A CrowdStrike kiterjeszti a fenyegetésvadászatot az AI-ra és a Google Cloudra
A CrowdStrike Falcon Adversary OverWatch fenyegetésvadászata mostantól az AI-alkalmazások és az autonóm ügynökök tevékenységét, valamint a Google Cloud környezetét is vizsgálja. A vállalat szerint ezzel több, különböző környezeten átívelő behatolás jelei kapcsolhatók össze.
- A Falcon Adversary OverWatch az AI-alkalmazások és autonóm ügynökök tevékenységét is vizsgálja.
- A szolgáltatás mélyebb, telemetriaalapú fenyegetésvadászatot kapott Google Cloudhoz.
- A Falcon Adversary OverWatch Cross-Domain identitásokra, felhőre, SaaS-ra és külső adatokra is kiterjed.
- A CrowdStrike szerint az AI-ügynökök 2,5-szer több észlelési nyomot váltottak ki, mint az emberi tevékenység.
Két új terület került a megfigyelésbe
A CrowdStrike október 30-i közlése szerint a Falcon Adversary OverWatch két új képességgel bővült. Az egyik a Falcon Guardianen keresztül biztosított, napi 24 órás, menedzselt fenyegetésvadászat az AI-alkalmazások és az autonóm ügynökök tevékenységére. A másik a Google Cloud mélyebb, telemetriaalapú vizsgálata.
A vállalat ezt a bővítést a közelmúltban elindított Falcon Adversary OverWatch Cross-Domain szolgáltatásra építi. Ez a megoldás az identitások, a felhő, az AI-ügynökök tevékenysége, a SaaS-alkalmazások és a külső adatforrások területére is kiterjeszti a 24 órás, menedzselt fenyegetésvadászatot.
A CrowdStrike szerint az OverWatch vadászai így szélesebb rálátást kapnak a Falcon platformon belül zajló támadói tevékenységre. A vállalat közlése alapján az ügyfeleknek nem kell minden érintett modulhoz vagy tartományhoz külön fenyegetésvadászati termékváltozatot beszerezniük.
Egy behatolás több környezeten is átívelhet
A CrowdStrike egy lehetséges támadási lánccal szemlélteti, miért van szükség a különböző területek jeleinek összekapcsolására. A folyamat egy adathalászatot követően kompromittált identitásszolgáltatói munkamenettel kezdődhet. A támadó ezután egy megtévesztő QEMU-eszközt regisztrálhat a szervezet többtényezős hitelesítési megoldásában, tartós hozzáférést szerezhet, majd továbbléphet a kapcsolódó SaaS-alkalmazásokba.
A példában a támadó a kompromittált identitáson keresztül hozzáférhet a Claude-hoz. A nagy nyelvi modellt a csatlakoztatott alkalmazások és helyi fájlok feltérképezésére, hitelesítő adatok begyűjtésére szolgáló szkriptek létrehozására, valamint a képességtárak és az ügynökinfrastruktúra vizsgálatára használhatja.
A támadás végül egy parancs- és vezérlőszerverhez kapcsolódó hátsó ajtóban csúcsosodhat ki, amely egy feltört végpontot köt össze a támadó infrastruktúrájával. Külön vizsgálva az identitás kompromittálódása, a gyanús AI-interakciók és a végponton futó műveletek egymástól független eseményeknek tűnhetnek. Együtt azonban egy több környezeten átívelő behatolás képét rajzolhatják ki.
Az AI növeli a vizsgálandó jelek mennyiségét
A CrowdStrike szerint a szervezetek egyre több érzékeny adatot, alkalmazást és infrastruktúrát kapcsolnak össze AI-rendszerekkel. Ez új lehetőségeket teremthet a támadók számára, akik megbízhatónak számító hozzáféréseket és jogszerű AI-képességeket is kihasználhatnak.
A vállalat 2026-os Threat Hunting Report jelentésére hivatkozva azt írja, hogy az AI-ügynökök 2,5-szer több észlelési nyomot váltottak ki, mint az emberi tevékenység. A CrowdStrike értelmezése szerint az AI-alapú aktivitás növeli a fenyegetésvadászok által értékelendő jelek mennyiségét és sebességét.
Az új kiterjesztés a felhasználók számára azt jelenti, hogy a fenyegetésvadászat az AI-alkalmazások és autonóm ügynökök mellett a Google Cloud eseményeit is a szélesebb, több tartományt átfogó vizsgálat részeként kezelheti. A CrowdStrike célja ezzel a vállalat szerint az, hogy a különböző környezetekben megjelenő, egymáshoz kapcsolódó támadási jelek teljesebb képet adjanak a behatolásról.
CrowdStrike: CrowdStrike Expands Falcon Adversary OverWatch Threat Hunting Across AI and Google Cloud
