Специалисты по безопасности достигли исключительного мастерства в обнаружении уязвимостей. Теперь пришло время сосредоточить внимание на оптимизации процесса определения того, какие из этих уязвимостей действительно открывают путь к взлому.
Критическая уязвимость может выглядеть угрожающе в отчете сканера, но если она находится за надежной сегментацией, средствами контроля идентификации и другими механизмами защиты, которые не позволяют злоумышленнику получить доступ к чему-либо важному, то она не обязательно требует немедленного внимания.
С другой стороны, уязвимость средней степени серьезности может казаться менее важной, но если она может быть использована для создания плацдарма, который в сочетании с другими слабыми местами позволит получить доступ к конфиденциальным данным или привилегированным системам, то устранение этой бреши становится приоритетной задачей.
Как автономное тестирование на проникновение показывает, что на самом деле могут использовать злоумышленники
Оценки серьезности показывают, что могут означать уязвимости в изоляции. Автономное тестирование на проникновение показывает, что злоумышленник может реально сделать с этими уязвимостями.
Отрасль информационной безопасности движется в направлении непрерывной проверки, поскольку однократные оценки и периодическое сканирование уязвимостей не могут в полной мере учесть сложные среды, которые меняются каждый день. Недостающим элементом непрерывного тестирования безопасности была модель выполнения, способная проводить значимые тесты на проникновение на постоянной основе и в больших масштабах.
Автономное тестирование на проникновение — это недостающий уровень реализации для непрерывной проверки безопасности.
Почему автономное тестирование на проникновение выходит за рамки оценки серьезности уязвимостей
Уровень серьезности уязвимостей по-прежнему полезен, поскольку командам по безопасности нужен единообразный способ оценки потенциального воздействия уязвимости и определения приоритетов при ее устранении.
Однако сегодня мы не можем анализировать степень серьезности в отрыве от контекста.
- Представьте себе критическую уязвимость в изолированной системе с надежными средствами контроля доступа и отсутствием реального пути к конфиденциальным ресурсам.
- Теперь рассмотрим уязвимость средней степени серьезности в приложении, подключенном к Интернету, которое предоставляет доступ к учетным данным, чрезмерным правам и плохо сегментированной внутренней среде.
Вторая уязвимость может представлять более реальный риск, поскольку злоумышленники ищут возможности получить доступ, повысить привилегии, перемещаться по системе, обойти средства контроля и добраться до чего-то ценного. Раньше такие знания были прерогативой лишь опытных злоумышленников, но использование искусственного интеллекта снижает барьер знаний, препятствующий проведению кибератак злоумышленниками.
Проверка пути атаки восполняет недостающий контекст. Вместо того чтобы просто выяснять, существует ли уязвимость, автономное тестирование на проникновение проверяет путь атаки, чтобы определить, можно ли к ней добраться, использовать ли её, объединить с другими слабыми местами и использовать для достижения значимой цели.
Новейшие возможности автономного тестирования на проникновение больше не являются преимуществом, доступным только крупным командам по безопасности с большими бюджетами. Переориентировав стратегию безопасности с реактивного устранения уязвимостей на проактивную проверку, организации любого размера могут непрерывно тестировать свои среды, расставлять приоритеты по значимым рискам и выявлять, где злоумышленники действительно могут добиться успеха.
Почему автономное тестирование на проникновение заменяет тестирование в определенный момент времени
Ценность традиционного тестирования на проникновение заключается в экспертных знаниях специалистов. Опытный пентестер может проанализировать сложные сценарии, соединить несколько уязвимостей, протестировать бизнес-логику и определить, может ли теоретическая уязвимость привести к реальному компрометации системы. Эти экспертные знания по-прежнему неоценимы.
Сейчас меняется среда, за которой должны успевать тесты безопасности.
В типичном процессе проводится тестирование на проникновение, предоставляется отчет, и организация приступает к устранению уязвимостей. Затем среда продолжает меняться. Облачная инфраструктура модифицируется. Развертываются приложения. Создаются и удаляются учетные записи. Происходят отклонения в настройках. Появляются новые ресурсы. Меняются средства контроля безопасности. Возникают новые уязвимости.
