Beveiligingsteams zijn uitzonderlijk getalenteerd geworden in het opsporen van kwetsbaarheden. Nu is het tijd om onze aandacht te richten op het optimaliseren van het proces om te bepalen welke van deze kwetsbaarheden daadwerkelijk een pad naar compromissen creëren.
Een kritieke kwetsbaarheid kan op een scannerrapport alarmerend lijken, maar als deze schuilgaat achter sterke segmentatie, identiteitscontroles en andere verdedigingsmechanismen die voorkomen dat een aanvaller iets belangrijks bereikt, heeft deze niet noodzakelijkerwijs onmiddellijke aandacht nodig.
Aan de andere kant lijkt een kwetsbaarheid van gemiddelde ernst misschien minder belangrijk, maar als deze kan worden gebruikt om een houvast te bieden die kan worden gekoppeld aan andere zwakke punten om gevoelige gegevens of geprivilegieerde systemen te bereiken, dan wordt het oplossen van die kloof een prioriteit.
Hoe autonome penetratietests onthullen wat aanvallers daadwerkelijk kunnen misbruiken
Ernstscores vertellen u wat kwetsbaarheden afzonderlijk kunnen betekenen. Autonome penetratietesten vertellen u wat een aanvaller daadwerkelijk met de kwetsbaarheden kan doen.
De beveiligingsindustrie is op weg naar continue validatie, omdat point-in-time assessments en periodieke kwetsbaarheidsscans niet volledig rekening kunnen houden met complexe omgevingen die elke dag veranderen. Het ontbrekende stukje bij het continu testen van beveiliging is een uitvoeringsmodel dat in staat is om op continue basis en op schaal betekenisvolle penetratietesten uit te voeren.
Autonome penetratietesten zijn de ontbrekende uitvoeringslaag voor continue beveiligingsvalidatie.
Waarom autonome penetratietesten verder kijken dan de ernst van de kwetsbaarheid
De ernst van de kwetsbaarheid blijft nuttig omdat beveiligingsteams een consistente manier nodig hebben om de potentiële impact van een kwetsbaarheid te begrijpen en prioriteit te geven aan herstel.
Maar vandaag de dag kunnen we de ernst niet in een vacuüm analyseren.
- Overweeg een kritieke kwetsbaarheid op een geïsoleerd systeem met krachtige toegangscontroles en geen haalbare route naar gevoelige activa.
- Overweeg nu een middelzware kwetsbaarheid in een internetgerichte applicatie die toegang biedt tot inloggegevens, overmatige machtigingen en een slecht gesegmenteerde interne omgeving.
De tweede kwetsbaarheid kan een groter risico vormen, omdat aanvallers zoeken naar mogelijkheden om toegang te krijgen, bevoegdheden te escaleren, lateraal te bewegen, controles te omzeilen en iets waardevols te bereiken. Deze expertise was ooit exclusief voorbehouden aan ervaren dreigingsactoren, maar het gebruik van AI verlaagt de kennisbarrière voor slechte actoren om cyberaanvallen uit te voeren.
Validatie van het aanvalspad biedt de ontbrekende context. In plaats van alleen te vragen of er een kwetsbaarheid bestaat, voeren autonome penetratietests aanvalspadvalidatie uit om te vragen of deze kan worden bereikt, uitgebuit, gekoppeld aan andere zwakke punten en kan worden gebruikt om vooruitgang te boeken in de richting van een zinvol doel.
De nieuwste autonome pentestmogelijkheden zijn niet langer een voordeel dat voorbehouden is aan grote beveiligingsteams met grote budgetten. Door een beveiligingsstrategie te verschuiven van reactief herstel naar proactief validatie, kunnen organisaties van elke omvang hun omgevingen voortdurend testen, prioriteiten stellen aan de risico’s die ertoe doen en bewijzen waar aanvallers daadwerkelijk terrein kunnen winnen.
Waarom autonome penetratietesten point-in-time-testen vervangen
Traditionele penetratietesten ontlenen hun waarde aan menselijke expertise. Een ervaren pentester kan door complexe scenario’s redeneren, meerdere kwetsbaarheden aan elkaar koppelen, bedrijfslogica testen en bepalen of een theoretische zwakte een echt compromis kan worden. Die expertise blijft van onschatbare waarde.
Wat nu verandert, is de omgeving waarmee beveiligingstests gelijke tred moeten houden.
