Основные выводы
- Вы не сможете защититься от угроз, ускоренных ИИ, с помощью одного лишь латания дыр. Сокращение возможностей злоумышленников важна как никогда.
Вы не сможете защититься от угроз, ускоренных ИИ, с помощью одного лишь латания дыр. Сокращение возможностей злоумышленников важна как никогда.
- Радиус поражения — это ключевая метрика. Чем меньше доступ у учетной записи, тем меньше ущерб может нанести злоумышленник.
Радиус поражения — это ключевая метрика. Чем меньше доступ у учетной записи, тем меньше ущерб может нанести злоумышленник.
- Каждый ИИ-агент — это проблема управления доступом. Новые пути доступа на базе ИИ требуют такой же видимости, управления и контроля, как и пользователи-люди.
Каждый ИИ-агент — это проблема управления доступом. Новые пути доступа на базе ИИ требуют такой же видимости, управления и контроля, как и пользователи-люди.
Почему безопасность данных и управление доступом лежат в основе современной устойчивости
ИИ меняет то, чего злоумышленники могут добиться за короткий промежуток времени. Модели, помогающие защитникам писать код, суммировать логи и проводить триаж оповещений, также помогают злоумышленникам обнаруживать уязвимости, генерировать пути эксплойтов и организовывать кампании по нескольким направлениям. Темпы атак больше не ограничены исключительно человеческими усилиями.
Организации справедливо инвестируют в управление уязвимостями, рисками и исправлениями. Сокращение времени между раскрытием информации и эксплуатацией становится все более важным, но ни одна программа не может устранить каждую уязвимость до того, как ее протестируют. Главный вопрос заключается не только в том, может ли учетная запись быть скомпрометирована, но и в том, к чему она сможет получить доступ после этого. Поэтому руководителям следует укрепить основу нулевого доверия (Zero Trust), лежащую в основе устойчивости: актуальное представление о конфиденциальных данных, строгий контроль доступа и прозрачность их использования.
Почему переосмысление базовых принципов важно именно сейчас
Обнаружение уязвимостей с помощью ИИ увеличивает объем находок, попадающих в конвейеры исправлений, в то время как интервал между раскрытием и эксплуатацией сокращается. Очереди неисправленных проблем, вероятнее всего, останутся неизбежной реальностью и приоритетом для руководителей служб безопасности.
Когда уязвимость приводит к компрометации учетных данных, управление доступом часто определяет, перерастет ли эксплойт в инцидент. Этот уровень формируется из трех вопросов, на которые должна быть готова ответить каждая управленческая команда:
- Определение местоположения: Где хранятся наши конфиденциальные данные в облаках, SaaS, локальных средах, а также в хранилищах для обучения ИИ и извлечения данных? Создайте актуальную базу данных о конфиденциальных данных и рисках.
- Управление: Кто — человек или не-человек — имеет к ним доступ и оправдан ли этот доступ сегодня? Выявляйте устаревший, избыточный или унаследованный доступ до того, как он перерастет в инцидент.
- Обнаружение: Узнаем ли мы быстро, если кто-то начнет получать к ним доступ способом, не соответствующим нормальным шаблонам? Свяжите поведение на уровне данных с оперативным расследованием и локализацией.
Что переосмысление базовых принципов означает на практике
Конфиденциальные данные непрерывно перемещаются на платформы для совместной работы, в SaaS, наборы данных для обучения ИИ, векторные хранилища и сторонние интеграции — зачастую быстрее, чем за ними успевают следить инвентаризации. Непрерывное обнаружение создает надежную базу данных о том, где хранятся эти данные, кто имеет к ним доступ и насколько они уязвимы, часто выявляя достаточно рисков для оправдания оперативных действий.
Видимость также обеспечивает минимизацию данных. Удаление дублированных, устаревших или потерявших актуальность данных снижает риск до применения дополнительных средств контроля: остается меньше данных для защиты, управления и риска потери.
Доступ — это следующий рычаг влияния. На скорости работы машин то, к чему может получить доступ скомпрометированная учетная запись, может иметь большую важность, чем способ ее компрометации. Сокращение избыточного доступа к хранилищам данных с высоким уровнем риска может принести быстрые результаты и должно распространяться на служебные учетные записи, ключи API, нечеловеческие учетные записи и ИИ-агентов — область, которой часто уделяется недостаточно внимания.
ИИ-агенты делают управление доступом более динамичным, поскольку они могут работать через делегированные права пользователей, служебные учетные записи, API и подключенные инструменты. По мере расширения сценариев использования агентов программы должны управлять личностью агента, объемом и продолжительностью его авторизации, а также журналом аудита. Когда агенты извлекают корпоративную информацию, эффективная граница отражает как то, что запрашивает пользователь, так и то, к чему агент и его инструменты могут получить доступ или чем могут управлять.
