Gerenciamento de exposição? Compreender o atacante ocupa o centro do palco

A maioria das empresas sabe que tem vulnerabilidades significativas e deseja cada vez mais tecnologia de segurança cibernética que as ajude a priorizar sua abordagem para proteger sistemas, aplicativos e dados – e os fornecedores estão acomodando esses esforços.

A Tenable introduziu uma plataforma de “gerenciamento de exposição”, que combina sua aquisição anterior da empresa de gerenciamento de superfície de ataque Bit Discovery, com inteligência de vulnerabilidade e exposição de seus outros produtos em uma plataforma unificada. A empresa é o mais recente fornecedor a criar uma nova categoria de produtos que visa centralizar dados de uma variedade de sistemas para criar uma visão do invasor sobre os sistemas e dados expostos de uma empresa, bem como dar recomendações aos clientes sobre quais sistemas corrigir primeiro.

A plataforma Tenable One tenta satisfazer as demandas dos clientes, afirma Nicolas Popp, diretor de produtos da Tenable.

“Quando você conversa com os clientes, a primeira coisa que eles dizem é: 'Ajude-me a encontrar todas as minhas exposições na superfície de ataque'”, diz ele. “Mas então, nesse ponto, você descobriu tantos ativos e problemas de segurança que o grande problema se torna 'Você não pode consertar tudo, então pode me ajudar a priorizar?'”

O impulso para a simplificação — bem como os atuais tempos económicos incertos — fazem com que as empresas procurem consolidar os seus fornecedores, com foco em empresas que ajudam as empresas a compreender as suas fraquezas de segurança cibernética e a destacar formas de proteger a sua superfície de ataque. Em Setembro, um inquérito da Gartner revelou que três quartos das empresas planeavam reduzir o número de fornecedores de segurança cibernética de quem compram produtos e serviços.

Os principais candidatos para essas aquisições têm sido startups de gerenciamento de superfície de ataque e provedores de serviços de inteligência de priorização. Em 2021, Cisco adquiriu a empresa de gerenciamento e priorização de vulnerabilidades Kenna Security, e a Microsoft anunciou seu intenção de comprar RiskIQ, uma empresa de descoberta de ativos e gerenciamento de superfícies de ataque. Na Conferência RSA deste ano, a IBM anunciou planos para comprar Randi, também uma empresa de gerenciamento de superfície de ataque.

Os fornecedores estão a responder à realidade económica dos seus clientes, afirma Jess Burn, analista sénior da equipa de investigação de segurança e risco da Forrester Research, uma empresa de business intelligence.

“À medida que avançamos para tempos económicos cada vez mais incertos, haverá pressão sobre o orçamento para consolidar e mudar para plataformas específicas que ofereçam tantas capacidades quanto possível”, diz ela. “E eu também acho que, se não houver consolidação, haverá demanda por uma forte integração com o maior número possível de outros sistemas.”

No anúncio da plataforma Tenable One, a Tenable observou que, em média, as grandes organizações têm mais de 130 soluções pontuais de segurança cibernética, e a infinidade de produtos resulta em uma dispersão de dados. A Tenable pretende reunir todos esses dados em um único silo de inteligência que ajude as empresas a identificar seus pontos mais fracos e priorizar a correção, afirma Popp da Tenable.

“A primeira ideia do gerenciamento de exposição é que você precisa de visibilidade de sua exposição em toda a superfície de ataque – nuvem, diretório ativo, TO, infraestrutura tradicional, máquinas de usuários e código-fonte – tudo”, diz ele. “Ampliar a amplitude da plataforma significa fornecer visibilidade unificada em toda a superfície de ataque.”

Os nomes dessas categorias são relativamente novos. Embora o gerenciamento de superfícies de ataque seja cada vez mais conhecido, muitos profissionais de segurança não conhecem gerenciamento de postura de segurança na nuvem, por exemplo. O gerenciamento de exposição provavelmente não é um termo original, mas a Tenable investiu muito para se equiparar ao termo, adotando até mesmo o lema “The Cyber ​​Exposure Company”.

“Essas não são categorias que as pessoas estão pedindo pelo nome no momento”, diz Burn, da Forrester. “Eles próprios estão sendo expostos aos conceitos por meio da comunidade de fornecedores, quando realizam atividades como simulações de violações e ataques.”

O objetivo de qualquer uma das últimas safras de produtos – seja gerenciamento de exposição, gerenciamento de superfície de ataque ou plataformas de gerenciamento de vulnerabilidades de próxima geração – é determinar onde estão os maiores riscos, diz Burn. As melhores plataformas integram um grande número de fontes de dados com as quais as empresas já lidam. Dicas de fraquezas e exploração podem ser encontradas usando varredura de vulnerabilidades, descoberta de ativos externos, sistema de gerenciamento de identidade e acesso, varredura de endpoints e arquivos de log de rede, mas o volume de dados oculta informações críticas.

“Já existem muitos dados e listas de tarefas muito longas tanto para segurança quanto para TI”, diz ela. “Não vai ajudar na segurança se mais dados forem adicionados à pilha, então isso é algo que as pessoas precisam adotar. Caso contrário, todos esses dados serão apenas ruído.”