Intervju odpira tematiko groženj, ki jih omogoča uporaba orodij umetne inteligence (AI). Odgovore je podelil strokovnjak David Kasabji iz podjetja NIL, del skupine Conscia. Kasabji deluje v podjetju kot vodilni analitik varnostno-obveščevalnih podatkov.
Naši bralci so tako strokovnjaki s področja kibernetske varnosti kot tudi drugi zaposleni v bančno-finančnem sektorju, ki še ne poznajo vloge analitika varnostno-obveščevalnih podatkov. Katere so vaše glavne naloge in odgovornosti, kako se je vaša vloga razvijala v zadnjih letih glede na hitro spreminjajoče se okolje kibernetske varnosti?
Vloga analitika varnostno-obveščevalnih podatkov ima širok spekter. Znotraj oddelka imamo za vsakega posameznega analitika večkrat različne in specifične fokuse. V tem primeru bom povzel glavne naloge in odgovornosti v celoti.
Primarni cilj varnostno-obveščevalnih podatkov je, da zagotavljajo proaktivno odkrivanje groženj. S pomočjo takšnih podatkov lahko predvidimo potencialne grožnje za naše podjetje, še preden se zgodijo – takšne dogodke lahko preprečimo oziroma bistveno znižamo tveganje za resnejši incident – to je naš »holy grail«.
V podjetju NIL imamo opredeljeno storitev, ki naslavlja prav to področje, in sicer pod imenom Executive Intelligence Briefings. Ta deluje tako, da za naše stranke spremljamo njihove grožnje v okolju (angl. Threat Landscape) in na podlagi opazovanja ugotavljamo, katera grožnja je za njih najbolj relevantna. Ko grožnjo odkrijemo (to so navadno hekerske skupine ali celo APT-ji), analiziramo njihovo delovanje. Ko dobimo informacijo, kdo je najbolj verjetna grožnja ter kako operira, lahko v nadaljevanju na podlagi teh dveh vhodnih podatkov z ustreznimi operativnimi ali strateškimi odločitvami zagotovimo, da grožnja ne bo predstavljala visokega tveganja za digitalno varnost podjetja.
To je torej klasični cilj varnostno-obveščevalnih podatkov na strateški oz. taktični ravni, za katerega verjamem, da ga večina podjetij najbolj pozna.
Tisti manj znani del se pojavlja na operativni ravni, kjer varnostno-obveščevalni podatki služijo kot vir bogatenja podatkov za varnostno operativne centre (angl. SOC), kar analitikom omogoča hitrejšo dedukcijo primerov, ki jih razrešujejo. Prav tako se varnostno-obveščevalni podatki uporabljajo za proaktivno odkrivanje groženj na podlagi t. i. Threat Hunting tehnik, s katerimi ujamejo tiste grožnje, ki se izmuznejo reaktivni zaznavi.
Prav tako so nepogrešljivi pri odzivih na incidente, kjer analitiki varnostno-obveščevalnih podatkov sodelujejo z ekipo odziva na incidente, pri čemer jim pomagajo ugotoviti, kdo stoji za določenim napadom in kako se je tak napad v celoti izvedel (npr. z analizo vzorca zlonamerne programske opreme). S to ugotovitvijo odkrijejo dodatne tehnike napadalca, katere posredujejo ekipi za odzive na incidente. Ta ekipa lahko potem dodatno preveri, ali so res ustrezno in v celoti počistili grožnjo v okolju.
Varnostno-obveščevalni podatki so pravzaprav vpeti v vsak steber kibernetske varnosti in predstavljajo tisto »proaktivno« komponento v kibernetski varnosti, ki postaja vse bolj nepogrešljiva. Iz leta v leto namreč spremljamo naraščanje digitalnega kriminala, tako v volumnu napadov kot v razvoju naprednih tehnik napadov ter infrastrukture. Prav zato tradicionalne metode reaktivne zaznave groženj žal ne bodo več zadoščale. Treba bo začeti predvidevati tiste najbolj očitne in akutne grožnje ter jih ustrezno obravnavati, še preden pride do incidenta.
Veseli me, da se v finančnem sektorju prebuja zavedanje tega izziva in da se v kar nekaj nedavnih pravnih aktih (DORA, TIBER-EU) zahteva vpletenost varnostno-obveščevalnih podatkov v programih za kibernetsko varnost.
