พลิกเกมล่าภัยไซเบอร์: พลังงานคนเบื้องหลัง “การล่าภัยคุกคาม” ที่มองไม่เห็น

พลิกเกมล่าภัยไซเบอร์: พลังงานคนเบื้องหลัง “การล่าภัยคุกคาม” ที่มองไม่เห็น

โลกดิจิทัลทุกวันนี้เต็มไปด้วยภัยคุกคามที่ซับซ้อนและเปลี่ยนแปลงตลอดเวลา การพึ่งพาเพียงแค่เครื่องมืออัตโนมัติอาจไม่เพียงพออีกต่อไปในการปกป้ององค์กรจากการโจมตี

มักมีช่องว่างที่เทคโนโลยีเข้าไม่ถึง นั่นคือ บริบท และ เจตนา ของผู้โจมตี

นี่จึงเป็นที่มาของบทบาทสำคัญของ HUMINT หรือ ข่าวกรองจากแหล่งข้อมูลบุคคล ซึ่งเปรียบเสมือนเลเยอร์ที่มองไม่เห็น แต่กลับทรงพลังอย่างยิ่งในการค้นหาและรับมือกับภัยคุกคามไซเบอร์ก่อนที่มันจะสร้างความเสียหาย

HUMINT คืออะไรในโลกไซเบอร์?

ข่าวกรองจากแหล่งข้อมูลบุคคล หรือ HUMINT นั้น ไม่ได้จำกัดอยู่แค่การสืบสวนสอบสวนแบบเดิมๆ อีกต่อไปแล้ว

ในบริบทของ การล่าภัยคุกคาม (Threat Hunting) ในโลกไซเบอร์ HUMINT หมายถึง การรวบรวมข้อมูลเชิงลึกจากมนุษย์ ไม่ว่าจะเป็นพนักงานในองค์กร ผู้เชี่ยวชาญด้านความปลอดภัย พันธมิตรในอุตสาหกรรม หรือแม้แต่ข้อมูลที่ได้จากการสังเกตพฤติกรรมในชุมชนออนไลน์ต่างๆ

ข้อมูลเหล่านี้ช่วยเติมเต็มสิ่งที่ระบบอัตโนมัติขาดไป นั่นคือ การทำความเข้าใจเบื้องหลัง แรงจูงใจ และกลยุทธ์ของผู้ไม่หวังดี

ทำไมถึงจำเป็นต้องใช้คนในการล่าภัยคุกคาม?

เครื่องมืออัตโนมัติ เช่น SIEM, EDR หรือ AI/ML นั้นเก่งกาจในการตรวจจับแพทเทิร์นที่รู้จัก หรือความผิดปกติที่ชัดเจน

แต่สิ่งที่เครื่องมือเหล่านี้ทำไม่ได้คือ การเข้าใจ “ทำไม” และ “อย่างไร” ของการโจมตีใหม่ๆ หรือที่ยังไม่เคยเกิดขึ้นมาก่อน

ภัยคุกคามไซเบอร์ หลายครั้งไม่ได้มาจากช่องโหว่ทางเทคนิคเพียงอย่างเดียว แต่อาจเกิดจากความผิดพลาดของมนุษย์ การหลงเชื่อฟิชชิง หรือความรู้เชิงลึกเกี่ยวกับโครงสร้างภายในขององค์กร

นักล่าภัยคุกคาม (Threat Hunter) ที่มีประสบการณ์สามารถเชื่อมโยงจุดต่างๆ ที่ดูเหมือนไม่เกี่ยวข้องกัน คาดการณ์พฤติกรรมของผู้โจมตี และมองเห็นสัญญาณเตือนภัยที่เครื่องจักรอาจมองข้ามไป

นี่คือการเปลี่ยนจากความปลอดภัยแบบตั้งรับ มาสู่การ ** proactive** อย่างแท้จริง

แหล่งข้อมูล HUMINT มาจากไหนบ้าง?

แหล่งข้อมูลสำหรับ HUMINT มีอยู่หลากหลายและสามารถแบ่งออกเป็นสองกลุ่มหลักๆ

หนึ่งคือ แหล่งข้อมูลภายในองค์กร ซึ่งรวมถึงการพูดคุยกับพนักงานที่อาจพบเห็นสิ่งผิดปกติ การตรวจสอบบันทึกการทำงานของทีม IT การสังเกตพฤติกรรมการใช้งานของผู้ใช้ หรือแม้แต่การสัมภาษณ์ผู้ที่เกี่ยวข้องกับเหตุการณ์ความปลอดภัยที่เคยเกิดขึ้น

สองคือ แหล่งข้อมูลภายนอกองค์กร เช่น การติดตามข่าวสารจากชุมชนความปลอดภัยไซเบอร์ การเข้าร่วมฟอรัมเฉพาะทาง การเฝ้าระวังบน Dark Web หรือ Deep Web เพื่อดูการสนทนาของกลุ่มผู้ไม่หวังดี การแลกเปลี่ยนข้อมูลกับเพื่อนร่วมวงการ และการใช้บริการข่าวกรองภัยคุกคามจากผู้ให้บริการที่รวบรวมข้อมูลเชิงลึกจากเครือข่ายมนุษย์ของพวกเขา

ประโยชน์ที่ HUMINT มอบให้

การนำ HUMINT มาผสานกับการล่าภัยคุกคาม ช่วยเพิ่มมิติและความลึกของข้อมูลอย่างมหาศาล

ช่วยให้สามารถระบุ ภัยคุกคามที่ไม่รู้จัก (Zero-day threats) ได้รวดเร็วขึ้น ทำความเข้าใจ TTPs (Tactics, Techniques, and Procedures) ของผู้โจมตีได้ชัดเจนขึ้น และสร้างความได้เปรียบในการต่อสู้กับอาชญากรไซเบอร์

ข้อมูลจากแหล่งบุคคลเหล่านี้สามารถเปลี่ยนจาก ข้อมูลดิบ ให้กลายเป็น ข่าวกรองที่นำไปใช้ได้จริง (Actionable Intelligence) ซึ่งเป็นสิ่งสำคัญในการวางแผนป้องกันและตอบสนองต่อภัยคุกคามอย่างมีประสิทธิภาพ

การมองเห็นภาพรวมที่สมบูรณ์ทั้งจากข้อมูลเทคนิคและข้อมูลเชิงมนุษย์ช่วยให้การตัดสินใจด้านความปลอดภัยมีความแม่นยำและทันท่วงทีมากยิ่งขึ้น

การบูรณาการพลังของเทคโนโลยีเข้ากับสัญชาตญาณและความรู้ของมนุษย์จึงเป็นก้าวสำคัญ ที่จะช่วยยกระดับความสามารถในการปกป้ององค์กรจากการโจมตีที่นับวันจะยิ่งซับซ้อนขึ้นไปอีก