Изкуственият интелект съкращава времевите рамки за експлоатация на уязвимости. Истинският въпрос не е дали вашият план за управление на уязвимостите трябва да се промени, а коя част от него сте бъркали през цялото време.
Разговорът, който се води в средите по сигурност в момента, звучи по следния начин: „Mythos е тук. Времевите прозорци за експлоатация се свиват. Трябва ли да се промени планът за управление на уязвимостите?“
Честният отговор е „да“. Но не в частта, върху която са се фокусирали повечето хора.
Дискусията около Mythos (моделът от ново поколение на Anthropic) и неговите последици за офанзивната сигурност обикновено се върти около откриването на пропуски. Изкуственият интелект ускорява разузнаването. Той помага на атакуващите да идентифицират слабости по-бързо, да свързват техники в по-ефективни вериги и да се придвижват с машинна скорост в среди, които преди са били защитени отчасти поради времевите ограничения на самите атакуващи.
Но ето коя част получава по-малко внимание: повечето екипи по сигурност не печелеха битката с приоритизирането още преди появата на Mythos. Съкратената времева рамка не създава нов проблем. Тя просто увеличава цената на вече съществуващ такъв.
„Уязвимост с CVSS оценка 9.8 без достъп до критичен ресурс е по-малко спешна от уязвимост с CVSS 5.5, намираща се на една стъпка от базата данни с вашите клиенти. Това беше вярно преди Mythos. Просто сега грешката струва по-скъпо.“
Проблемът с приоритизирането не започна с изкуствения интелект
През изминалата година разговаряхме с архитекти по сигурността, ръководители на звена за засичане и реагиране, както и с директори по информационна сигурност (CISO) в средни и бързо развиващи се предприятия. Когато ги попитаме как приоритизират уязвимостите, отговорите са забележително сходни:
- „Голяма част от разкритите уязвимости всъщност не са експлоатируеми, но ние не знаем това, освен ако не проучим подробно всяка една от тях, за което нямаме време и персонал.“
- „В момента ги подреждаме по CVSS оценка... и не се справяме добре.“
- „Използваме Tenable и външни симулации на атаки, които предоставят оценки за сериозност, и така приоритизираме. Всичко е много бавно и можем да се справяме по-добре.“
Това не са малки фирми с незрели програми за сигурност. Това са организации, които използват едновременно Qualys, Tenable, Rapid7, CrowdStrike, Wiz, Okta и Splunk. Сериозни инструменти. Сериозни бюджети. И все пак продължават да работят с опашка от задачи, сортирана по CVSS.
Основната причина не е качеството или обхватът на скенерите. Проблемът е в контекста. По-конкретно, липсата на три неща, които CVSS оценките не включват:
- Контекст на идентичността. Кои акаунти имат достъп до уязвимата система и дали те са с прекомерни привилегии?
- Достижимост. Изложена ли е тази система към интернет? Намира ли се на една стъпка разстояние от критично важна за организацията система?
- Непрекъснатост на пътя. Съществува ли потвърдена верига от уязвимости (exploit chain), която свързва този CVE с нещо, което действително има значение за бизнеса?
Без тези три входящи данни списъкът от 50 000 констатации не е приоритизиран списък. Това е просто купчина натрупани задачи без никакъв компас.
Какво всъщност променя Mythos и какво не
Mythos и подобни на него модели съкращават времето между разкриването на уязвимост и нейното експлоатиране. Екип по сигурността, който преди е имал три седмици да инсталира корекции за сигурност след публикуването на нов CVE, сега може да разполага с три дни. В някои случаи – с часове.
Това е съществена промяна в работните условия. Но тя не променя основния архитектурен проблем, а просто увеличава цената от него.
Ако екипът ви работи със сортиран по CVSS списък с 50 000 констатации, по-бързите срокове за експлоатация няма да ви помогнат. Все още започвате от грешния списък.
„Mythos ускорява атакуващия. Въпросът е дали вашето приоритизиране е достатъчно бързо, за да не изостава, а в момента при повечето организации това не е така.“
Въпросът дали Mythos изисква нов план за управление на уязвимостите си струва да бъде зададен. Но отговорът не се крие в по-бърз скенер или в по-агресивно отстраняване на уязвимости.
Планът, който трябва да се промени, е следният: спрете да разглеждате управлението на уязвимостите като самостоятелна функция, която просто произвежда сортиран списък с CVE. Започнете да се питате кои слабости, комбинирани с какъв контекст на идентичността, с коя мрежова достижимост и с коя критичност за бизнеса, създават потвърден път на атака до най-ценните активи.
Това не е проблем на засичането. Това е архитектурен проблем.
Архитектурната пропаст, за която никой не говори
Ето как изглежда типичната инфраструктура за сигурност на едно предприятие днес:
- Управление на уязвимостите: Qualys, Tenable или Rapid7
- Крайни точки: CrowdStrike или SentinelOne
Всеки от тези инструменти прави точно това, за което е създаден.
Wiz вижда неправилната конфигурация. Okta вижда системния акаунт с твърде много права. CrowdStrike вижда състоянието на крайната точка. Qualys вижда съответния CVE.
Никой от тях обаче не вижда веригата, която свързва четирите елемента в реален път на атака до вашата клиентска база данни.
Всеки от тези инструменти може да ви даде оценка на риска. Никой от тях обаче не може да ви помогне да вземете решение, което да защитите аргументирано пред управителния съвет.
Това не е пропуск на конкретен инструмент. Това е пропуск в архитектурата.
Разговаряхме с архитект по сигурността, чийто екип използва точно тези системи. Ето как описа ситуацията:
„Имаме добри сигнали от всички наши инструменти, но съпоставянето на идентичност + облак + крайна точка в един единствен път на атака все още изисква ръчна работа.“
Тази ръчна работа, превключването между разделите на браузъра и кръстосаните проверки...