CTEM

CTEM vychází z poznatku, že tradiční správa zranitelností už nestačí. Organizace dnes čelí desítkám tisíc nově zveřejněných zranitelností ročně a není v jejich silách všechny ošetřit. Navíc řada slabin, které útočníci skutečně zneužívají, vůbec nemá podobu chyby v softwaru. Jde například o chybná nastavení cloudových služeb, nadměrná oprávnění, uniklé přihlašovací údaje nebo zapomenuté systémy připojené k internetu. CTEM proto neklade otázku, kolik zranitelností organizace má, ale které z nich by útočník mohl skutečně zneužít a jaké škody by tím způsobil.

Podstata CTEM

Hlavním pojmem metodiky je expozice (exposure), tedy vystavení hrozbě. Expozice je širší pojem než zranitelnost. Zahrnuje jakýkoli stav, který útočníkovi otevírá cestu k cíli – chybu v kódu stejně jako veřejně dostupné úložiště dat, účet bez vícefaktorové autentizace nebo servisní účet s administrátorskými právy.

Tradiční správa zranitelností obvykle pracuje v pravidelných cyklech. Skener projde síť, vytvoří seznam nálezů seřazený podle technické závažnosti a správci systémů je postupně opravují. Výsledkem bývají dlouhé seznamy, které nelze nikdy zcela vyřešit, a neshody mezi bezpečnostním týmem a provozem ohledně toho, co opravovat dřív. CTEM tento přístup mění ve třech ohledech. Hodnocení probíhá nepřetržitě, protože se infrastruktura i hrozby mění každý den. Priorita se neurčuje jen podle technické závažnosti, ale podle skutečné zneužitelnosti a dopadu na podnikání. A před nasazením nápravy se ověřuje, zda by byl útok v daném prostředí skutečně proveditelný.

CTEM posuzuje útočnou plochu z pohledu útočníka, který se nedívá na jednotlivé zranitelnosti izolovaně, ale hledá cestu od prvotního přístupu k cenným datům nebo kriticky důležitým systémům. Nevýznamná slabina se tak může stát klíčovým článkem řetězce, zatímco kritická zranitelnost na izolovaném systému bez přístupu k citlivým datům nepředstavuje akutní riziko.

Fáze programu CTEM

Program CTEM má podobu opakujícího se cyklu o pěti fázích. První tři fáze slouží k diagnostice, následující dvě k nápravě:

1. Vymezení rozsahu (scoping) určuje, které části prostředí bude daný cyklus zkoumat. Vychází z priorit organizace, tedy z toho, které procesy, služby a data jsou pro ni nejdůležitější. Rozsah může být například vymezen na vnější útočnou plochu, cloudové prostředí, systémy pro zpracování plateb nebo identity a oprávnění.
2. Zjišťování (discovery) mapuje aktiva v daném rozsahu a jejich expozice. Zahrnuje dosud neznámá aktiva, včetně systémů a služeb pořízených mimo dohled IT, zranitelnosti softwaru, chybné konfigurace, slabá místa v nastavení oprávnění a identit i uniklé přihlašovací údaje.
3. Prioritizace (prioritization) určuje, které expozice je třeba řešit nejdříve. Kromě technické závažnosti zohledňuje, zda je zranitelnost aktivně zneužívána, zda je k dispozici veřejný exploit, jak je aktivum dostupné, jaká existují kompenzační opatření a jaký by byl dopad na organizaci.
4. Ověření (validation) zjišťuje, zda by útočník mohl expozici skutečně zneužít, kam by se dostal a zda by stávající obranná opatření útok zachytila. K ověření slouží penetrační testy, simulace útoků, red teaming nebo analýza možných útočných cest.
5. Mobilizace (mobilization) zajišťuje, že bude náprava skutečně provedena. Vyžaduje jasné určení odpovědnosti, dohodu s vlastníky systémů a provozními týmy, schválené postupy a lhůty. Náprava zpravidla nemůže být plně automatizovaná a vyžaduje komunikaci napříč organizací.

Po dokončení cyklu se začíná znovu, s novým nebo upraveným rozsahem. Organizace obvykle provozují několik dílčích cyklů současně, každý pro jinou oblast.

Prioritizace expozic

Prioritizace je jádrem metodiky, protože právě zde se rozhoduje, kam soustředit dostupné kapacity. Při prioritizaci se obvykle kombinuje několik zdrojů informací. Hodnocení podle standardu CVSS (Common Vulnerability Scoring System) vyjadřuje technickou závažnost zranitelnosti, model EPSS (Exploit Prediction Scoring System) odhaduje pravděpodobnost jejího zneužití a katalogy aktivně zneužívaných zranitelností informují o tom, co útočníci skutečně používají.

Technické údaje doplňuje kontext organizace: význam aktiva pro podnikání, citlivost dat, dostupnost z internetu, existence kompenzačních opatření a návaznost na další systémy. Pokročilé nástroje analyzují útočné cesty a hledají místa, kde se cesty k více cílům sbíhají. Odstranění jediné expozice v takovém místě může současně přerušit hned několik možných způsobů útoku.