Оценка могла быть точной на момент проведения, но среда, которую она описывала, через несколько недель или месяцев может уже не существовать.
Тестирование на проникновение, проводимое в определенный момент времени, становится недостаточным в качестве единственного механизма проверки состояния безопасности. Решением не обязательно является увеличение количества ежегодных тестов на проникновение. Решением является модель тестирования, способная идти в ногу с постоянными изменениями самой среды.
Именно здесь автономное тестирование на проникновение выравнивает условия.
Автономное тестирование на проникновение делает возможным непрерывное тестирование
Непрерывная проверка безопасности уже давно находится в поле зрения. Непрерывное управление поверхностью атаки, непрерывное обнаружение уязвимостей, непрерывная проверка средств защиты и непрерывное управление рисками — все это отражает одно и то же основополагающее понимание: специалистам по безопасности необходимо в режиме реального времени знать, что действительно происходит в их средах.
Проблема всегда заключалась в реализации.
Специалисты по наступательной безопасности привносят в работу свой опыт и креативность, накопленные за годы практической работы. Однако существуют практические ограничения на количество приложений, сегментов сети, идентификационных данных, путей атак и средств контроля безопасности, которые команда людей может тестировать на постоянной основе.
Автономное тестирование на проникновение предоставляет модели непрерывного тестирования ту реализацию, которой ей до сих пор не хватало.
Вместо того чтобы ждать следующего запланированного тестирования на проникновение, организации могут планировать тестирование сред по требованию по мере их изменения. Они могут проводить повторное тестирование после устранения уязвимостей, проверять новые пути атаки, повторять сценарии атак и определять, продолжают ли средства контроля безопасности работать так, как ожидается.
Непрерывное тестирование на проникновение — это не просто более частое запускание сканера уязвимостей; оно требует возможности непрерывно проводить содержательные тесты безопасности в режиме атаки.
Автоматическое сканирование уязвимостей против автономного тестирования на проникновение
Автоматизация и автономность — это не одно и то же. Автоматическое сканирование уязвимостей предназначено для выявления известных слабых мест. Сканеры могут непрерывно проверять среды, сопоставлять уязвимости с базами данных и сигнатурами и предоставлять ценную информацию о том, что изменилось.
Однако обнаружение уязвимости — это не то же самое, что доказательство того, что злоумышленник может ею воспользоваться.
Автономное тестирование на проникновение выходит за рамки сканирования уязвимостей.
Платформа для автономного тестирования на проникновение может проводить разведку, определять, что тестировать дальше, комбинировать отдельные слабые места, тестировать логику аутентификации и авторизации, предпринимать попытки эксплуатации уязвимостей, перемещаться по среде и преследовать цель атаки.
Разница заключается в том, что автоматическое сканирование выявляет возможности, а автономное тестирование на проникновение предоставляет доказательства.
Автономное тестирование на проникновение на уровне опытного пентестера
Интересным моментом в развитии автономного тестирования на проникновение является не то, что ИИ может автоматизировать отдельные задачи тестирования. Это уже давно известно.
Более значительным сдвигом является то, что автономное тестирование на проникновение достигло уровня, на котором оно может моделировать многоэтапные сценарии атак с глубиной анализа, исторически присущей опытным тестировщикам-людям. Вместо того чтобы останавливаться на отдельных находках, система может анализировать взаимодействие уязвимостей и определять, можно ли объединить их в жизнеспособный путь для компрометации.
Это включает в себя тестирование бизнес-логики, цепочки уязвимостей и оценку того, что происходит после первоначального доступа. Автономные системы могут перемещаться между средами, повышать привилегии, осуществлять латеральное перемещение и преследовать определенную цель атаки на основе того, что они обнаруживают.
Именно это делает автономное тестирование на проникновение актуальным в контексте перехода отрасли к непрерывной проверке безопасности. Цель состоит в том, чтобы постоянно проверять, может ли злоумышленник действительно достичь чего-то значимого.
