Poza testem pióra: jak chronić się przed wyrafinowanymi cyberprzestępcami

Któregoś dnia rozmawiałem z klientką i była w świetnym nastroju, gdy podzieliła się ze mną ostatnimi wydarzeniami w jej firmie test penetracyjny wrócił z zerowymi wynikami. Tylko kilka zaleceń było zgodnych z celami, którymi podzieliła się wcześniej z zespołem testującym.

Ufała temu zespołowi, ponieważ był używany przez kilka lat; wiedzieli, kiedy podobały jej się przeprowadzane testy, jak podobały jej się udokumentowane rzeczy i mogli testować szybciej (i taniej). Z pewnością w ramach tego corocznego testu piórowego sprawdzano zgodność z przepisami, ale czy organizacja rzeczywiście została przetestowana i zabezpieczona przed którymkolwiek z najnowszych cyberataków? Nie. W każdym razie organizacja miała teraz fałszywe poczucie bezpieczeństwa.

Wspomniała również, że ich niedawne ćwiczenie na stole (część testu penetracyjnego, podczas której kluczowi interesariusze zaangażowani w bezpieczeństwo organizacji omawiają swoje role, obowiązki oraz powiązane działania i reakcje na pozorowane cybernaruszenie) w zakresie reakcji na incydenty dotyczyła oprogramowania ransomware. Ty powinien skoncentruj się na oprogramowaniu ransomware, jeśli nie zostało ono już uwzględnione w poprzednich testach, ale co z ryzykiem dla ludzi lub zagrożeniem wewnętrznym? Chociaż, jak wynika z ostatnich ustaleń, trzy na cztery cyberzagrożenia i ataki pochodzą spoza organizacji, a incydenty z udziałem partnerów są zwykle znacznie większe niż te spowodowane przez źródła zewnętrzne. Według tych samych badań strony uprzywilejowane mogą wyrządzić organizacji więcej szkód niż osoby z zewnątrz.

Dlaczego więc nadal przeprowadzamy pobieżne testy penetracyjne, skoro możemy emulować realistyczne zagrożenia i testować systemy najbardziej narażone na największe szkody w celu uzyskania maksymalnych szkód biznesowych? Dlaczego nie przyglądamy się najbardziej utrzymującym się zagrożeniom dla organizacji, korzystając z łatwo dostępnych spostrzeżeń z ISAC, CISA i innych raportów o zagrożeniach, aby stworzyć realistyczne i skuteczne rozwiązania? Możemy to następnie naśladować poprzez testy penetracyjne i coraz bardziej realistyczne testy warunków skrajnych systemów, aby umożliwić wyrafinowanemu etycznemu zespołowi hakerskiemu pomoc, zamiast czekać na to, co prawdopodobnie będzie nieuniknionym naruszeniem w pewnym momencie w przyszłości.

Organizacje audytowe i organy regulacyjne oczekują, że firmy dołożą należytej staranności w zakresie własnych technologii i zabezpieczeń, ale nadal nie wymagają takiego poziomu rygoru, jaki jest wymagany obecnie. Organizacje patrzące w przyszłość stają się coraz bardziej wyrafinowane w swoich testach i włączają ćwiczenia modelowania zagrożeń do testów penetracyjnych i symulacji przeciwnika (zwanych również testami czerwonych zespołów). Pomaga to zapewnić całościowe modelowanie typów zagrożeń, sprawdzanie ich prawdopodobieństwa, a następnie testowanie skuteczności kontroli fizycznych i technicznych. Etyczne zespoły hakerskie powinien z czasem przejść od hałaśliwego testu penetracyjnego do bardziej ukrytej symulacji przeciwnika, współpracując z klientem w celu dostosowania podejścia do wrażliwego i niedostępnego sprzętu, takiego jak platformy handlu usługami finansowymi lub systemy gier kasynowych.

Czerwone drużyny to nie tylko ofensywna grupa profesjonalistów testujących sieci firmowe; obecnie składają się z jednych z najbardziej poszukiwanych ekspertów cybernetycznych, którzy żyją i oddychają technologią stojącą za wyrafinowanymi cyberatakami.

Silni ofensywni partnerzy w zakresie bezpieczeństwa oferują solidne czerwone drużyny; organizacje powinny zadbać o to, aby móc chronić i przygotować się na współczesne zagrożenia cyberprzestępcze lub państwa narodowe. Rozważając wybór partnera w dziedzinie cyberbezpieczeństwa, należy wziąć pod uwagę kilka rzeczy.

Czy ten partner próbuje ci coś sprzedać, czy jest agnostykiem?

Zespół, który chce wyposażyć Twoją organizację w technologię odpowiednią do Twoich okoliczności, tworzy legalny i solidny program cyberbezpieczeństwa. Nie wszystkie technologie są uniwersalne, dlatego też nie należy polecać produktów z góry, lecz po dokładnym zapoznaniu się z potrzebami i unikalnymi wymaganiami firmy.

Czerpanie badań i rozwoju z danych defensywnych

Dowiedz się, czy ich zespół bada i opracowuje niestandardowe narzędzia i złośliwe oprogramowanie w oparciu o najnowsze wykrywanie i reagowanie na punktach końcowych oraz inne zaawansowane zabezpieczenia. Nie ma i nie powinno być prostego podejścia do cyberbezpieczeństwa. Narzędzia używane do przygotowania i obrony organizacji przed zaawansowanymi cyberatakami są stale unowocześniane i udoskonalane, aby umożliwić walkę z rosnącym wyrafinowaniem przestępców.

Zdobądź to, co najlepsze

Czy ich ofensywni inżynierowie bezpieczeństwa są naprawdę na poziomie państwa narodowego, aby uniknąć wykrycia i zachować dyskrecję, czy też są testerami piór opartymi na zgodności? Krótko mówiąc, czy współpracuje z Tobą najlepszy i najbardziej doświadczony zespół? Jeśli nie, znajdź innego partnera.

Sprawdź sposób myślenia

Czy zespół kieruje nastawionym na przestrzeganie zasad zgodności, czy nastawieniem na gotowość na zagrożenia? Chociaż listy kontrolne dotyczące zgodności są ważne, aby mieć pewność, że masz podstawy, to po prostu: lista kontrolna. Organizacje powinny wiedzieć, czego poza listą kontrolną potrzebują, aby zachować bezpieczeństwo 24 godziny na dobę, 7 dni w tygodniu.

Ostatecznie znajdź cyberpartnera, który zada trudne pytania i określi najszerszy zakres rozważań podczas analizy programu. Powinno oferować ofensywne rozwiązanie, dzięki któremu Twoja organizacja będzie o krok przed cyberprzestępcami, którzy stale podnoszą poprzeczkę w zakresie maksymalnej odporności. Wyjdź poza test pióra!