Kun organisaatiot puhuvat kyberturvallisuudesta, ne keskittyvät yleensä infrastruktuurinsa sisäisiin asioihin: sisäisiin järjestelmiin, käyttäjiin ja valvontaan. Ensi silmäyksellä tämä lähestymistapa vaikuttaa loogiselta. Loppujen lopuksi liiketoimintaprosessit toimivat täällä ja arkaluontoiset tiedot tallennetaan tänne.
Hyökkääjät eivät kuitenkaan aloita sieltä.
He aloittavat ulkopuolelta, katsomalla sisään.
Todellisuudessa meidän tapa tarkastella omaa turvallisuuttamme ja hakkereiden tapa tarkastella sitä ovat täysin erilaiset. Tämä ero on nykypäivän uhkakeskeisen kyberturvallisuusstrategian suuri sokea piste.
Useimmat turvallisuusstrategiat vastaavat väärään kysymykseen
Useimmat turvallisuusstrategiat alkavat tutulla kysymyksellä:
"Kuinka hyvin olemme suojattuja sisäisesti?"
Tämä johtaa luonnollisesti investointeihin sisäisiin turvallisuustoimenpiteisiin, kuten identiteetin ja pääsyn hallintaan, päätelaitteiden suojaukseen, SOC-toimintoihin, käytäntöihin ja vaatimustenmukaisuuskehyksiin. Kaikki nämä valvontatoimenpiteet ovat tarpeellisia ja arvokkaita.
Hyökkääjät kuitenkin kysyvät jotain täysin erilaista:
"Mitä voin nähdä, tavoittaa ja hyödyntää ulkopuolelta?"
Näiden kahden kysymyksen välinen kuilu on suurempi kuin useimmat organisaatiot ymmärtävät. Kun tietoturvatiimit ovat kiireisiä sisäisten valvontamenetelmien hienosäätämisessä, uhkatekijät kartoittavat järjestelmällisesti kaikkia internetiin liitettyjä resursseja, tutkivat alttiita palveluita ja etsivät heikkouksia, joiden avulla pääsisivät sisään.
Tämä ei ole teoreettinen riski.
Monissa onnistuneissa kyberhyökkäyksissä hyökkäysketjun jossain vaiheessa on mukana ulkoisesti paljastunut haavoittuvuus.
Hyökkääjän näkökulmasta – näkeminen on uskomista
Hakkereiden näkökulmasta organisaatiotasi eivät määritä sisäiset arkkitehtuurikaaviot, toimintaperiaatteet tai hallintomallit.
Se määritellään sen perusteella, mitä ulkopuolelta voidaan nähdä, eli ulkoisen hyökkäyspinnan perusteella.
Tämä sisältää kaiken, mitä internetistä voidaan löytää, käyttää tai jonka kanssa voidaan olla vuorovaikutuksessa. Esimerkkejä ovat:
- Internet-sovellukset ja -palvelut
- Unohdetut tai hallinnoimattomat varat
- Väärin konfiguroidut pilvipalvelut tai paljastuneet hallintarajapinnat
- Avoimet portit ja heikot todennusmekanismit
- Yksittäisinä vaarattomilta vaikuttavat pääsytavat, jotka muodostavat vaarallisen ketjun, kun ne yhdistetään toisiinsa
Monet näistä ongelmista eivät edes päädy riskirekisteriin. Jotkut ilmenevät vahingossa muutosten, kuten pilvipalveluiden käyttöönoton, fuusioiden tai varjo-tekoälyn, seurauksena. Toiset ovat vain olemassa. Monilla organisaatioilla ei ole näkyvyyttä nähdä, mitä uhkatekijät todella katsovat ulkopuolelta.
Mutta hyökkääjät tietävät tarkalleen, mitä siellä on. Ja he etsivät sitä. Koko ajan.
Hyökkääjille näkyvyys on ensimmäinen askel kohti hyväksikäyttöä. Jos omaisuus on näkyvissä, siitä tulee potentiaalinen hyökkäyskohde.
Miksi perinteinen altistumisen hallinta ei riitä
Monet organisaatiot luottavat passiivisiin lähestymistapoihin ulkoisten riskien hallinnassa:
- CVE-luettelot
- omaisuusluettelot
- haavoittuvuustarkistuksen tulokset.
