ENISA, het EU-cyberagentschap, waarschuwt voor de hogere snelheid waarop IT-aanvallen plaatsvinden. In plaats van voortdurende kwetsbaarheidsscans moeten verdedigers SecOps zo goed als realtime maken, met altijd een human-in-the-loop binnen 24 uur.
De geadviseerde opstelling voor verdedigers liegen er niet om. ENISA stelt dat organisaties elke omgeving als potentieel gecompromitteerd moeten behandelen. Voortdurende dreigingsmodellen en dynamische incident response houden de security posture op peil, maar dat is gemakkelijker gezegd dan gedaan. AI-assistentie is vereist, evenals een rol voor menselijke inmenging binnen 24 uur.
Time-to-detect naar onder de 10 minuten
Lang hebben zeer snelle cyberaanvallers vooral gegolden als goede insmijters voor cyberrapporten. Een zeer secure en gerichte aanvalscampagne kan van compromis naar exploitatie gaan binnen 10 minuten. De realiteit is dat die snelheid tot nu toe zeldzaam is geweest. Tegenwoordig nemen automatische systemen een groot deel van deze ’taak’ over van menselijke aanvallers, met de populair geworden term ‘machine speed’ om te benadrukken dat menselijke reacties allesbehalve snel genoeg zijn om de gevaren af te vangen.
ENISA raadt daarom aan om te mikken op een mean-time-to-detect (MTTD) van minder dan 10 minuten en gemeten mean-time-to-response (MTTR) om verder te verfijnen. Daarnaast passeren welbekende adviezen de revue, zoals zero-trust segmentatie en een gelaagde detectieschil. De basisaanname dient te zijn dat aanvallers continu hun gedrag veranderen.
Europese AI broodnodig
Het cyberagentschap is zeer bekend met de beperkingen voor verdedigers. Na maanden aan onderhandelingen kreeg ENISA eindelijk toegang tot niet Mythos 5.1, het nieuwste cybermodel van Anthropic, maar het 3 maanden oude Mythos 5. Hiermee kan de EU-eenheid bijdragen aan dezelfde soort hardening die plaats heeft gevonden onder de naam Project Glasswing (Anthropic) en Daybreak (OpenAI) met cybervaardige modellen die slechts een select gezelschap mag inzetten.
Het levert voor ENISA de logische conclusie op dat Europa ook als het om cybersecurity gaat soevereiniteit moet nastreven. Specifiek zijn AI-systemen nodig die rapporten, disclosures, telemetrie, malware-samples en threat intelligence kunnen benutten. Over de wetgeving is het agentschap positief; op dát gebied loopt de EU wel voor.
Voor lidstaten geldt dat zij vooral een mengelmoes van direct en indirect verdedigingswerk moeten verrichten rondom kritieke infrastructuur. Naast controles op basis van de nationale vertaling van NIS2-wetgeving is het vooral van belang om praktisch effectieve maatregelen zoals zero-trust te benadrukken en evaluaties te doen van potentieel nuttige systemen, zoals AI-gebaseerde detectie.
Lees ook: Cyberagentschap EU krijgt toegang tot Anthropic Mythos