Au-delà du test d'intrusion : comment se protéger contre les cybercriminels sophistiqués

J'étais en communication avec une cliente l'autre jour et elle était de bonne humeur lorsqu'elle m'a partagé que le récent rapport de son entreprise test de pénétration était revenu avec zéro résultat. Seules quelques recommandations correspondaient parfaitement aux objectifs qu’elle avait précédemment partagés avec l’équipe de test.

Elle faisait confiance à cette équipe car elle était utilisée depuis quelques années ; ils savaient quand elle appréciait les tests effectués, à quel point les choses étaient documentées et pouvaient tester plus rapidement (et moins cher). Certes, la case de conformité était vérifiée lors de ce test d'intrusion annuel, mais l'organisation a-t-elle réellement été testée ou protégée contre l'une des cyberattaques les plus récentes ? Non. Au contraire, l’organisation éprouvait désormais un faux sentiment de sécurité.

Elle a également mentionné que leur récent exercice sur table (la partie du test d'intrusion au cours de laquelle les principales parties prenantes impliquées dans la sécurité de l'organisation discutent de leurs rôles, responsabilités et de leurs actions et réponses associées à la cyber-violation simulée) pour la réponse aux incidents concernait les ransomwares. Toi devrait se concentrer sur les ransomwares s'ils n'ont pas déjà été abordés lors de tests précédents, mais qu'en est-il du risque humain ou des menaces internes ? Alors que, selon des découvertes récentes, trois cybermenaces et attaques sur quatre proviennent de l’extérieur des organisations, et les incidents impliquant des partenaires ont tendance à être beaucoup plus importants que ceux causés par des sources externes. Selon ces mêmes études, les partis privilégiés peuvent causer plus de dégâts à l’organisation que les étrangers.

Alors, pourquoi effectuons-nous encore des tests d’intrusion superficiels alors que nous pouvons émuler des menaces réalistes et tester les systèmes les plus à risque pour maximiser les dommages à l’entreprise ? Pourquoi n'examinons-nous pas les menaces les plus persistantes pesant sur une organisation en utilisant les informations facilement disponibles de l'ISAC, de la CISA et d'autres rapports sur les menaces pour créer des analyses réalistes et percutantes ? Nous pouvons ensuite imiter cela grâce à des tests d'intrusion et à des tests de résistance de plus en plus réalistes des systèmes pour permettre à une équipe de piratage éthique sophistiquée d'aider, au lieu d'attendre ce qui est probablement une violation inévitable à un moment donné dans le futur.

Les organismes d'audit et les régulateurs attendent des entreprises qu'elles fassent preuve de diligence raisonnable sur leur propre pile technologique et de sécurité, mais ils n'exigent toujours pas le niveau de rigueur requis aujourd'hui. Les organisations tournées vers l’avenir sont de plus en plus sophistiquées dans leurs tests et intègrent leurs exercices de modélisation des menaces à leurs tests d’intrusion et à leurs simulations d’adversaires (également appelés tests d’équipe rouge). Cela permet de garantir qu'ils modélisent de manière globale les types de menaces, exercent leur probabilité, puis testent l'efficacité de leurs contrôles physiques et techniques. Des équipes de hacking éthiques devrait être capable de passer d'un test d'intrusion bruyant à une simulation d'adversaire plus furtive au fil du temps, en travaillant avec le client pour adapter l'approche aux équipements délicats et interdits, tels que les plateformes de négociation de services financiers ou les systèmes de jeux de casino.

Les équipes rouges ne sont pas seulement un groupe offensif de professionnels testant les réseaux d'une entreprise ; de nos jours, ils sont composés de certains des cyber-experts les plus recherchés qui vivent et respirent la technologie derrière les cyberattaques sophistiquées.

Des partenaires de sécurité offensifs solides proposent des équipes rouges robustes ; Les organisations devraient chercher à s'assurer qu'elles peuvent se protéger et se préparer aux dangereux cybercriminels ou acteurs de menace étatiques d'aujourd'hui. Lorsque vous envisagez un partenaire de cybersécurité, il y a quelques éléments à prendre en compte.

Ce partenaire essaie-t-il de vous vendre quelque chose ou est-il agnostique ?

Un programme de cybersécurité légitime et robuste est élaboré par une équipe cherchant à doter votre organisation de la technologie adaptée à votre situation. Toutes les technologies ne sont pas universelles et, par conséquent, les produits ne doivent pas être recommandés dès le départ, mais doivent être suggérés après un examen approfondi des besoins et des exigences uniques de votre entreprise.

Dériver la R&D à partir de données défensives

Découvrez si leur équipe recherche et développe des outils et des logiciels malveillants personnalisés basés sur la détection et la réponse des points finaux les plus récentes et d'autres défenses avancées. Il n’existe pas d’approche universelle en matière de cybersécurité, et il ne devrait jamais y en avoir. Les outils utilisés pour préparer et défendre une organisation contre les cyberattaques avancées sont constamment mis à niveau et nuancés pour lutter contre la sophistication croissante des criminels.

Obtiens le meilleur

Leurs ingénieurs en sécurité offensive sont-ils vraiment du calibre d’un État-nation pour échapper à la détection et rester furtifs, ou s’agit-il de testeurs d’intrusion basés sur la conformité ? En termes simples, avez-vous la meilleure équipe, la plus expérimentée, qui travaille avec vous ? Sinon, trouvez un autre partenaire.

Vérifiez l'état d'esprit

L’équipe dirige-t-elle avec un état d’esprit de conformité ou de préparation aux menaces ? Bien que les listes de contrôle de conformité soient importantes pour garantir que vous disposez des bases en place, il ne s’agit que de cela : une liste de contrôle. Les organisations doivent comprendre ce dont elles ont besoin, au-delà de la liste de contrôle, pour rester en sécurité 24h/7 et XNUMXj/XNUMX.

En fin de compte, trouvez un cyber-partenaire qui posera les questions difficiles et identifiera le plus large éventail de considérations lors de l’analyse d’un programme. Il doit offrir une solution offensive qui permettra à votre organisation de garder une longueur d'avance sur les cybercriminels qui continuent de placer la barre plus haut pour une résilience maximale. Allez au-delà du test de stylet !