Для служб безопасности поступление новых данных не прекращается, но становится всё сложнее сохранять уверенность в том, какие из них действительно важны.
Проблема уже не в видимости. Проблема в проверке достоверности. Команды по безопасности должны решать, какие обнаруженные проблемы требуют принятия мер, работая в условиях постоянного давления и при наличии неполной информации. Все чаще задача заключается не в выявлении потенциальных рисков, а в определении того, какие риски заслуживают внимания в первую очередь.
Видимость привела нас сюда. Проверка достоверности помогает двигаться дальше.
Отрасль информационной безопасности потратила большую часть последнего десятилетия на улучшение видимости. Сканеры уязвимостей, инструменты оценки состояния безопасности облачных сред, системы обнаружения угроз на конечных устройствах, платформы анализа поверхности атаки, анализ кода и каналы аналитики угроз — все это способствует более полному пониманию поверхности атаки. Вложения были огромными, и в целом они оправдали себя. Современные предприятия могут видеть свои среды так, как это казалось бы невероятным десять лет назад.
Однако повышенная прозрачность не привела автоматически к улучшению результатов. Отчет Verizon о расследованиях утечек данных за 2025 год подчеркивает неизменную реальность: эксплуатация уязвимостей является одним из основных векторов первоначального доступа, в то время как сроки устранения проблем часто исчисляются днями, неделями или даже годами. Организации обнаруживают все больше уязвимостей, но от них также требуется оценивать и расставлять приоритеты все чаще.
Независимо от того, получены ли результаты с помощью автоматизированных инструментов, мониторинга поверхности атаки или услуг по тестированию на проникновение, перед командами по безопасности по-прежнему стоит один и тот же вопрос: каким рискам следует уделить внимание в первую очередь? Эта эволюция породила новую проблему. Успех все в большей степени зависит от того, насколько быстро команды могут определить, какие обнаруженные факты представляют собой значимый риск.
Каждое новое обнаружение конкурирует с каждым существующим за ограниченный объем внимания, ресурсов и возможностей по устранению уязвимостей. Во многих случаях команды по безопасности обладают большей прозрачностью, чем когда-либо прежде. Задача состоит в том, чтобы понять, какие обнаружения представляют собой значимый риск, который может быть использован злоумышленниками, а какие можно устранить со временем.
Это две совершенно разные задачи. Одна из них — проблема обнаружения. Другая — проблема подтверждения.
Организации, которые преуспевают в расстановке приоритетов, — это не обязательно те, у которых меньше всего уязвимостей. Это те, кто способен последовательно проводить различие между теоретической уязвимостью и реальным риском. Эта способность позволяет им направлять ресурсы туда, где они принесут наибольший эффект.
Когда каждое обнаружение представляется как срочное, расстановка приоритетов становится более сложной задачей. Команды часто вынуждены балансировать между конкурирующими требованиями, пытаясь определить, где принятые меры принесут наибольший эффект. Результатом становится отсутствие контекста.
Именно контекст превращает уязвимость в решение
Сама по себе уязвимость дает лишь частичную картину. Командам по безопасности необходимо понять, доступна ли она, можно ли её реально эксплуатировать, какие системы находятся ниже по цепочке и на какие бизнес-процессы это может повлиять. Ответы на эти вопросы определяют, представляет ли обнаружение рутинную проблему или приоритетную задачу, требующую немедленного внимания.
Организации, добивающиеся наибольшего прогресса в снижении рисков, не обязательно собирают больше данных, а скорее разрабатывают более эффективные способы их интерпретации, создавая рабочие процессы, которые связывают технические обнаружения с операционными и бизнес-последствиями. Это позволяет командам принимать решения быстрее и с большей уверенностью.
Проверка уязвимостей в условиях атак превращает контекст в уверенность
Эта потребность в контексте является одной из причин, по которой проверка уязвимостей с учетом действий злоумышленников (AEV) приобрела широкое распространение в современных программах безопасности. Являясь ключевым компонентом непрерывного управления уязвимостями (CTEM), AEV выходит за рамки выявления потенциальных слабых мест и фокусируется на проверке того, какие уязвимости представляют реальный риск.