Technologie a nástroje CTEM

Efektivní CTEM se neobejde bez několika kategorií technologií:

• Skenery zranitelností prověřují servery, koncová zařízení, aplikace i kontejnery a hledají známé zranitelnosti a chybějící aktualizace.
• Správa vnější útočné plochy (External Attack Surface Management, EASM) mapuje vše, co organizace vystavuje do internetu, včetně zapomenutých domén, testovacích serverů nebo služeb provozovaných bez vědomí IT.
• Správa útočné plochy kybernetických aktiv (Cyber Asset Attack Surface Management, CAASM) slučuje údaje z různých nástrojů do jednotného přehledu aktiv.
• Nástroje pro zabezpečení cloudu, například správa bezpečnostního stavu cloudu (Cloud Security Posture Management, CSPM) a správa oprávnění v cloudové infrastruktuře (CIEM), odhalují chybná nastavení a nadměrná oprávnění.
• Simulace útoků (Breach and Attack Simulation, BAS) a automatizované penetrační testy napodobují techniky útočníků a ověřují, zda je obranné nástroje zachytí.
• Analýza útočných cest modeluje, jak by se útočník mohl v prostředí pohybovat a kudy by se dostal ke kritickým aktivům.

Výstupy těchto nástrojů je třeba propojit se systémy pro správu požadavků a změn, aby nálezy směřovaly přímo k těm, kdo je mají odstranit.

Souvislosti CTEM s dalšími bezpečnostními koncepty

CTEM je proaktivním protějškem automatizované reakce na incidenty. Zatímco reakce na incidenty se zabývá útoky, které již probíhají, CTEM se snaží útočníkovi uzavřít cesty dříve, než je využije. Obě oblasti se přitom doplňují. Ověřovací fáze CTEM prověřuje, zda detekční a reakční mechanismy fungují, a poznatky z incidentů naopak ukazují, které expozice útočníci skutečně zneužívají.

S fází ověření úzce souvisí red teaming a penetrační testy, které CTEM nenahrazuje, ale zapojuje do pravidelného cyklu. Rozdíl je v tom, že jednorázový test zachycuje stav k určitému okamžiku, zatímco CTEM sleduje vývoj nepřetržitě. Ve fázi zjišťování se CTEM přirozeně zaměřuje na shadow IT a shadow AI, tedy na systémy a služby, o kterých organizace neví. U expozic souvisejících s identitami se uplatňují princip minimálních oprávnění a přístup just in time, které omezují možnosti eskalace oprávnění.

Z hlediska hrozeb omezuje CTEM především útoky, které stojí na exploitech známých zranitelností, chybných konfiguracích a odcizených přihlašovacích údajích. Patří mezi ně většina útoků ransomwarových skupin i masové kampaně, ve kterých útočníci automaticky vyhledávají zranitelná zařízení v internetu.

Přínosy CTEM

S CTEM lze efektivněji využívat omezené kapacity. Místo snahy opravit všechny zranitelnosti se organizace soustředí na ty, které představují skutečné riziko. Bezpečnostní tým tak může vedení i provozním útvarům srozumitelně vysvětlit, proč je konkrétní náprava skutečně naléhavá.

CTEM také rozšiřuje pohled na útočnou plochu za hranice klasických zranitelností softwaru. Zahrnuje cloudové konfigurace, identity, aplikace třetích stran i neznámá aktiva, a odhaluje tak slabiny, které by pravidelné skenování nezachytilo. Ověřování navíc poskytuje doklad o tom, že jsou bezpečnostní opatření nejen nasazena, ale že také skutečně fungují.

Pravidelný cyklus s měřitelnými výsledky v neposlední řadě usnadňuje komunikaci s vedením a dokládání souladu s regulacemi. Organizace může ukázat, jak se její vystavení hrozbám vyvíjí v čase a jak účinně jej snižuje.

Rizika a omezení CTEM

CTEM je náročný na organizaci. Vyžaduje spolupráci bezpečnostního týmu s vlastníky systémů, vývojáři, provozem i vedením. Pokud tato spolupráce nefunguje, končí nálezy opět v nevyřešených seznamech. V praxi bývá nejslabším článkem fáze mobilizace.

Kvalita výsledků závisí na úplnosti přehledu o aktivech a na kvalitě vstupních dat. Neúplný soupis aktiv, nepřesné údaje o jejich významu nebo nedostatek informací o hrozbách mohou vést k chybné prioritizaci. Komplikací může být i velké množství nástrojů s překrývajícími se funkcemi a nejednotnými výstupy.

Ověřování útoků v provozním prostředí s sebou nese riziko narušení dostupnosti systémů, a proto vyžaduje pečlivé plánování a jasně stanovená pravidla. Prioritizace podle pravděpodobnosti zneužití zároveň nemůže zachytit dosud neznámé zranitelnosti nultého dne. CTEM proto nenahrazuje detekci a reakci na incidenty, ale doplňuje je.

Budoucí vývoj CTEM

Tlak na nepřetržité řízení expozic bude dále růst, protože počet nově zveřejňovaných zranitelností se rok od roku zvyšuje.

Výrazné změny na obou stranách přináší také umělá inteligence. Útočníkům pomáhá rychleji vyhledávat a zneužívat zranitelnosti a zkracuje tak čas, který mají obránci na nápravu. Obráncům naopak umožňuje automatizovat fáze zjišťování, prioritizace a ověřování. Systémy AI už dokážou samostatně odhalovat i dosud neznámé zranitelnosti.