Rizik ranjivosti meri se putanjom napada, ne samo ocenom

Ozbiljnost nije isto što i stvarni rizik

Bezbednosni timovi sve uspešnije pronalaze ranjivosti, ali BreachLock naglašava da kritična ocena u izveštaju ne mora označavati i najhitniji rizik. Platforma Breach360 za autonomno penetraciono testiranje usmerena je na proveru da li propust zaista može da postane put do kompromitacije, a ne samo na njegovo evidentiranje.

Kritična ranjivost na izolovanom sistemu, iza čvrste segmentacije i kontrola identiteta, ne mora napadaču pružiti pristup važnoj imovini. Nasuprot tome, propust srednje ozbiljnosti na aplikaciji dostupnoj sa interneta može imati veću težinu ako omogućava pristup akreditivima, prevelikim privilegijama i slabo segmentiranom internom okruženju.

Ocene ozbiljnosti ostaju korisne za dosledno razumevanje mogućeg uticaja i određivanje prioriteta otklanjanja. Ipak, same po sebi ne pokazuju da li je slabost dostupna, iskoristiva i povezana sa drugim nedostacima na putu do podataka ili privilegovanih sistema.

Validacija putanje napada daje kontekst nalazima

Autonomno penetraciono testiranje proverava može li se ranjivost dosegnuti, eksploatisati i povezati sa drugim slabostima. Takav postupak obuhvata izviđanje, izbor sledećeg cilja testiranja, proveru logike autentikacije i autorizacije, pokušaj eksploatacije, prelazak kroz okruženje i utvrđivanje puta ka definisanom cilju.

Razlika u odnosu na automatizovano skeniranje nije samo u učestalosti. Skeneri otkrivaju poznate slabosti poređenjem sa bazama i potpisima, dok autonomno testiranje treba da proizvede dokaz o tome šta napadač može da uradi sa pronađenim slabostima.

BreachLock navodi da je Breach360 obučen na obaveštajnim podacima iz više od 40.000 stvarnih angažmana penetracionog testiranja. Među navedenim mogućnostima su povezivanje ranjivosti, provera poslovne logike, validacija autentikacije i autorizacije, bočno kretanje, mapiranje putanja napada i generisanje dokaza o kompromitaciji.

Kontinuirano testiranje prati promene okruženja

Klasičan penetracioni test predstavlja snimak stanja u određenom trenutku. Posle isporučenog izveštaja infrastruktura u oblaku može biti izmenjena, aplikacije postavljene, identiteti dodati ili uklonjeni, konfiguracije promenjene, a nove ranjivosti otkrivene. Zbog toga procena koja je bila tačna tokom testiranja može izgubiti aktuelnost za nekoliko nedelja ili meseci.

Kontinuirani model omogućava zakazivanje testova kada se okruženje menja, ponavljanje provera nakon otklanjanja nedostataka, validaciju novih putanja napada i proveru da li kontrole i dalje rade kako je očekivano. To nije samo češće pokretanje skenera, već kontinuirano izvođenje smislenih ofanzivnih bezbednosnih provera.

Autonomno izvođenje ne uklanja potrebu za stručnim ljudskim sudom. Bezbednosni stručnjaci određuju koja putanja stvara najveći poslovni rizik, koji zahvat ima prednost, koja operativna ograničenja i regulatorne obaveze važe, kao i koji je preostali rizik prihvatljiv.

Praktičan zaključak za poslovanje jeste da se otklanjanje propusta ne zasniva samo na broju nalaza i njihovoj izolovanoj oceni, već na dokazanim putanjama koje mogu voditi do kompromitacije, uz ljudsku odluku o poslovnom prioritetu.