوعی، آنچه تیم‌های امنیتی به آن نیاز دارند، شواهد قابل استناد از فعالیت واقعی مهاجم است؛ نه صرفاً حجم بیشتری از داده‌های خام.

NDR؛ از تشخیص تا توقف حمله بسیاری از راهکارهای امنیتی بر جلوگیری از نفوذ تمرکز دارند، اما تجربه نشان داده است که هیچ مکانیزم پیشگیرانه‌ای صددرصد مؤثر نیست. سرقت اعتبارنامه‌ها، اجرای بدافزار و خروج اطلاعات حساس همچنان در بسیاری از سازمان‌ها رخ می‌دهد.

به همین دلیل، ریچارد بیجتلیچ مفهوم Interdiction یا «ممانعت از پیشروی حمله» را مطرح می‌کند؛ رویکردی که هدف آن شناسایی و متوقف کردن مهاجم پس از نفوذ اولیه و پیش از دستیابی به اهداف نهایی است.

در این میان، Network Detection and Response (NDR) با فراهم کردن دید کامل نسبت به ترافیک شبکه، امکان شناسایی، تحلیل و مهار فعالیت‌های مخرب را در مراحل مختلف حمله فراهم می‌کند.

چهار منبع کلیدی شواهد در NDR برای انجام تحقیقات دقیق و مستند، NDR از چهار منبع اصلی اطلاعات بهره می‌برد:

ثبت کامل بسته‌های شبکه (Full Packet Capture) فایل‌های استخراج‌شده از ترافیک شبکه لاگ‌ها و تراکنش‌های ارتباطی هشدارها و موتورهای تشخیص تهدید

ترکیب این داده‌ها، دیدی جامع از رفتار مهاجم ارائه می‌دهد و امکان بازسازی دقیق زنجیره حمله را فراهم می‌کند.

شکار تهدید باید با فرضیه آغاز شود یکی از مهم‌ترین نکات مطرح‌شده در کتاب، تغییر رویکرد سنتی در Threat Hunting است.

بیجتلیچ معتقد است که شکار تهدید نباید صرفاً واکنشی به هشدارهای امنیتی باشد؛ بلکه تحلیلگر باید ابتدا فرضیه‌ای درباره رفتار مهاجم یا تکنیک مورد استفاده او تدوین کرده و سپس با تحلیل داده‌های شبکه، آن فرضیه را تأیید یا رد کند.

نمونه‌هایی از این نوع تحلیل عبارت‌اند از:

شناسایی فایل‌های اجرایی مشکوک بررسی استفاده از پروتکل‌های غیرمتعارف تحلیل انتقال غیرعادی حجم بالای داده شناسایی حرکت جانبی (Lateral Movement) بررسی گواهی‌های دیجیتال و ارتباطات رمزگذاری‌شده نقش هوش مصنوعی در NDR

هوش مصنوعی امروز به یکی از ارکان اصلی عملیات امنیت تبدیل شده است. در حوزه NDR، این فناوری می‌تواند با کاهش بار کاری تحلیلگران و تسریع فرآیندهای بررسی، نقش مهمی در افزایش بهره‌وری ایفا کند.

از مهم‌ترین کاربردهای AI در این حوزه می‌توان به موارد زیر اشاره کرد: بهینه‌سازی و اولویت‌بندی هشدارها استفاده از Agentهای هوشمند برای اجرای خودکار فرآیندهای پاسخ به رخداد یکپارچه‌سازی اطلاعات شبکه، Endpoint، سرویس‌های ابری و سایر ابزارهای امنیتی

با این حال، نویسنده تأکید می‌کند که تصمیم نهایی همچنان باید توسط تحلیلگران انسانی اتخاذ شود؛ زیرا مدل‌های هوش مصنوعی ممکن است دچار خطا یا تولید نتایج نادرست شوند.

دو توصیه عملی برای تیم‌های SOC ۱. کاهش هشدارهای پیش‌فرض

فعال بودن تعداد زیادی قانون تشخیص از همان ابتدا، معمولاً منجر به Alert Fatigue یا خستگی ناشی از هشدارها می‌شود. به همین دلیل، پیشنهاد می‌شود سازمان‌ها با یک Zero Baseline آغاز کرده و تنها قوانین ضروری را فعال کنند.

۲. هشدار، آغاز تحقیق است نه پایان آن

هشدار امنیتی نباید به‌عنوان نتیجه نهایی تلقی شود. هر هشدار تنها نقطه شروع یک فرآیند تحلیل است که باید با جمع‌آوری شواهد و بررسی دقیق شبکه تکمیل شود.

با پیچیده‌تر شدن حملات سایبری و گسترش استفاده از هوش مصنوعی توسط مهاجمان، اتکا به هشدارهای امنیتی دیگر پاسخگوی نیاز سازمان‌ها نیست. Network Detection and Response (NDR) با ارائه دید عمیق نسبت به ترافیک شبکه، جمع‌آوری شواهد قابل استناد و فراهم کردن بستر مناسب برای شکار تهدید، به یکی از مهم‌ترین مؤلفه‌های معماری امنیت سایبری مدرن تبدیل شده است.

راهنمای NDR Essentials علاوه بر معرفی مفاهیم پایه، مجموعه‌ای از توصیه‌های عملی برای ارتقای فرآیندهای تحقیق، شکار تهدید و پاسخ‌گویی به رخدادها ارائه می‌کند و می‌تواند منبع ارزشمندی برای مدیران امنیت، تحلیلگران SOC و تیم‌های پاسخ به رخداد باشد.