Kiedy organizacje mówią o cyberbezpieczeństwie, zazwyczaj skupiają się na tym, co dzieje się wewnątrz ich infrastruktury: systemach wewnętrznych, użytkownikach i mechanizmach kontroli. Na pierwszy rzut oka takie podejście wydaje się logiczne. W końcu to właśnie tutaj przebiegają procesy biznesowe i przechowywane są poufne dane.
Jednak atakujący nie zaczynają od tego miejsca.
Zaczynają od zewnątrz, patrząc do środka.
W rzeczywistości sposób, w jaki postrzegamy nasze własne bezpieczeństwo, i sposób, w jaki postrzega je osoba próbująca nas zhakować, są zupełnie różne. Ta różnica stanowi obecnie ogromną lukę w strategii cyberbezpieczeństwa skoncentrowanej na zagrożeniach.
Większość strategii bezpieczeństwa odpowiada na niewłaściwe pytanie
Większość strategii bezpieczeństwa zaczyna się od znanego pytania:
„Jak dobrze jesteśmy chronieni wewnętrznie?”
To naturalnie prowadzi do inwestycji w wewnętrzne środki bezpieczeństwa, takie jak zarządzanie tożsamością i dostępem, ochrona punktów końcowych, operacje SOC, polityki i ramy zgodności. Wszystkie te środki kontroli są niezbędne i cenne.
Jednak atakujący pytają o coś zupełnie innego:
„Co mogę zobaczyć, dosięgnąć i wykorzystać z zewnątrz?”
Różnica między tymi dwoma pytaniami jest większa, niż większość organizacji zdaje sobie sprawę. Podczas gdy zespoły ds. bezpieczeństwa są zajęte dopracowywaniem wewnętrznych mechanizmów kontroli, osoby odpowiedzialne za zagrożenia systematycznie mapują wszystkie zasoby dostępne w Internecie, sprawdzają narażone usługi i poszukują wszelkich słabych punktów, które mogłyby im pomóc w uzyskaniu dostępu.
Nie jest to ryzyko teoretyczne.
Wiele udanych cyberataków wykorzystuje zewnętrzną lukę w zabezpieczeniach na którymś etapie łańcucha ataku.
Z perspektywy atakującego – zobaczyć znaczy uwierzyć
Z punktu widzenia hakera Twoja organizacja nie jest definiowana przez wewnętrzne schematy architektury, polityki ani modele zarządzania.
Jest to definiowane przez to, co widoczne jest z zewnątrz, czyli zewnętrzną powierzchnię ataku.
Obejmuje to wszystko, co można znaleźć, do czego można uzyskać dostęp lub z czym można wejść w interakcję w Internecie. Przykłady obejmują:
- Aplikacje i usługi dostępne w Internecie
- Zapomniane lub niezarządzane aktywa
- Nieprawidłowo skonfigurowane usługi w chmurze lub narażone interfejsy zarządzania
- Otwarte porty i słabe mechanizmy uwierzytelniania
- Ścieżki dostępu, które osobno wydają się nieszkodliwe, ale stają się niebezpieczne, gdy są połączone ze sobą
Wiele z tych problemów nigdy nie trafia nawet do rejestru ryzyka. Niektóre pojawiają się przypadkowo w wyniku zmian, takich jak wdrożenie chmury obliczeniowej, fuzje lub sztuczna inteligencja działająca w ukryciu. Inne po prostu istnieją. Wiele organizacji nie ma bowiem wystarczającej widoczności, aby dostrzec, na co faktycznie zwracają uwagę osoby stanowiące zagrożenie z zewnątrz.
Ale atakujący wiedzą dokładnie, co tam jest. I cały czas to sprawdzają.
Dla atakujących widoczność jest pierwszym krokiem do wykorzystania luki. Jeśli zasób jest widoczny, staje się potencjalnym punktem wejścia.
Dlaczego tradycyjne zarządzanie ekspozycją nie spełnia oczekiwań
Wiele organizacji stosuje pasywne podejście do zarządzania ryzykiem zewnętrznym:
- Wykazy CVE
- wykazy aktywów
- wyniki skanera podatności.