В отличие от традиционных подходов к оценке, которые в первую очередь выявляют результаты, AEV оценивает, как злоумышленник мог бы взаимодействовать со средой. Она использует моделирование действий злоумышленника для тестирования средств защиты, путей атаки и готовности к реагированию, при этом выборочно применяя методы эмуляции злоумышленника, когда требуется более глубокая проверка.
Цель заключается не в том, чтобы генерировать больше предупреждений, а в том, чтобы определить, какие уязвимости действительно доступны, поддаются эксплуатации и могут иметь серьезные последствия в контексте среды организации.
Командам по безопасности не нужны дополнительные доказательства существования уязвимостей. Им нужна уверенность в том, что они понимают, какие уязвимости создают значимый бизнес-риск. Проверяя уязвимости с помощью реалистичных сценариев атак, AEV помогает превратить результаты в приоритетные задачи, требующие действий, что позволяет организациям сосредоточить усилия по устранению уязвимостей там, где это наиболее важно.
Где ИИ уместен, а где нет
Именно здесь уместно заговорить об искусственном интеллекте.
Автоматизация приносит огромную пользу в плане обнаружения, масштабирования и обработки сигналов в средах, которые слишком велики для проверки исключительно вручную. Она может помочь организациям выявлять закономерности, обнаруживать потенциальные уязвимости и ускорять анализ.
Но самостоятельно он не может решить проблему, требующую субъективной оценки.
Вопросы, имеющие наибольшее значение при расстановке приоритетов в области безопасности, требуют понимания бизнес-контекста, уровня допустимого риска, операционных зависимостей и поведения злоумышленников. Эти факторы выходят за рамки того, что могут наблюдать сканеры и алгоритмы. Они требуют человеческой экспертизы, знания организационных процессов и обоснованного принятия решений со стороны опытных специалистов по наступательной кибербезопасности.
ИИ может ускорить операции по обеспечению безопасности, но уверенность по-прежнему зависит от ответственности человека.
Переход от видимости к проверке уже происходит
Многие зрелые программы безопасности уже начали этот переход.
Обсуждения в сообществе руководителей по информационной безопасности (CISO) всё чаще сосредоточены на возможности эксплуатации уязвимостей, путях атак и подтверждённых уязвимостях, а не на простом количестве обнаруженных уязвимостей. Цель заключается не просто в обнаружении уязвимостей, а в понимании того, какие из них создают значимый риск и требуют принятия мер.
Этот сдвиг в равной степени касается как культуры и процессов, так и технологий. Передовые организации построили рабочие процессы, которые гарантируют, что перед принятием решений выявленные проблемы рассматриваются в контексте. Они определили, что означает «поддающаяся эксплуатации» в их собственных средах. Они связали технические риски с бизнес-последствиями на языке, понятном руководству.
Для этого не требуется никаких специальных инструментов. Требуется иной подход к пониманию того, для чего созданы программы безопасности.
Уверенность — это способность в области безопасности, которую стоит развивать
Следующий этап зрелости системы безопасности не будет принадлежать организациям, обнаруживающим наибольшее количество уязвимостей. Для большинства предприятий обеспечение видимости уже является устоявшейся практикой.
Отличительной чертой ведущих программ безопасности станет их способность быстро, последовательно и в темпе, соответствующем развивающейся угрозовой обстановке, превращать видимость в уверенные действия.
Уверенность — это не абстрактное понятие. Это оперативная способность. Она позволяет командам эффективно расставлять приоритеты, четко сообщать о рисках и направлять ресурсы туда, где они могут максимально снизить уязвимость.
В эпоху, определяемую искусственным интеллектом, автоматизацией и постоянно растущим объемом обнаруживаемых уязвимостей, уверенность, возможно, станет одной из важнейших способностей в сфере безопасности, которую может привнести человек.
BreachLock — мировой лидер в области наступательной безопасности, предоставляющий масштабируемое и непрерывное тестирование безопасности. Компания BreachLock, пользующаяся доверием глобальных предприятий, предоставляет услуги по управлению поверхностью атаки под руководством специалистов и с использованием ИИ, тестированию на проникновение, проведению «красных» тестов и проверке уязвимостей в условиях противостояния (AEV), которые помогают командам безопасности опережать злоумышленников. Стремясь сделать проактивную безопасность новым стандартом, BreachLock формирует будущее кибербезопасности с помощью автоматизации, аналитики на основе данных и экспертного подхода к реализации.