BreachLock призвала оценивать уязвимости по реальным путям атаки

BreachLock представила подход к автономному пентестированию Breach360, при котором приоритет уязвимости определяется не только её уровнем критичности, но и возможностью построить путь к компрометации. Платформа обучена на данных более чем 40 000 реальных проектов по тестированию на проникновение и рассчитана на непрерывную проверку сред, которые постоянно меняются.

Почему оценок критичности недостаточно

Оценка серьёзности уязвимости помогает сопоставлять потенциальное влияние отдельных ошибок, однако сама по себе не показывает, сможет ли атакующий использовать находку. Критическая проблема на изолированной системе с сильным разграничением доступа может не иметь маршрута к важным активам.

В то же время ошибка средней тяжести в интернет-доступном приложении может дать первоначальный доступ к учётным данным, избыточным разрешениям и плохо сегментированной внутренней среде. В таком сценарии её можно связать с другими слабостями, повысить привилегии, перемещаться внутри инфраструктуры и приблизиться к конфиденциальным данным или привилегированным системам.

Именно этот контекст компания называет валидацией пути атаки. Вместо одного вопроса о наличии уязвимости она предлагает проверить, достижима ли она, поддаётся ли эксплуатации, соединяется ли с другими ошибками и ведёт ли к значимой цели.

Чем автопентест отличается от сканирования

Автоматический сканер ищет известные слабости, сопоставляя конфигурации и версии компонентов с базами и сигнатурами. Это даёт полезную видимость изменений, но обнаружение проблемы ещё не доказывает возможность её практического использования.

По описанию BreachLock, автономная система может проводить разведку, выбирать следующий объект проверки, тестировать бизнес-логику, аутентификацию и авторизацию, связывать отдельные слабости, выполнять попытки эксплуатации и переходить между сегментами сети. Результатом должна быть не только перечень находок, но и свидетельство того, какие экспозиции образуют путь к компрометации.

Непрерывная проверка вместо разовых отчётов

Разовый пентест отражает состояние инфраструктуры на момент проверки. После него меняются облачные ресурсы, выпускаются приложения, появляются и удаляются учётные записи, дрейфуют конфигурации и возникают новые активы. Поэтому отчёт может оставаться точным исторически, но перестать описывать текущую среду через несколько недель или месяцев.

BreachLock предлагает запускать тесты по мере изменений, повторять их после устранения недостатков, проверять новые маршруты атак и контролировать работу защитных механизмов. При этом компания отдельно подчёркивает: автономное исполнение не означает автономной ответственности.

Решение о том, какой путь создаёт наибольший риск для бизнеса, какие исправления ставить в приоритет, какие ограничения учитывать и какой остаточный риск допустим, остаётся за специалистами. Практический вывод для компаний — сопоставлять CVSS с достижимостью активов и подтверждёнными цепочками атак, а не ранжировать работы только по оценке отдельной уязвимости.