Narzędzia te są pomocne. Nie odpowiadają jednak na najważniejsze pytanie dotyczące zarządzania ryzykiem:
„Czy można to faktycznie wykorzystać w moim środowisku?”
Luka w teorii nie musi oznaczać luki w praktyce. Nie każda luka CVE jest dostępna. Nie każda nieprawidłowa konfiguracja może zostać wykorzystana. Nie każde odkrycie ma znaczenie w rzeczywistości.
Bez walidacji dzieje się następująca rzecz:
Priorytetyzacja staje się zgadywanką.
- Zespoły ds. bezpieczeństwa są przytłoczone ilością problemów.
- Krytyczne kwestie konkurują z wynikami o niewielkim znaczeniu.
- Atakujący skupią się na kilku słabych punktach, które faktycznie działają.
Rezultat? Działania naprawcze, które marnują czas i energię, oraz fałszywe poczucie bezpieczeństwa, że sytuacja się poprawia, podczas gdy tak nie jest.
Aktywna weryfikacja podatności: wykrywanie i potwierdzanie rzeczywistych zagrożeń
W tym miejscu Active Exposure Validation przyjmuje zasadniczo odmienne podejście. Zamiast zgadywać ryzyko na podstawie statycznych danych, weryfikuje, co faktycznie można wykorzystać.
Aktywne i ciągłe testowanie zasobów dostępnych w Internecie pozwala uzyskać następujące informacje:
- Jakie luki są teoretycznie obecne
- Które z nich można faktycznie wykorzystać?
- Które ekspozycje wymagają natychmiastowej poprawy?
Obejmuje to zautomatyzowane techniki walidacji, takie jak:
- Próby wykorzystania znanych luk CVE
- wykrywanie słabych punktów, które nie mają przypisanego CVE.
- Aktywne testowanie aplikacji internetowych i eksponowanych interfejsów
- Wykorzystanie rzeczywistych technik atakujących zamiast kontroli zgodności opartych na listach kontrolnych
W rezultacie nastąpiło przejście od bezpieczeństwa opartego na ilości do ustalania priorytetów w oparciu o dowody.
Zespoły ds. bezpieczeństwa mogą skupić się na tym, co faktycznie zwiększa ryzyko, a nie tylko na tym, co pojawia się w raporcie skanera.
Praktyczne znaczenie / przykłady: Od wglądu do odporności dzięki Hacker-Check firmy Damovo
W Damovo opracowaliśmy Hacker-Check jako usługę zarządzaną, aby zoperacjonalizować perspektywę zewnętrznego atakującego.
Hacker-Check to usługa zarządzana, której celem jest:
- Nieustannie oceniaj swoją organizację z zewnątrz.
- Sprawdź, które narażenia mogą być faktycznie wykorzystane.
- Zapewnij jasne, uporządkowane według priorytetów wytyczne dotyczące działań naprawczych.
- Wzmocnij swoją obronę tam, gdzie faktycznie rozpoczynają się ataki.
Naszym celem nie jest generowanie większej liczby alertów lub pulpitów nawigacyjnych.
Celem jest jasność.
Łącząc ciągłe wykrywanie zagrożeń z aktywną weryfikacją, zyskujesz realistyczny obraz ryzyka zewnętrznego, dzięki czemu możesz skoncentrować swoje wysiłki tam, gdzie przyniosą one rzeczywiste efekty.
Wniosek: cyberodporność zaczyna się tam, gdzie zaczynają atakujący.
Cyberodporność nie zaczyna się wewnątrz granicy sieci.
Zaczyna się w momencie, gdy Twoja organizacja zostaje podłączona do Internetu.
Jeśli nie będziesz regularnie testować tej granicy, zrobią to za Ciebie atakujący.
Jeśli nie sprawdzasz, co można wykorzystać, oni też to zrobią.
Prawdziwym pytaniem nie jest już to, czy ktoś obserwuje Twoją zewnętrzną powierzchnię ataku.
Chodzi o to, czy spojrzałeś pierwszy.