Zarządzanie Ciągłym Narażeniem na Zagrożenia (CTEM): Nowe Podejście w Cyberbezpieczeństwie

Zespoły zajmujące się cyberbezpieczeństwem coraz częściej pragną wyjść poza izolowane podejście do analizy zagrożeń oraz podatności. Chodzi nie tylko o to, co może pójść nie tak (podatności) oraz kto może zaatakować (zagrożenia), ale również o to, w jaki sposób te elementy wzajemnie się przenikają w rzeczywistym środowisku, tworząc rzeczywiste, wykorzystywane narażenie.

Jakie narażenia są naprawdę istotne? Czy mogą być one wykorzystywane przez atakujących? Czy nasze zabezpieczenia działają skutecznie?

Zarządzanie Ciągłym Narażeniem na Zagrożenia (CTEM) może dostarczyć przydatnego podejścia dla zespołów cyberbezpieczeństwa w dążeniu do zintegrowanego zarządzania zagrożeniami, podatnościami oraz narażeniem.

Co to jest CTEM?

CTEM, według definicji Gartnera, koncentruje się na 'ciągłym’ cyklu identyfikacji, priorytetyzacji oraz usuwania wykorzystywalnych narażeń w obrębie powierzchni ataku, co ostatecznie poprawia ogólną postawę bezpieczeństwa. Nie jest to jednorazowe skanowanie z wynikami dostarczonymi przez narzędzie; to model operacyjny oparty na pięciu krokach:

1. Zakres działań – ocena zagrożeń i podatności oraz identyfikacja najważniejszych aktów, procesów i przeciwników.
2. Odkrycie – mapowanie narażeń i ścieżek ataku w obrębie twojego środowiska, aby przewidzieć działania przeciwnika.
3. Priorytetyzacja – skoncentrowanie się na tym, co atakujący mogą realistycznie wykorzystać i co wymaga naprawy.
4. Walidacja – testowanie założeń za pomocą bezpiecznych, kontrolowanych symulacji ataków.
5. Mobilizacja – wprowadzenie zmian i usprawnień procesów na podstawie zebranych dowodów.

Dlaczego warto zastosować CTEM?

CTEM zmienia podejście do zarządzania narażeniem na ryzyko, integrując szereg podprocesów i narzędzi, takich jak ocena podatności, zarządzanie podatnościami, zarządzanie powierzchnią ataku, testowanie oraz symulacje. CTEM łączy ocenę narażenia oraz walidację narażenia, z ostatecznym celem, aby zespoły zabezpieczeń mogły rejestrować oraz zgłaszać potencjalne wpływy w zakresie redukcji ryzyka cybernetycznego.

Pomimo, że dostępność technologii nigdy nie była problemem – wręcz przeciwnie, mamy nadmiar narzędzi w dziedzinie cyberbezpieczeństwa – większa liczba narzędzi prowadzi do powstawania większych silosów. To właśnie to zjawisko CTEM zamierza przełamać. Możemy w końcu zjednoczyć nasze widzenie zagrożeń, podatności oraz powierzchni ataku i podjąć działania przeciwko rzeczywistemu narażeniu, aby zreduktować ogólne ryzyko cybernetyczne?

Inteligencja zagrożeń a CTEM

Tysiące podatności są zgłaszane każdego roku, a ich liczba w 2024 roku przekroczyła 40,000; jednak mniej niż 10% z nich kiedykolwiek jest wykorzystywanych. Inteligencja zagrożeń może znacznie pomóc w skoncentrowaniu się na tych, które są istotne dla twojej organizacji, łącząc podatności z technikami, taktykami i procedurami (TTP), obserwowanymi w aktywnych kampaniach. Współczesna inteligencja zagrożeń stała się nie tyle „miłym dodatkiem”, co wręcz „koniecznością”. Umożliwia określenie Priorytetowych Wymagań Inteligencji (PIR): kontekstu i pejzażu zagrożeń, które mają największe znaczenie w twoim otoczeniu. Dzięki tej priorytetowej inteligencji zagrożeń wiemy, które luki są wykorzystywane, przeciwko jakim celom oraz w jakich warunkach, co pozwala skupić działania naprawcze na tym, co jest eksploatowane w twoim środowisku, a nie na tym, co teoretycznie możliwe.