Телеметрия конечных точек и сети остается важной, но она эффективнее в паре с сигналами на уровне данных, такими как аномальное чтение, необычный обмен данными, шаблоны эксфильтрации и изменения прав за пределами разрешенных периодов. Передача этих сигналов в SOC с предварительно авторизованными обратимыми мерами локализации может сместить показатель прогресса со скорости установки патчей в сторону снижения рисков.
В совокупности эти возможности позволяют базовым механизмам выполнять свою работу так, чтобы в случае возникновения уязвимости радиус поражения был минимально возможным.
Давайте рассмотрим пример с ИИ-агентом, работающим через делегированные пользовательские разрешения и извлекающим информацию из корпоративных хранилищ. Если его служебная учетная запись или подключенные инструменты имеют более широкий доступ, чем предполагалось, эффективная граница формируется не только тем, что запрашивает пользователь, но и тем, что агенту и его инструментам разрешено извлекать и использовать. Таким образом, область авторизации, ее продолжительность и проверяемость относятся к той же программе управления доступом.
Практическая последовательность действий включает в себя:
- Обнаружение: Поддержание актуального инвентаря конфиденциальных данных и рисков.
- Минимизация: Сокращение дублированных, устаревших или потерявших актуальность данных.
- Управление: Удаление избыточного доступа для человеческих и нечеловеческих учетных записей.
- Обнаружение и локализация: Мониторинг поведения на уровне данных и подготовка обратимого реагирования.
Роль Varonis
Видимость является основой, но текущая ландшафт угроз также поощряет платформы, способные действовать на основе того, что они видят. Varonis объединяет возможности поиска, исправления и оповещения о рисках на уровне данных с достаточной для эффективности скоростью.
Поскольку ИИ-агенты и copilots все чаще читают, пишут и действуют на основе корпоративных данных, грань между безопасностью ИИ и безопасностью данных стирается. Varonis распространяет эту же модель «поиск-исправление-оповещение» на ИИ: обнаруживая каждую систему ИИ, связывая это использование с конфиденциальными данными и применяя средства защиты во время выполнения для снижения риска до того, как он превратится в угрозу.
В программе многоуровневой защиты выделяются четыре ключевых вклада:
- Непрерывное обнаружение и классификация: Конфиденциальные данные в облаках, SaaS, локальных средах и системах ИИ, работающие как инвентаризация в реальном времени, а не как ежеквартальная процедура.
- Автоматизированное сокращение избыточного доступа: С темпом, дополняющим проверки прав доступа людьми, превращающим принцип наименьших привилегий для людей и агентов из декларации политики в измеримое, устойчивое состояние.
- Обнаружение угроз на основе данных: С поведенческой аналитикой, настроенной на подготовку программ-вымогателей, эксфильтрацию инсайдерами, компрометацию учетных записей, злоупотребление нечеловеческими учетными записями и несанкционированное поведение, расширяющей поле зрения SOC на активность на уровне данных.
- Управляемое обнаружение и реагирование на данные: Для организаций, стремящихся внедрить обнаружение и реагирование на уровне данных без создания собственной непрерывной практики на уровне данных внутри компании.
PwC помогает клиентам формировать подход к работе, описывать риски для руководства и воплощать программу в жизнь, часто в сотрудничестве с Varonis. Это сочетание находит отклик у организаций, переживающих период трансформации.
На ранних этапах устранения уязвимостей клиенты часто наблюдают значительное сокращение объемов чрезмерно доступных данных и избыточных прав доступа. Результаты варьируются в зависимости от среды и оказываются более полезными, если они оцениваются по индивидуально настроенному базовому уровню.
Базовый уровень позволяет выявить чрезмерно доступные конфиденциальные данные, необоснованный доступ, широкие разрешения для нечеловеческих учетных записей и пробелы в мониторинге на уровне данных, что служит обоснованной отправной точкой для приоритетного устранения уязвимостей.
В Varonis мы считаем, что из-за ИИ видимость и контроль на уровне данных приобретают критически важное значение. Агенты, чат-боты и модели создают новые пути доступа, которые злоумышленники могут использовать для компрометации данных со скоростью машин. Без непрерывной видимости и контроля конфиденциальные данные могут быть раскрыты в тот момент, когда к ним обратится агент или ИИ-система.
Заключительное слово
Безопасность данных и управление доступом превратились из вспомогательных дисциплин в фундамент устойчивости.
Организации, которые устанавливают четкое владение, поддерживают актуальное представление о конфиденциальных данных, обеспечивают соблюдение строгого доступа и внедряют ориентированное на данные обнаружение угроз на практике, могут лучше подготовиться к новому этапу возможностей злоумышленников. PwC и Varonis помогают организациям воплотить этот фундамент в жизнь.
Продолжайте беседу с Varonis и PwC 7 октября в 11:00 по восточному времени (ET), где они расскажут о том, как организации могут определять, расставлять приоритеты, интегрировать и формировать свои стратегии безопасности данных в будущем. Зарегистрируйтесь сегодня, чтобы забронировать место.