Breach360 — автономное тестирование на проникновение, созданное для непрерывной проверки безопасности
Breach360 от BreachLock был создан исходя из предпосылки, что автономное тестирование на проникновение должно сочетать в себе глубину экспертных знаний в области наступательной безопасности на уровне старших специалистов с масштабируемостью, необходимой для непрерывного тестирования.
Платформа обучена на данных, полученных в ходе более 40 000 реальных тестирований на проникновение, что обеспечивает её автономным тестовым возможностям основу в виде реальных сценариев наступательной безопасности, а не чисто смоделированных ситуаций.
- Проведение разведки
- Выявление возможностей для атак
- Объединение уязвимостей
- Тестирование бизнес-логики
- Проверка аутентификации и авторизации
- Перемещение между сегментами сети
- Осуществление латерального перемещения
- Составление карты путей атаки
- Проверка возможности использования уязвимостей
- Генерировать доказательства взлома
Вместо того чтобы предоставлять командам по безопасности очередной растущий список теоретических уязвимостей, Breach360 предоставляет доказательства того, какие уязвимости действительно могут быть использованы и как они связаны между собой по пути атаки. Это позволяет командам сосредоточить усилия по устранению уязвимостей, которые создают реальные пути для взлома.
Автономное тестирование на проникновение по-прежнему требует человеческого суждения
Автономное выполнение и автономная ответственность — это две разные вещи. Технологии могут обнаруживать пути атаки, проверять эксплойты, генерировать доказательства и повторять тесты в масштабах, недостижимых для любой команды специалистов. Специалисты по безопасности по-прежнему предоставляют контекст, который определяет, что эти доказательства означают для бизнеса.
- Какой путь атаки создает наибольший риск для бизнеса
- Какие меры по устранению уязвимостей должны быть приоритетными
- Какие операционные ограничения имеют значение
- Какие нормативные обязательства применимы
- Какой уровень остаточного риска является приемлемым
- Когда необходимо провести более тщательное тестирование под руководством экспертов
Именно такое распределение ответственности делает автономное тестирование безопасности практичным для реальных сред. Цель заключается не в том, чтобы исключить человека из процесса тестирования безопасности. Цель — перестать использовать человеческий опыт для работы, которую теперь могут выполнять машины на постоянной основе, сохранив при этом человеческое суждение для принятия решений, требующих учета контекста и ответственности.
Будущее тестирования на проникновение — за автономностью и непрерывностью
Отрасль информационной безопасности на протяжении многих лет двигалась в направлении непрерывной проверки безопасности, признавая, что периодические сканирования уязвимостей и точечные тесты на проникновение не могут в полной мере отразить риски постоянно меняющихся сред. Чего не хватало, так это возможности проводить качественные тесты на проникновение непрерывно и в больших масштабах.
Автономное тестирование на проникновение обеспечивает эту возможность, интегрируя многоэтапное логическое моделирование, эксплуатацию уязвимостей, проверку путей атаки и тестирование средств защиты в модель непрерывной работы.
Для команд по безопасности цель больше не заключается просто в том, чтобы понять, сколько уязвимостей существует или насколько серьезными они кажутся в изоляции. Теперь она заключается в непрерывной проверке того, какие уязвимости представляют собой реальный путь к взлому, и сосредоточении усилий на устранении тех проблем, где это может дать наибольший эффект. В конце концов, ваша самая критическая уязвимость может оказаться не самым большим риском.
BreachLock — мировой лидер в области наступательной безопасности, предоставляющий масштабируемое и непрерывное тестирование безопасности. Компания BreachLock, пользующаяся доверием глобальных предприятий, предоставляет решения по управлению поверхностью атаки под руководством специалистов и на базе искусственного интеллекта, тестированию на проникновение как услуге (PTaaS), проведению операций «красной команды» и проверке уязвимостей с точки зрения злоумышленников (AEV), которые помогают командам безопасности опережать злоумышленников.
Стремясь сделать проактивную безопасность новым стандартом, BreachLock формирует будущее кибербезопасности с помощью автоматизации, аналитики на основе данных и экспертного подхода к реализации.