In een typisch proces vindt er een penetratietest plaats, wordt er een rapport afgeleverd en begint de organisatie met herstel. Vervolgens blijft de omgeving veranderen. De cloudinfrastructuur wordt aangepast. Applicaties worden ingezet. Identiteiten worden gecreëerd en verwijderd. Configuraties drijven. Er verschijnen nieuwe activa. Beveiligingscontroles veranderen. Er ontstaan nieuwe kwetsbaarheden.
De beoordeling was misschien accuraat toen deze werd uitgevoerd, maar de beschreven omgeving bestaat weken of maanden later mogelijk niet meer.
Point-in-time pentesting wordt steeds ontoereikend als het enige mechanisme voor het valideren van de beveiligingspositie. Het antwoord is niet noodzakelijkerwijs meer jaarlijkse penetratietests. Het is een testmodel dat gelijke tred kan houden met de voortdurende verandering van de omgeving zelf.
Dat is waar autonome penetratietesten het speelveld gelijk maken.
Autonome penetratietesten maken continu penetratietesten mogelijk
Continue beveiligingsvalidatie staat al een tijdje op de radar. Continu aanvalsbeheer, voortdurende ontdekking van kwetsbaarheden, continue controlevalidatie en continu blootstellingsbeheer weerspiegelen allemaal hetzelfde onderliggende besef dat beveiligingsteams in realtime moeten weten wat waar is over hun omgeving.
De uitdaging is altijd de uitvoering geweest.
Offensieve beveiligingsprofessionals brengen oordeel en creativiteit in, ontwikkeld door jarenlange praktijkervaring. Maar er zijn praktische grenzen aan het aantal applicaties, netwerksegmenten, identiteiten, aanvalspaden en beveiligingscontroles dat een menselijk team voortdurend kan testen.
Autonome penetratietesten zorgen ervoor dat continu het uitvoeringsmodel wordt getest dat het heeft gemist.
In plaats van te wachten op de volgende geplande penetratietest, kunnen organisaties tests van omgevingen op aanvraag plannen als deze veranderen. Ze kunnen na herstel opnieuw testen, nieuwe aanvalspaden valideren, aanvalsscenario’s herhalen en bepalen of beveiligingscontroles blijven presteren zoals verwacht.
Continue penetratietesten zijn meer dan het vaker uitvoeren van een kwetsbaarheidsscanner; het vereist de mogelijkheid om voortdurend betekenisvolle offensieve beveiligingstests uit te voeren.
Geautomatiseerde kwetsbaarheidsscans versus autonome penetratietests
Automatisering en autonomie zijn niet hetzelfde. Geautomatiseerde kwetsbaarheidsscans zijn ontworpen om bekende zwakke punten te identificeren. Scanners kunnen omgevingen voortdurend inspecteren, kwetsbaarheden vergelijken met databases en handtekeningen en waardevol inzicht bieden in wat er is veranderd.
Maar het vinden van een kwetsbaarheid is iets anders dan bewijzen dat een aanvaller er gebruik van kan maken.
Autonome penetratietesten gaan verder dan het scannen van kwetsbaarheden.
Een autonoom penetratietestplatform kan verkenningen uitvoeren, bepalen wat er vervolgens moet worden getest, individuele zwakheden aan elkaar koppelen, authenticatie- en autorisatielogica testen, misbruik proberen, door een omgeving draaien en een aanvalsdoelstelling nastreven.
Het verschil is dat geautomatiseerd scannen mogelijkheden identificeert, terwijl autonome penetratietesten bewijs opleveren.
Autonome penetratietesten op Senior-Pentester-vaardigheid
De interessante ontwikkeling op het gebied van autonome penetratietesten is niet dat AI individuele pentesttaken kan automatiseren. Dat is al een tijdje zo.
De belangrijkste verschuiving is dat autonome penetratietests een punt hebben bereikt waarop het door meerstapsaanvalscenario’s kan redeneren op een diepte die historisch geassocieerd wordt met ervaren menselijke penetratietesters. In plaats van te stoppen bij individuele bevindingen, kan het analyseren hoe zwakke punten op elkaar inwerken en bepalen of deze kunnen worden gecombineerd tot een haalbare weg naar compromissen.
Dat omvat het testen van de bedrijfslogica, het aan elkaar koppelen van kwetsbaarheden en het beoordelen van wat er gebeurt na de eerste toegang. Autonome systemen kunnen door verschillende omgevingen heen draaien, privileges escaleren, zijwaarts bewegen en een gedefinieerd aanvalsdoel nastreven op basis van wat ze ontdekken.
Dit maakt autonome penetratietesten relevant voor de verschuiving in de sector naar continue beveiligingsvalidatie. Het doel is om continu te testen of een aanvaller daadwerkelijk iets kan bereiken dat er toe doet.
