Poleg preizkusa peresa: Kako se zaščititi pred prefinjenimi kiberkriminalci

I was on a call with a client the other day and she was in a great mood as she shared with me that her company’s recent test penetracije se je vrnil z ničelnimi ugotovitvami. Bilo je le nekaj priporočil, ki so bila v skladu s cilji, ki jih je prej delila s skupino za testiranje.

Tej ekipi je zaupala, saj so jo uporabljali že nekaj let; vedeli so, kdaj ji je bilo opravljeno testiranje všeč, kako so ji všeč dokumentirane stvari in so lahko testirali hitreje (in ceneje). S tem letnim preizkusom peresa se je seveda preverjalo polje skladnosti, toda ali je bila organizacija resnično preizkušena ali zaščitena pred katerim koli od najnovejših kibernetskih napadov? Ne. Če sploh kaj, je imela organizacija zdaj lažen občutek varnosti.

Omenila je še, da je njihov nedavni namizna vadba (del preizkusa prodora, kjer ključne zainteresirane strani, vključene v varnost organizacije, razpravljajo o svojih vlogah, odgovornostih in s tem povezanih dejanjih ter odzivih na lažno kibernetsko kršitev) za odziv na incident je bil za izsiljevalsko programsko opremo. Ti shouldnt biti osredotočen na izsiljevalsko programsko opremo, če še ni bila zajeta v prejšnjem testiranju, kaj pa človeško tveganje ali notranja grožnja? Medtem ko je po zadnjih ugotovitvah tri od štirih kibernetskih groženj in napadov prihajajo izven organizacij, in incidenti, v katere so vpleteni partnerji, so ponavadi veliko večji od tistih, ki jih povzročijo zunanji viri. Glede na te iste študije lahko privilegirane stranke povzročijo več škode organizaciji kot tujci.

Torej, zakaj še vedno izvajamo površno testiranje penetracije, ko lahko posnemamo realistične grožnje in stresno testiramo sisteme, ki so najbolj ogroženi za največjo poslovno škodo? Zakaj ne preučujemo najbolj vztrajnih groženj organizaciji z uporabo takoj dostopnih vpogledov iz ISAC, CISA in drugih poročil o grožnjah, da bi ustvarili realistične in učinkovite namizne plošče? To lahko nato posnemamo s testiranjem penetracije in vedno bolj realističnim stresnim testiranjem sistemov, da omogočimo prefinjeni etični hekerski ekipi, da pomaga, namesto da čakamo na tisto, kar je verjetno neizogibna kršitev na neki točki v prihodnosti.

Audit organizations and regulators expect companies to perform due diligence on their own tech and security stack, but they are still not requiring the level of rigor that’s required today. Forward-looking organizations are becoming more sophisticated with their testing and incorporating their threat modeling tabletop exercises with their penetration testing and adversary simulations (also called red team testing). This helps ensure that they’re holistically modeling threat types, exercising their probability, and then testing the efficacy of their physical and technical controls. Etične hekerske ekipe bi moral biti sposoben sčasoma napredovati od hrupnega testa prodora do bolj prikrite simulacije nasprotnika, pri čemer bi skupaj s stranko prilagodil pristop k občutljivi in ​​nedosegljivi opremi, kot so platforme za trgovanje s finančnimi storitvami ali igralniški sistemi.

Rdeče ekipe niso le ofenzivna skupina profesionalcev, ki preizkušajo omrežja podjetja; dandanes jih sestavljajo nekateri najbolj iskani kibernetski strokovnjaki, ki živijo in dihajo tehnologijo, ki stoji za sofisticiranimi kibernetskimi napadi.

Močni ofenzivni varnostni partnerji ponujajo robustne rdeče ekipe; organizacije bi morale zagotoviti, da lahko zaščitijo in se pripravijo na današnje nevarne kibernetske kriminalce ali akterje groženj nacionalne države. Ko razmišljate o partnerju za kibernetsko varnost, je treba upoštevati nekaj stvari.

Ali vam ta partner poskuša nekaj prodati ali je agnostik?

A legitimate and robust cybersecurity program is built by a team looking to equip your organization with the technology that is right for your circumstances. Not all technologies are one-size-fits-all, and therefore, products shouldn’t be recommended upfront but should be suggested following a thorough review of your company’s needs and unique requirements.

Izpeljava raziskav in razvoja iz obrambnih podatkov

Find out if their team researches and develops custom tools and malware based on the most recent endpoint detection and response and other advanced defenses. There is no cookie-cutter approach to cybersecurity, nor should there ever be. The tools used to both prepare and defend an organization against advanced cyberattacks are constantly being upgraded and nuanced to combat the criminals’ increasing sophistication.

Pridobite najboljše

Ali so njihovi ofenzivni varnostni inženirji resnično kalibra nacionalne države, da se izognejo odkrivanju in ohranijo prikritost, ali so preizkuševalci peres, ki temeljijo na skladnosti? Preprosto povedano, ali z vami sodeluje najboljša, najbolj izkušena ekipa? Če ne, poiščite drugega partnerja.

Preverite miselnost

Ali je ekipa vodena z miselnostjo skladnosti ali pripravljenostjo na grožnje? Čeprav so kontrolni seznami za skladnost pomembni za zagotovitev, da imate osnove, je to samo to: kontrolni seznam. Organizacije bi morale razumeti, kaj poleg kontrolnega seznama potrebujejo, da ostanejo varne 24/7.

Navsezadnje poiščite kibernetskega partnerja, ki bo postavljal težka vprašanja in identificiral najširši obseg premislekov pri analizi programa. Ponuditi mora ofenzivno rešitev, ki bo vašo organizacijo držala korak pred kibernetskimi kriminalci, ki še naprej dvigujejo lestvico največje odpornosti. Presezite preizkus peresa!