Атакуващ, който успее да убеди потребител да отвори прикачен файл, получава достъп до всичко, което съответната машина все още позволява: сервизен акаунт с права в целия домейн, изходящ маршрут до всяка точка или интерпретатор на скриптове, готов за експлоатация. Кристофър Френц иска тези възможности да бъдат премахнати още преди някой да е написал правило за засичане на заплахи за тях.

Френц ръководи проекта „OWASP Subtractive Security Top 10“ – комплект от девет списъка, публикувани заедно с инженерен стандарт, наречен „Path Erasure Rate“ (Коефициент на премахване на пътища - PER). Организациите, които през последното десетилетие реагираха чрез натрупване на EDR, SIEM и NDR решения, сега плащат за предупреждения за пътища за атака, които са можели просто да елиминират. Списъците посочват кои пътища трябва да бъдат премахнати за всяка платформа.

Пакетът обхваща Windows, Linux, macOS, Active Directory, AWS, M365, мрежова инфраструктура и IoT, като под тях лежи универсален списък с основополагащи принципи.

Подредбата идва извън сферата на сигурността

Френц заимства подреждането по приоритет от дисциплина с по-дълъг опит в тази област.

„В инженерството на надеждността режимите на отказ се адресират чрез архитектурно премахване, където е възможно; чрез архитектурни ограничения, когато премахването е невъзможно; и чрез мониторинг само в случаите, когато нито премахването, нито ограничаването са приложими. В киберсигурността пътят на атака е еквивалентът на режим на отказ. Следователно „Йерархията на ефикасност“ в проекта се стреми да имитира йерархията за елиминиране на режими на отказ, използвана във всяка друга зряла инженерна дисциплина. Това става чрез елиминиране на пътя на атака като основен защитен механизъм, ограничаване на пътищата на атака, които не могат да бъдат напълно елиминирани, и мониторинг на това, което не може да бъде премахнато или ограничено.“

Умората от твърде много предупреждения (alert fatigue) е едно от състоянията, които проектът посочва като доказателство, че адитивният модел вече е изчерпан.

„Прилагането на тази йерархия всъщност подобрява способността на организацията да засича атаки, тъй като значително подобрява съотношението сигнал/шум в генерираните предупреждения. Пътищата, които са били премахнати, вече не допринасят за шума от фалшиви сигнали“, споделя Френц пред Help Net Security.

Йерархия, която поставя мониторинга на последно място, може да се използва по време на бюджетни срещи като аргумент срещу подновяването на лицензите за защита на крайни устройства (endpoint detection).

„Стандартът не се обявява за премахване на системите за засичане и реагиране, а по-скоро твърди, че те не трябва да бъдат основният защитен механизъм. Днес екипите по сигурност фокусират по-голямата част от усилията си върху инсталирането на по-ефективни детектори за дим и превръщането си в по-бързо реагираща пожарна служба. Стандартът аргументира, че макар пожарната винаги да има важна роля, гасенето на пожари не трябва да бъде основният фокус. Основният фокус трябва да бъде върху намаляването на запалимостта и проектирането на сграда, която не може лесно да изгори на първо място.“

Знаменателят зависи от този, който брои

Коефициентът PER представлява дроб: премахнатите пътища, разделени на пътищата, които отговарят на условията за премахване. Оценителят определя знаменателя чрез изброяване на това, което може да открие, така че два екипа, оценяващи една и съща инфраструктура, могат да стигнат до различни крайни числа.

„Тъй като PER се изчислява в рамките на дефиниран оперативен обхват (например цяла Active Directory гора или облачен клиент), стесняването на знаменателя просто намалява обхвата на провереното покритие – то не симулира фалшива сигурност. Манипулирането на метриката чрез изключване на критични активи не кара тези непреброени пътища да изчезнат; то просто оставя неизмерен риск. Освен това PER не изисква 100% точност, за да бъде полезен за определяне на посоката, и действията с най-голямо въздействие пак могат да бъдат идентифицирани при липса на перфектни данни.“

„Ако премахването на път А елиминира 5 тактики, техники и процедури (TTP) за 1000 актива (5000 пътя за атака), а премахването на път Б елиминира 1 TTP за същите 1000 актива (1000 пътя за атака) в организацията, става напълно очевидно, че действие А ще доведе до по-голямо намаляване на възможностите на атакуващия и трябва да бъде приоритетно. Посоката на въздействието не се променя, дори ако единият екип е преброил 998 актива, а друг е сметнал, че активите са 1001.“

Изчислението използва теория на графите, а методът е описан в спецификацията на PER 1.0. В момента проверката зависи от това двама оценители да прочетат този документ и да достигнат до едно и също число.

Френц поставя фаза на анализ преди всяко премахване.

„Този подход изисква от екипите да отделят време, за да разберат каква функционалност е легитимно необходима за средата и коя функционалност не служи за нищо друго, освен да поддържа живи пътищата за атака. Целта не е да се елиминира всеки възможен път за атака, тъй като някои пътища служат за легитимни бизнес цели. Целта е да се елиминират или ограничат пътищата, които нямат легитимна цел. Например малко анализ вероятно ще разкрие, че вашият браузър никога няма легитимна нужда да стартира PowerShell.“

Оригиналният проект „OWASP Top 10“ се базира на предоставени масиви от данни за уязвимости, открити в реални приложения. Френц изгражда настоящите списъци на различна основа.

„Елементите във всеки списък са избрани въз основа на ограничаването на опциите на атакуващия, което те осигуряват в една типична организация. Списъците представляват класовете пътища за атака, чието елиминиране би довело до най-големи промени в стойността на PER.“