📰 Informação fresquinha chegando para você!
Não deixe essa passar: clique e saiba tudo!
Apoie esse projeto de divulgacao de noticias! Clique aqui
A IA está comprimindo os cronogramas de exploração. A verdadeira questão não é se o seu manual de gerenciamento de vulnerabilidades precisa mudar, mas sim qual parte dele você errou o tempo todo.
A conversa que está acontecendo nos círculos de segurança agora é mais ou menos assim: Mythos está aqui. Os cronogramas de exploração estão entrando em colapso. O manual de gerenciamento de vulnerabilidades precisa mudar?
A resposta honesta é sim. Mas não é a parte em que a maioria das pessoas está focada.
A discussão em torno do Mythos, o modelo de fronteira da Antrópico e suas implicações para a segurança ofensiva, tende a centrar-se na descoberta. A IA acelera o reconhecimento. Ele ajuda os invasores a identificar exposições com mais rapidez, encadear técnicas com mais eficiência e mover-se na velocidade da máquina por ambientes que antes eram protegidos, em parte, pelas próprias restrições de tempo do invasor.
Isso é real. E isso importa.
Mas aqui está a parte que recebe menos atenção: a maioria das equipes de segurança não estava vencendo a batalha de priorização antes da chegada do Mythos. A linha do tempo compactada não cria um novo problema. Aumenta o custo de um já existente.
"Um CVSS 9.8 sem caminho para um ativo crítico é menos urgente do que um CVSS 5.5 localizado a um salto do seu banco de dados de clientes. Isso era verdade antes do Mythos. É apenas mais caro errar agora."
O problema da priorização não começou com a IA
Passamos o ano passado conversando com arquitetos de segurança, chefes de detecção e resposta e CISOs de organizações empresariais de médio porte e em crescimento. Quando perguntamos como eles priorizam as vulnerabilidades, as respostas são notavelmente consistentes:
“Uma grande proporção das vulnerabilidades que descobrimos não são realmente exploráveis, mas não sabemos disso, a menos que pesquisemos profundamente cada uma delas, o que não temos tempo e pessoal para fazer.”
"Atualmente pela pontuação do CVSS... e não está bem."
"Usamos exercícios de segurança externos e da Tenable que fornecem classificações de gravidade, e é assim que priorizamos. É tudo muito lento e podemos fazer melhor."
Estas não são pequenas lojas com programas imaturos. Estas são organizações que executam Qualys, Tenable, Rapid7, CrowdStrike, Wiz, Okta e Splunk simultaneamente. Ferramentas sérias. Orçamentos sérios. Ainda trabalhando com um backlog classificado por CVSS.
A causa raiz não é a qualidade ou a cobertura do scanner. É contexto. Especificamente, a ausência de três coisas que as pontuações do CVSS não incluem:
Contexto de identidade. Quais contas têm acesso ao sistema vulnerável e são superprivilegiadas?
Acessibilidade. Este ativo está exposto à Internet? Está a um salto de um sistema coroa-jóia?
Continuidade do caminho. Existe uma cadeia de exploração confirmada que conecte esse CVE a algo que realmente importa para o negócio?
Sem esses três contributos, 50.000 resultados não constituem uma lista prioritária. É um backlog sem bússola.
O que o mito realmente muda e o que não muda
Mitos e modelos semelhantes comprimem o tempo entre a divulgação da vulnerabilidade e a exploração. Uma equipe de segurança que costumava ter três semanas para corrigir após a queda de um CVE agora pode ter três dias. Em alguns casos, horas.
Essa é uma mudança significativa nas condições operacionais. Mas isso não altera o problema subjacente da arquitetura, apenas aumenta muito o custo desse problema.
Se sua equipe estiver trabalhando a partir de uma lista de 50.000 descobertas classificada por CVSS, cronogramas de exploração mais rápidos não o ajudarão. Você ainda está começando da lista errada.
"O Mythos acelera o invasor. A questão é se a sua priorização é rápida o suficiente para acompanhar o ritmo, e no momento, para a maioria das organizações, não é."
Vale a pena perguntar se a Mythos exige um novo manual de gerenciamento de vulnerabilidades. Mas a resposta não é um scanner mais rápido ou uma cadência de aplicação de patches mais agressiva.
O manual que precisa mudar é este: parar de tratar o gerenciamento de vulnerabilidades como uma função autônoma que produz uma lista ordenada de CVEs. Comece a perguntar quais exposições, combinadas com qual contexto de identidade, qual acessibilidade de rede e qual criticidade de negócios, criam um caminho confirmado para um ativo que é a joia da coroa.
Isso não é um problema de detecção. Esse é um problema de arquitetura.
A lacuna arquitetônica sobre a qual ninguém está falando
Esta é a aparência de uma pilha de segurança corporativa típica hoje:
Identidade: Okta ou Entra
Segurança na nuvem: Wiz ou Orca
Gerenciamento de vulnerabilidades: Qualys, Tenable ou Rapid7
Ponto final: CrowdStrike ou SentinelOne
Rede: Zscaler ou Palo Alto
SIEM: Splunk ou Sentinela
Cada uma dessas ferramentas faz exatamente o que foi criada para fazer.
Wiz vê a configuração incorreta. Okta vê a conta de serviço com privilégios excessivos. CrowdStrike vê o estado do endpoint. Qualys vê o CVE.
Nenhum deles vê a cadeia que conecta todos os quatro em um caminho de ataque viável ao banco de dados de seus clientes.
Cada uma dessas ferramentas pode fornecer uma pontuação de risco. Nenhum deles pode lhe dar uma decisão que você possa defender em seu conselho.
