La gestión de riesgos considera las rutas de ataque y las identidades para medir mejor el riesgo

Mientras que las organizaciones luchan por encontrar y cerrar las vías que los atacantes podrían usar para penetrar y comprometer sus entornos de TI, los proveedores de seguridad están presionando para ofrecer ofertas Gestión de la situación de seguridad. – también conocido como gestión de la exposición – Habilidades en sus productos.

empresa de gestión de la postura de seguridad Cymulate se anunció en junio Su plataforma de gestión de exposición a amenazas utiliza datos de una variedad de fuentes, incluido un inventario de los activos de la empresa, sus vulnerabilidades, posibles rutas de ataque y tácticas adversarias, para crear una medida de riesgo. La semana pasada, la empresa de gestión de exposiciones Tenable anunció el lanzamiento de capacidades de reconocimiento de identidad en su plataforma Tenable One que puede analizar instancias de Active Directory y Azure AD para encontrar vulnerabilidades basadas en identidad como B. Cuentas con muchos privilegios, usuarios huérfanos e identidades anómalas.

«Permitir que las organizaciones analicen los datos combinados de vulnerabilidad e identidad del entorno de TI empresarial actual es una parte fundamental de la medición de la vulnerabilidad», dijo Nico Popp, director de productos de Tenable.

«Cuando se combinan la gestión de vulnerabilidades y la divulgación de identidades, se pueden hacer cosas realmente interesantes», dice. «Los dos juntos realmente nos permiten pensar como un atacante que se mueve lateralmente a través de su entorno para alcanzar básicamente sus activos más importantes».

La gestión de la exposición es un segmento de la industria relativamente joven que ha experimentado un repunte según las previsiones de las firmas analistas. como jardinerosque las organizaciones pasarán de la gestión de vulnerabilidades, la gestión de la superficie de ataque y la gestión de cuentas privilegiadas a una capacidad más holística para gestionar su exposición a las amenazas.

Para las organizaciones, la gestión de riesgos promete mejores formas de proteger sus cambiantes entornos de tecnología de la información de los ataques en evolución. Centrarse no solo en las vulnerabilidades y las identidades débiles, sino también en la validación de las amenazas que plantean vulnerabilidades específicas puede ayudar a las organizaciones a abordar los problemas de seguridad más críticos antes de que sean explotados.

La combinación de una variedad de datos, como la gravedad de las vulnerabilidades, el valor de los activos comprometidos y la capacidad de un atacante para explotar un sistema explotado, permite a las organizaciones evaluar mejor el riesgo, dice Erik Nost, analista senior de seguridad y riesgo en Group. Investigaciones Forrester.

«Todas las organizaciones se esfuerzan por hacer un balance de los recursos que tienen y proporcionar una visión general de lo que tienen que preocuparse», dice. “Al analizar la ruta del ataque, las organizaciones pueden comprender cómo se pueden encadenar los ataques, cómo se puede relacionar una vulnerabilidad en un activo con una familia de malware específica y si hay identidades en ese cuadro que, si se ven comprometidas, podrían permitir que los atacantes lo hagan. .” mover a otras cajas.”

La exposición se centra cada vez más en la identidad.

A medida que las empresas de gestión de vulnerabilidades hacen una progresión natural hacia la gestión de exposición, los proveedores de gestión de identidad y gestión de acceso privilegiado (PAM) también están haciendo una transición cada vez mayor. Por lo general, la gestión de la exposición ha girado en torno a las vulnerabilidades y las configuraciones incorrectas, pero muchas organizaciones aún tienen vulnerabilidades que se derivan de cuentas con privilegios excesivos o usuarios con muchos privilegios de raíz.

Estas también son vulnerabilidades, dice Grady Summers, vicepresidente ejecutivo de productos de SailPoint Technologies.

«Durante mucho tiempo, la gestión de la identidad se consideró una cuestión de cumplimiento», dice. «Pero ahora los clientes preguntan: ¿pueden mostrarme el tráfico con privilegios excesivos, el tráfico huérfano o el tráfico no correlacionado? Simplemente se dan cuenta de que tenían ese punto ciego».

También es probable que las empresas de gestión de superficies de ataque y simulación de ataques cambien su enfoque hacia la gestión de riesgos. Cymulate, anteriormente una empresa de simulación de ataques e infracciones, ha cambiado a la gestión continua de exposición a amenazas (CTEM), un acrónimo acuñado por Gartner, para ampliar su enfoque en la superficie de ataque y la validación de vulnerabilidades, dice Carolyn Crandall, defensora principal de seguridad de Cymulate.

«Ahora los equipos de seguridad están expuestos a más y más amenazas… [exposure management] les ayuda a mantenerse por delante de los atacantes al priorizar mejor las vulnerabilidades que deben corregirse”, dice. «La presión para hacer pruebas es mucho mayor ahora…» [to see if] Estamos obteniendo los resultados que esperábamos, y si no, ¿cómo podemos entenderlos rápidamente y luego cambiarlos?”

Agregar rutas de ataque valida las amenazas

Una parte esencial de la gestión de la exposición es la validación de este hecho. Las vulnerabilidades son alcanzables y explotables por los atacantes. Para determinar si un activo crítico está en riesgo, las organizaciones se enfocan en construir la ruta potencial que un atacante podría tomar a través del entorno, aprovechando las vulnerabilidades en varios sistemas para lograr un objetivo final. Tales rutas de ataque confirman que la combinación de escaneo de vulnerabilidades, análisis de autorizaciones e identidades y medición de la criticidad de los activos conduce a un riesgo medible.

Una ruta de ataque común podría ser comprometer un servidor web utilizando un Explotar para Log4J, escalada de privilegios y posterior acceso a una base de datos. El uso de simulaciones para determinar si este ataque es viable ayuda a las organizaciones a priorizar la aplicación de parches y la implementación de nuevos controles, dice Mike DeNapoli, arquitecto de ciberseguridad y director de Cymulate.

«Podemos replicar este ataque de una manera segura para la producción; en realidad, ejecutarlo y ver si es viable, pero tenemos controles que compensan esos vacíos, o si está validado y representa una ruta de ataque que representa una amenaza. «Al actor le vendría bien», dice.

A menudo, poner en peligro la identidad es una forma más corta de lograr el mismo objetivo, por lo que es tan importante para la gestión de la exposición, dice Popp de Tenable.

«Si hay una base de datos de clientes muy importante administrada por Nico y Nico es un usuario privilegiado pero su identidad tiene muchas debilidades, tal vez su contraseña está en la web oscura o tal vez no tiene MFA (autenticación de múltiples factores) «Es un riesgo», dice. «Si Nico se ve comprometida, que es un ataque solo de identidad, mi base de datos de clientes también se verá comprometida porque el atacante, que ahora puede hacerse pasar por Nico, tiene acceso completo a mi base de datos de clientes».