Beyond the Pen Test: Kuinka suojautua kehittyneiltä kyberrikollisilta

Olin puhelussa erään asiakkaan kanssa toissapäivänä ja hän oli loistavalla tuulella kertoessaan minulle, että hänen yrityksensä äskettäin läpäisykoe oli palannut nolla löydöllä. Siinä oli vain muutama suositus, jotka olivat hyvin sopusoinnussa niiden tavoitteiden kanssa, jotka hän oli aiemmin jakanut testaustiimin kanssa.

Hän luotti tähän tiimiin, koska niitä oli käytetty muutaman vuoden ajan; he tiesivät, milloin hän piti suoritetusta testauksesta, kuinka hän piti dokumentoiduista asioista ja pystyi testaamaan nopeammin (ja halvemmalla). Varmasti vaatimustenmukaisuusrasia tarkistettiin tällä vuosittaisella kynätestillä, mutta onko organisaatio todella testattu tai suojattu viimeisimmiltä kyberhyökkäyksiltä? Ei. Organisaatiolla oli nyt väärä turvallisuuden tunne.

Hän mainitsi myös, että heidän äskettäin pöytäharjoittelu (penetraatiotestin osa, jossa organisaation turvallisuuteen osallistuvat keskeiset sidosryhmät keskustelevat rooleistaan, vastuistaan ​​ja niihin liittyvistä toimistaan ​​ja vastatoimistaan ​​valekybermurron yhteydessä) tapahtumien reagointia varten koski ransomwarea. Sinä shouldnt keskittyä kiristysohjelmiin, jos niitä ei ole jo käsitelty aiemmissa testeissä, mutta entä inhimillinen riski tai sisäpiiriuhka? Vaikka viimeaikaisten löydösten mukaan kolme neljästä kyberuhkista ja hyökkäyksistä tulee organisaatioiden ulkopuolelta, ja kumppaneihin liittyvät tapaukset ovat yleensä paljon suurempia kuin ulkoisista lähteistä aiheutuvat tapahtumat. Samojen tutkimusten mukaan etuoikeutetut osapuolet voivat tehdä organisaatiolle enemmän vahinkoa kuin ulkopuoliset.

Joten miksi teemme edelleen pintapuolista läpäisytestausta, kun voimme jäljitellä realistisia uhkia ja stressitestaa järjestelmiä, jotka ovat suurimmassa vaarassa aiheuttaa suurimman mahdollisen liikevahingon? Miksi emme tarkastele organisaatioon kohdistuvia pysyvimpiä uhkia käyttämällä helposti saatavilla olevia ISAC-, CISA- ja muiden uhkaraporttien tietoja luodaksemme realistisia ja vaikuttavia pöytälevyjä? Voimme sitten jäljitellä sitä tunkeutumistestauksella ja yhä realistisemmalla järjestelmien stressitestauksella, jotta hienostunut eettinen hakkerointitiimi voi auttaa, eikä odottaa, mikä on todennäköisesti väistämätön rikkomus jossain vaiheessa tulevaisuudessa.

Tarkastusorganisaatiot ja sääntelyviranomaiset odottavat yrityksiltä due diligence -tarkastuksia oman teknologia- ja tietoturvapinonsa suhteen, mutta ne eivät silti vaadi nykypäivän vaatimaa kurinalaisuutta. Tulevaisuuteen katsovat organisaatiot ovat yhä kehittyneempiä testauksessaan ja sisällyttävät uhkamallinnusharjoituksia penetraatiotestaukseen ja vastustajasimulaatioihin (kutsutaan myös punaisen tiimin testaukseksi). Tämä auttaa varmistamaan, että he mallintavat uhkatyyppejä kokonaisvaltaisesti, käyttävät niiden todennäköisyyttä ja testaavat sitten fyysisten ja teknisten hallintalaitteidensa tehokkuutta. Eettiset hakkerointitiimit tulee kyetä edetmään meluisasta läpäisytestistä ajan mittaan salakavalampaan vastustajasimulaatioon, työskennellen asiakkaan kanssa räätälöimään lähestymistapaa herkkien ja rajattomien laitteiden, kuten rahoituspalvelujen kaupankäyntialustojen tai kasinon pelijärjestelmien ympärille.

Punaiset tiimit eivät ole vain hyökkäävä joukko ammattilaisia, jotka testaavat yrityksen verkkoja; nykyään ne koostuvat eräistä halutuimmista kyberasiantuntijoista, jotka elävät ja hengittävät kehittyneiden kyberhyökkäysten takana olevaa tekniikkaa.

Vahvat hyökkäävät tietoturvakumppanit tarjoavat vankkoja punaisia ​​joukkueita; organisaatioiden tulisi pyrkiä varmistamaan, että ne voivat suojella nykypäivän vaarallisia kyberrikollisia tai kansallisvaltion uhkatekijöitä ja valmistautua siihen. Kun harkitset kyberturvakumppania, sinun on otettava huomioon muutama seikka.

Yrittääkö tämä kumppani myydä sinulle jotain vai onko se agnostikko?

Laillisen ja vankan kyberturvallisuusohjelman on rakentanut tiimi, joka haluaa varustaa organisaatiosi olosuhteisiisi sopivalla tekniikalla. Kaikki tekniikat eivät ole yksikokoisia, joten tuotteita ei pidä suositella etukäteen, vaan niitä tulee ehdottaa yrityksesi tarpeiden ja ainutlaatuisten vaatimusten perusteellisen arvioinnin jälkeen.

T&K:n johtaminen puolustavasta tiedosta

Selvitä, tutkiiko ja kehittääkö heidän tiiminsä räätälöityjä työkaluja ja haittaohjelmia uusimpien päätepisteiden havaitsemiseen ja reagointiin sekä muihin kehittyneisiin torjuntakeinoihin perustuen. Kyberturvallisuuteen ei ole keksitty lähestymistapaa, eikä sen pitäisi koskaan ollakaan. Työkaluja, joita käytetään sekä organisaation valmistelemiseen että puolustamiseen kehittyneiltä kyberhyökkäyksiä vastaan, päivitetään ja vivahdellaan jatkuvasti rikollisten lisääntyvän kehittyneisyyden torjumiseksi.

Hanki paras

Ovatko heidän hyökkäävät turvallisuusinsinöörinsä todella kansallisvaltion kaliiperia välttääkseen havaitsemisen ja ylläpitääkseen salailua, vai ovatko he vaatimustenmukaisuuteen perustuvia kynätestaajia? Yksinkertaisesti sanottuna, onko sinulla paras, kokenein tiimi työskentelemässä kanssasi? Jos ei, etsi toinen kumppani.

Tarkista ajattelutapa

Johtaako tiimi vaatimustenmukaisuuden vai uhkavalmiuden ajattelutavan mukaisesti? Vaikka vaatimustenmukaisuuden tarkistuslistat ovat tärkeitä sen varmistamiseksi, että sinulla on perusasiat kunnossa, se on juuri sitä: tarkistuslista. Organisaatioiden tulee ymmärtää, mitä tarkistuslistan lisäksi he tarvitsevat pysyäkseen turvassa 24/7.

Lopulta löydät kyberkumppanin, joka kysyy vaikeita kysymyksiä ja tunnistaa laajimmat näkökohdat ohjelmaa analysoidessasi. Sen pitäisi tarjota loukkaavaa ratkaisua, joka pitää organisaatiosi askeleen edellä kyberrikollisia, jotka jatkuvasti nostavat rimaa maksimaalisen joustavuuden saavuttamiseksi. Mene kynätestin ulkopuolelle!