Isso não é uma lacuna em nenhuma ferramenta. É uma lacuna no arquiteto
A conversa que está acontecendo nos círculos de segurança agora é mais ou menos assim: Mythos está aqui. Os cronogramas de exploração estão entrando em colapso. O manual de gerenciamento de vulnerabilidades precisa mudar?
A resposta honesta é sim. Mas não é a parte em que a maioria das pessoas está focada.
A discussão em torno do Mythos, o modelo de fronteira da Antrópico e suas implicações para a segurança ofensiva, tende a centrar-se na descoberta. A IA acelera o reconhecimento. Ele ajuda os invasores a identificar exposições com mais rapidez, encadear técnicas com mais eficiência e mover-se na velocidade da máquina por ambientes que antes eram protegidos, em parte, pelas próprias restrições de tempo do invasor.
Isso é real. E isso importa.
Mas aqui está a parte que recebe menos atenção: a maioria das equipes de segurança não estava vencendo a batalha de priorização antes da chegada do Mythos. A linha do tempo compactada não cria um novo problema. Aumenta o custo de um já existente.
"Um CVSS 9.8 sem caminho para um ativo crítico é menos urgente do que um CVSS 5.5 localizado a um salto do seu banco de dados de clientes. Isso era verdade antes do Mythos. É apenas mais caro errar agora."
O problema da priorização não começou com a IA
Passamos o ano passado conversando com arquitetos de segurança, chefes de detecção e resposta e CISOs de organizações empresariais de médio porte e em crescimento. Quando perguntamos como eles priorizam as vulnerabilidades, as respostas são notavelmente consistentes:
“Uma grande proporção das vulnerabilidades que descobrimos não são realmente exploráveis, mas não sabemos disso, a menos que pesquisemos profundamente cada uma delas, o que não temos tempo e pessoal para fazer.”
"Atualmente pela pontuação do CVSS... e não está bem."
"Usamos exercícios de segurança externos e da Tenable que fornecem classificações de gravidade, e é assim que priorizamos. É tudo muito lento e podemos fazer melhor."
Estas não são pequenas lojas com programas imaturos. Estas são organizações que executam Qualys, Tenable, Rapid7, CrowdStrike, Wiz, Okta e Splunk simultaneamente. Ferramentas sérias. Orçamentos sérios. Ainda trabalhando com um backlog classificado por CVSS.
A causa raiz não é a qualidade ou a cobertura do scanner. É contexto. Especificamente, a ausência de três coisas que as pontuações do CVSS não incluem:
Contexto de identidade. Quais contas têm acesso ao sistema vulnerável e são superprivilegiadas?
Acessibilidade. Este ativo está exposto à Internet? Está a um salto de um sistema coroa-jóia?
Continuidade do caminho. Existe uma cadeia de exploração confirmada que conecte esse CVE a algo que realmente importa para o negócio?
Sem esses três contributos, 50.000 resultados não constituem uma lista prioritária. É um backlog sem bússola.
O que o mito realmente muda e o que não muda
Mitos e modelos semelhantes comprimem o tempo entre a divulgação da vulnerabilidade e a exploração. Uma equipe de segurança que costumava ter três semanas para corrigir após a queda de um CVE agora pode ter três dias. Em alguns casos, horas.
Essa é uma mudança significativa nas condições operacionais. Mas isso não altera o problema subjacente da arquitetura, apenas aumenta muito o custo desse problema.
Se sua equipe estiver trabalhando a partir de uma lista de 50.000 descobertas classificada por CVSS, cronogramas de exploração mais rápidos não o ajudarão. Você ainda está começando da lista errada.
"O Mythos acelera o invasor. A questão é se a sua priorização é rápida o suficiente para acompanhar o ritmo, e no momento, para a maioria das organizações, não é."
Vale a pena perguntar se a Mythos exige um novo manual de gerenciamento de vulnerabilidades. Mas a resposta não é um scanner mais rápido ou uma cadência de aplicação de patches mais agressiva.
O manual que precisa mudar é este: parar de tratar o gerenciamento de vulnerabilidades como uma função autônoma que produz uma lista ordenada de CVEs. Comece a perguntar quais exposições, combinadas com qual contexto de identidade, qual acessibilidade de rede e qual criticidade de negócios, criam um caminho confirmado para um ativo que é a joia da coroa.
Isso não é um problema de detecção. Esse é um problema de arquitetura.
A lacuna arquitetônica sobre a qual ninguém está falando
Esta é a aparência de uma pilha de segurança corporativa típica hoje:
Identidade: Okta ou Entra
Segurança na nuvem: Wiz ou Orca
Gerenciamento de vulnerabilidades: Qualys, Tenable ou Rapid7
Ponto final: CrowdStrike ou SentinelOne
Rede: Zscaler ou Palo Alto
SIEM: Splunk ou Sentinela
Cada uma dessas ferramentas faz exatamente o que foi criada para fazer.
Wiz vê a configuração incorreta. Okta vê a conta de serviço com privilégios excessivos. CrowdStrike vê o estado do endpoint. Qualys vê o CVE.
Nenhum deles vê a cadeia que conecta todos os quatro em um caminho de ataque viável ao banco de dados de seus clientes.
Cada uma dessas ferramentas pode fornecer uma pontuação de risco. Nenhum deles pode lhe dar uma decisão que você possa defender em seu conselho.
Isso não é uma lacuna em nenhuma ferramenta. É uma lacuna no arquiteto
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #mythos #faz #a #pergunta #certa. #não #responde.
⚡ Fique ligado: novidades e promoções em breve por aqui! ⚡
Postar um comentário