Nämä työkalut ovat hyödyllisiä. Ne eivät kuitenkaan vastaa riskienhallinnan tärkeimpään kysymykseen:
"Voiko tätä todella hyödyntää minun ympäristössäni?"
Paperilla oleva haavoittuvuus ei ole automaattisesti haavoittuvuus käytännössä. Kaikki CVE-haavoittuvuudet eivät ole hyödynnettävissä. Kaikkia virheellisiä asetuksia ei voida hyödyntää. Eikä kaikki löydökset ole merkityksellisiä todellisessa elämässä.
Ilman vahvistusta tapahtuu seuraavaa:
Priorisointi muuttuu arvailuksi.
- Turvallisuusjoukot ovat ylikuormittuneita ongelmien määrästä.
- Kriittiset kysymykset kilpailevat vähämerkityksisten havaintojen kanssa.
- Hyökkääjät keskittyvät niihin harvoihin heikkouksiin, jotka todella toimivat.
Tuloksena on aikaa ja energiaa tuhlaavia korjaustoimenpiteitä ja väärä turvallisuudentunne, että asiat ovat paranemassa, vaikka ne eivät olekaan.
Aktiivisen altistumisen validointi: todellisten haavoittuvuuksien löytäminen ja todistaminen
Tässä Active Exposure Validation -ratkaisu eroaa perustavanlaatuisesti muista ratkaisuista. Sen sijaan, että se arvioisi riskejä staattisten tietojen perusteella, se todistaa, mitä todella voidaan hyödyntää.
Testamalla aktiivisesti ja jatkuvasti internetiin liitettyjä resurssejasi saat seuraavat tiedot:
- Mitkä haavoittuvuudet ovat teoriassa olemassa?
- Mitkä niistä voidaan todella hyödyntää
- Mitkä valotukset on korjattava heti?
Tämä sisältää automatisoituja validointitekniikoita, kuten:
- Tunnettujen CVE-haavoittuvuuksien hyväksikäyttöyritykset
- CVE-tunnusta vailla olevien heikkouksien havaitseminen.
- Verkkosovellusten ja avoimien rajapintojen aktiivinen testaus
- Todellisten hyökkääjien tekniikoiden käyttö tarkistuslista-pohjaisten vaatimustenmukaisuustarkastusten sijaan
Tuloksena on siirtyminen volyymilähtöisestä turvallisuudesta näyttöön perustuvaan priorisointiin.
Turvallisuusryhmät voivat keskittyä siihen, mikä todella lisää riskiä, eikä vain siihen, mitä skannerin raportissa näkyy.
Käytännön merkitys / esimerkkejä: Oivalluksesta resilienssiin Damovon Hacker-Check-palvelun avulla
Damovossa kehitimme Hacker-Check-palvelun hallinnoituna palveluna, joka mahdollistaa ulkoisen hyökkääjän näkökulman hyödyntämisen.
Hacker-Check on hallinnoitu palvelu, joka on suunniteltu:
- Arvioi organisaatiotasi jatkuvasti ulkopuolelta käsin
- Varmista, mitkä altistukset voidaan tosiasiallisesti hyödyntää
- Anna selkeät, priorisoidut korjausohjeet
- Vahvista puolustustasi siellä, missä hyökkäykset todella alkavat
Tavoitteenamme ei ole tuottaa lisää hälytyksiä tai hallintapaneeleita.
Tavoitteena on selkeys.
Yhdistämällä jatkuvan havainnoinnin ja aktiivisen validoinnin saat realistisen kuvan ulkoisista riskeistäsi, jolloin voit keskittää ponnistuksesi sinne, missä ne todella vaikuttavat.
Johtopäätös: Kyberturvallisuus alkaa siitä, mistä hyökkääjät aloittavat
Kyberresilienssi ei ala verkon rajojen sisällä.
Se alkaa heti, kun organisaatiosi altistuu internetille.
Jos et testaa tätä rajaa säännöllisesti, hyökkääjät testaavat sen puolestasi.
Jos et tarkista, mitä voidaan hyödyntää, he tekevät senkin.
Todellinen kysymys ei ole enää se, tarkkaileeko joku ulkoista hyökkäyspintaasi.
Kyse on siitä, katsoitko ensin.