در شرایطی که سازمانها بهطور مداوم در حال تقویت لایههای دفاعی خود هستند، مهاجمان نیز بیکار ننشستهاند. آنها با استفاده از روشهای پیشرفتهتر، راههای جدیدی برای عبور از کنترلهای امنیتی پیدا میکنند. یکی از مهمترین این روشها، حملات BYOVD است.
حملات BYOVD چیست؟
حملات BYOVD (Bring Your Own Vulnerable Driver) روشی است که در آن مهاجم از یک درایور معتبر اما دارای آسیبپذیری استفاده میکند. هدف از این کار، افزایش سطح دسترسی در سیستم یا دور زدن مکانیزمهای امنیتی مانند EDR است.
نکته مهم اینجاست که در این حمله، از یک مؤلفه قانونی سیستمعامل سوءاستفاده میشود. به همین دلیل، شناسایی آن برای بسیاری از تیمهای امنیتی چالشبرانگیز است.
چرا حملات BYOVD خطرناک هستند؟
در این نوع حمله، مهاجم مستقیماً به لایههای پایین سیستمعامل نزدیک میشود. این موضوع باعث میشود:
- کنترلهای امنیتی بهراحتی دور زده شوند
- سطح دسترسی مهاجم افزایش پیدا کند
- شناسایی رفتار مخرب دشوارتر شود
در نتیجه، این حملات میتوانند آسیبهای جدی به زیرساختهای سازمان وارد کنند.
چالش اصلی: نبود Visibility در سطح درایورها
بررسیهای انجامشده در پروژههای امنیتی هامون نشان میدهد که یکی از نقاط ضعف رایج در سازمانها، نبود دید کافی (Visibility) بر روی درایورهای فعال در Endpointها است.
از آنجایی که درایورها مستقیماً با هسته سیستمعامل در ارتباط هستند، عدم نظارت بر آنها میتواند باعث ایجاد نقاط کور امنیتی شود. این نقاط کور، زمینه را برای اجرای حملات BYOVD فراهم میکنند.
الزامات کلیدی برای کاهش ریسک حملات BYOVD
بهمنظور افزایش دید امنیتی و مدیریت مؤثر ریسکهای مرتبط با درایورها، اقدامات زیر میتواند بهعنوان گامهای اولیه در نظر گرفته شود:
۱. ایجاد Driver Inventory جامع
شناخت دقیق داراییها، نخستین گام در مدیریت ریسک امنیتی است. سازمانها باید فهرست جامعی از تمامی درایورهای نصبشده و در حال اجرا در Endpointها ایجاد کرده و این اطلاعات را بهصورت مستمر بهروزرسانی کنند.
بدون وجود چنین دیدی، امکان ارزیابی آسیبپذیریها، شناسایی درایورهای پرریسک و اعمال سیاستهای کنترلی مؤثر وجود نخواهد داشت.
۲. پایش و اعتبارسنجی مستمر درایورها
ارزیابی دورهای درایورها و تطبیق آنها با منابع معتبر اطلاعاتی، از جمله فهرستهای منتشرشده توسط مراجع تخصصی مانند LOLDrivers و Microsoft Vulnerable Driver Blocklist، میتواند نقش مؤثری در شناسایی مؤلفههای آسیبپذیر و کاهش احتمال سوءاستفاده ایفا کند.
۳. توسعه Use Caseهای امنیتی در SIEM
سازمانها نیازمند تعریف Use Caseهای دقیق در سامانههای SIEM هستند تا رویدادهایی مانند بارگذاری درایورهای مشکوک، استفاده از درایورهای آسیبپذیر یا رفتارهای غیرمتعارف در سریعترین زمان ممکن شناسایی و بررسی شوند.
اهمیت رویکرد مبتنی بر بلوغ سازمانی
اجرای کنترلهای امنیتی مؤثر نیازمند توجه به سطح بلوغ فناوری، فرآیندها و توانمندیهای عملیاتی سازمان است. پیادهسازی راهکارهای پیچیده بدون ایجاد زیرساخت مناسب، تعریف فرآیندهای استاندارد و آمادهسازی تیمهای مسئول، میتواند منجر به افزایش حجم هشدارهای کمارزش و کاهش اثربخشی عملیات امنیت شود.
امنیت پایدار، حاصل ترکیب Visibility جامع، کنترلهای متناسب با ریسک، فرآیندهای استاندارد و توسعه تدریجی قابلیتهای امنیتی بر اساس بلوغ سازمان است.
در نهایت، یکی از پرسشهای اساسی برای تیمهای امنیتی این است:
سازمانها در مسیر ایجاد Visibility کامل بر لایههای زیرین Endpointها، با چه موانعی مواجه هستند و چگونه میتوان این نقاط کور امنیتی را به شکل مؤثر مدیریت کرد؟
