AI-agents missen cyberincidenten door reactieve aanpak en gebrekkige monitoring

Dit blijkt uit een nieuw rapport van de Compromise Assessment-divisie van Kaspersky.Monitoringtools en -controles volstaan niet op zichzelf. Van alle ontdekte incidenten werd 20% handmatig gevonden, terwijl 60% door bedrijven werd gemist omdat er geen hoogvertrouwelijke waarschuwingen waren gegenereerd door bestaande tools. Dit wijst volgens Kaspersky op een kritieke afhankelijkheid van geautomatiseerde tools die niet altijd effectief zijn geconfigureerd of bewaakt. Monitoringtools moeten continu worden aangepast aan de steeds veranderende dreigingslandschap, en de menselijke factor blijft essentieel: analisten moeten actief lage-vertrouwenswaarschuwingen onderzoeken, die vaak ononderzocht blijven.

Back-upsystemen zijn vaak blinde vlek

Voor veel organisaties zijn hun back-upsysteem een blinde vlek. Zo bevond 40% van alle ontdekte web shells (kwaadaardige scripts of programma’s) zich onopgemerkt in back-ups, wat betekent dat deze na afronding van de eerste incidentresponsactiviteiten opnieuw konden worden hersteld. De integriteit en inhoud van back-ups moeten grondig worden gecontroleerd.

Communicatieproblemen kunnen leiden tot gemiste incidenten. Bijna een derde (32%) van de compromise assessments onthulde interne communicatieproblemen, zoals onduidelijke bevestiging van acties of kennisverlies door personeelsverloop. Dit benadrukt de noodzaak van regelmatige oefeningen om niet alleen technische handleidingen, maar ook menselijke en communicatiewerkstromen te testen, evenals operationele afspraken op afdelingsniveau.

Incidentresponspraktijken regelmatig bijwerken

Om incidentrespons echt efficiënt en effectief te laten zijn, moeten handleidingen worden behandeld als "levende documenten" die regelmatig worden bijgewerkt naarmate nieuwe artefacten en dreigingsinformatie beschikbaar komen. Het niet aanpassen van incidentresponsplannen aan het evoluerende dreigingslandschap verhoogt het risico op het missen van kritieke bedreigingen en het toestaan van compromissen aanzienlijk.

“Organisaties worden niet alleen geconfronteerd met externe risico’s, maar ook met verborgen bedreigingen binnen hun eigen infrastructuur, en tekenen van compromissen zijn niet altijd duidelijk. Proactieve beveiligingsaudits vergroten de kans dat organisaties een compromis detecteren. Het integreren van regelmatige, door derden uitgevoerde compromise assessments in organisatieprocessen kan de kans op onverwachte incidenten met een hoge ernst verminderen en de algehele risicopositie verbeteren,” aldus Amged Wageh, expert bij Kaspersky Compromise Assessment.

Maatregelen

Kaspersky adviseert organisaties om:

• Binnen 30 dagen een uitgebreide gezondheidscheck van de detectiemotor uit te voeren, met prioriteit voor de integriteit van telemetrie en de relevantie van regels.
• Een Tier 1-waarschuwingsvalidatieteam in te voeren om alle low-trust-events volgens een vastgesteld schema te beoordelen.
• Zorg te dragen voor robuuste 24/7-monitoring, aangevuld met dreigingsjachtcapaciteiten die zich richten op baselining, lage-fideliteitswaarschuwingen en opkomende tegenstanderstechnieken.
• De pijplijn voor het beheer van kwetsbaarheden opnieuw te evalueren om continue patching en activatie van auditlogs voor alle kritieke activa te waarborgen.
• De bewustwordingscurricula voor beveiliging bij te werken om in te gaan op het lekken van referenties vanaf persoonlijke apparaten en om veilige BYOD-practices te versterken.
• Periodiek oefeningen uit te voeren om technische handleidingen te testen en de vaardigheden en communicatiewerkstromen van het team te verbeteren.
• Operationele afspraken op te stellen om de communicatie tussen verschillende teams te regelen en te vergemakkelijken, evenals standaardwerkprocedures voor een goede documentatie.