„Pytanie, które powinieneś zadać swojemu zespołowi ds. inteligencji zagrożeń brzmi: Czy optymalizujecie wartość danych o zagrożeniach, które zbieracie dzisiaj?”

Weryfikacja i ważność bezpieczeństwa

Priorytetowa inteligencja zagrożeń powinna być następnie poddana testowaniu i walidacji, aby sprawdzić, jak twoje mechanizmy bezpieczeństwa radzą sobie z najprawdopodobniejszymi wektami ataku oraz jak może to wpłynąć na twoją organizację. Ważnym czynnikiem jest to, że program walidacji bezpieczeństwa powinien wykraczać poza technologię; powinien także obejmować procesy i ludzi. Doskonale dostrojony system EDR, SIEM czy WAF oferuje ograniczoną ochronę, jeśli procedury reagowania na incydenty są niejasne, podręczniki są nieaktualne, a ścieżki eskalacji załamują się pod presją.

Oczekujemy, że zobaczymy zbieżność symulacji naruszeń i ataków, ćwiczeń w formie kart do gry oraz automatyzacji testów penetrujących w kierunku Walidacji Narażenia Adwersarzy (AEV).

CTEM jako podejście strategiczne

CTEM nie jest produktem, lecz podejściem strategicznym, wykorzystującym metryki wynikowe do zarządzania narażeniem. Wdrożenie tej metody nie spoczywa na jednym zespole zabezpieczeń czy funkcji; musi być kierowane z góry, łamiąc silosy i usprawniając przepływy pracy w dziedzinie bezpieczeństwa pomiędzy zespołami. Rozpocznij od etapu 'Zakres działań’, aby zdecydować, co należy uwzględnić w programie zarządzania narażeniem i na czym skupić się w pierwszej kolejności:

• Jakie są nasze najwyższe ryzyka biznesowe, na które cyberbezpieczeństwo może bezpośrednio wpłynąć?
• Jakie środowisko (on-premise, chmurowe, IT/OT, spółki zależne…) oraz typy aktywów (cenne zasoby, urządzenia końcowe, systemy tożsamości, bazy danych…) są uwzględnione?
• Czy posiadasz dokładny widok na tę inwentaryzację?
• Jakie zagrożenia i metody ataku są najbardziej istotne dla naszej branży i ich technologii?
• Jak będziemy wykorzystywać istniejącą inteligencję zagrożeń i dane o incydentach do precyzowania zakresu?
• Jak zdefiniujemy 'krytyczne narażenie’ (na podstawie możliwości wykorzystania, wpływu na biznes, wrażliwości danych, promienia eksplozji itp.)?
• Czy jesteśmy w stanie dziś zwalidować narzędzia, ludzi oraz procesy?
• Jakie mamy początkowe możliwości w zakresie usuwania problemów w tym zakresie (ludzie, narzędzia, SLA)?

To nie jest wyczerpująca lista, ale te pytania pomagają zdefiniować realistyczny, zgodny z ryzykiem zakres CTEM, który może być realizowany i mierzony, zamiast nadmiernie ogólnej, ale niezarządzalnej pracy.

Podsumowując: CTEM działa, gdy odpowiada na najważniejsze pytania, dostarczając dowodów:

• Co może nas skrzywdzić?
• Jak by to się stało?
• Czy możemy temu zapobiec?

Po więcej zasobów dotyczących zarządzania narażeniem, inteligencji zagrożeń i praktyk walidacyjnych odwiedź Filigran.