Breach360 is een autonome penetratietest die is gebouwd voor continue beveiligingsvalidatie
Breach360 by BreachLock is gebouwd rond het uitgangspunt dat autonome penetratietests de diepgang van offensieve beveiligingsexpertise op senior niveau moeten combineren met de schaalbaarheid die nodig is voor continu testen.
Het platform is getraind op basis van de informatie uit meer dan 40.000 penetratietests in de echte wereld, waardoor de autonome testmogelijkheden een basis krijgen voor offensieve beveiliging in de echte wereld in plaats van puur gesimuleerde scenario’s.
Breach360 kan autonoom:
- Verkenningen uitvoeren
- Identificeer aanvalsmogelijkheden
- Kwetsbaarheden in de keten
- Bedrijfslogica testen
- Valideer authenticatie en autorisatie
- Draai over netwerksegmenten
- Voer een zijwaartse beweging uit
- Breng aanvalspaden in kaart
- Valideer de exploiteerbaarheid
- Genereer bewijs van een compromis
In plaats van beveiligingsteams achter te laten met nog een groeiende lijst van theoretische kwetsbaarheden, levert Breach360 bewijs van welke blootstellingen feitelijk kunnen worden uitgebuit en hoe deze blootstellingen met elkaar in verband staan tijdens een aanvalspad. Hierdoor kunnen teams het herstel richten op kwetsbaarheden die zinvolle routes naar compromissen creëren.
Autonome penetratietests hebben nog steeds een menselijk oordeel nodig
Autonome uitvoering en autonome verantwoording zijn twee verschillende dingen. Technologie kan aanvalspaden ontdekken, exploits valideren, bewijsmateriaal genereren en tests herhalen op een schaal die geen enkel menselijk team kan evenaren. Professionals op het gebied van de menselijke veiligheid bieden nog steeds de context die bepaalt wat het bewijsmateriaal voor het bedrijf betekent.
Zij bepalen:
- Welk aanvalspad het grootste bedrijfsrisico met zich meebrengt
- Welke saneringsinspanning moet prioriteit krijgen
- Welke operationele beperkingen zijn van belang
- Welke wettelijke verplichtingen zijn van toepassing
- Welk niveau van restrisico is aanvaardbaar
- Wanneer diepere tests onder leiding van experts gerechtvaardigd zijn
Die verantwoordelijkheidsverdeling maakt autonome beveiligingstests praktisch voor echte omgevingen. Het doel is niet om mensen uit de beveiligingstests te weren. Het gaat erom te stoppen met het gebruik van menselijke expertise voor werk dat machines nu continu kunnen uitvoeren, terwijl het menselijk oordeel behouden blijft voor beslissingen die context en verantwoordelijkheid vereisen.
De toekomst van penetratietesten is autonoom en continu
De beveiligingsindustrie is al jaren bezig met de ontwikkeling van continue beveiligingsvalidatie, waarbij ze onderkent dat periodieke kwetsbaarheidsscans en point-in-time penetratietests niet volledig het risico kunnen vertegenwoordigen van omgevingen die voortdurend veranderen. Wat ontbrak is de mogelijkheid om continu en op schaal hoogwaardige penetratietesten uit te voeren.
Autonome penetratietests bieden die mogelijkheid door redeneren in meerdere stappen, exploitatie, aanvalspadvalidatie en testen van beveiligingscontroles in een continu operationeel model te brengen.
Voor beveiligingsteams is het doel niet langer eenvoudigweg te begrijpen hoeveel kwetsbaarheden er bestaan of hoe ernstig deze afzonderlijk voorkomen. Er is een verschuiving doorgevoerd naar het voortdurend valideren van welke risico’s een geloofwaardige weg naar compromissen vormen en het herstel daar te richten waar dit de grootste impact kan hebben. Uw meest kritieke kwetsbaarheid is tenslotte misschien niet uw grootste risico.
Over BreachLock
BreachLock is een wereldleider op het gebied van offensieve beveiliging en levert schaalbare en continue beveiligingstests. BreachLock wordt vertrouwd door wereldwijde ondernemingen en biedt door mensen geleide en AI-aangedreven Attack Surface Management, Penetration Testing as a Service (PTaaS), Red Teaming en Adversarial Exposure Validation (AEV)-oplossingen waarmee beveiligingsteams tegenstanders een stap voor kunnen blijven.
Met een missie om van proactieve beveiliging de nieuwe standaard te maken, geeft BreachLock vorm aan de toekomst van cyberbeveiliging door middel van automatisering, datagestuurde intelligentie en deskundige uitvoering.
