Po roky bolo penetračné testovanie hlavnou metódou na overovanie kybernetickej bezpečnosti organizácie. Vývojové cykly však postupujú bleskovou rýchlosťou a hrozby sa vyvíj ajú každú hodinu. Je bodové testovanie stále účelné?
Veľmi často to znamená, že bezpečnostné tímy reagujú na včerajšie zraniteľnosti namiesto toho, aby predádzali zajtrajším narušeniam.
Odkaz a obmedzenia penetračného testovania
Tradičné penetračné testovanie vzniklo v ére, keď boli aktualizácie softvéru zárzavé a vydávacie cykly trvali mesiace. Dnes, s priebežnými doručovacími kanálmi a cloudnatívnymi aplikáciami, mnohí spóchybňujú, či tento model zodpovedá našej realite.
Penetračné testy sa zvycajne vykonávajú raz ročně, často ako kontrolný bod zhody alebo cvičenie po incidente. Tieto jednorazové hodnotenia identifikujú zraniteľnosti v konkrétnom okamihu, ale nemôžu zohľadniť, čo sa deje v nasledujúcich týždňoch a mesiacoch. To môže vést k dlhým oknám expozície medzi testami. Nové zraniteľnosti sa môžu objaviť hneď na druhý deň a útočníci nečakajú na váš ďalší cyklus.
Ešte horšie je, že testovanie príliš neskoro vo vývojovom cykle môže spomalíť vydania alebo vytvoriť napätie medzi bezpečnostnými a vývojovými tímami. Vývojári, pod tlakom rýchleho dodávania funkcií, často vnímajú bezpečnosť ako brzdu. Keď sa penetračné testovanie stane prекážkou skôr ako sprievodcom, riskuje vykoľjenie samotnej inovácie, ktorú má chrániť.
Tiché obdobia nie sú také tiché
Medzi testami sa môže veľa zmeniť: kód sa vyvíja, konfig urácie sa posúvajú a pridávajú sa nové rozhrania na programovanie aplikácií (API), čo znamená, že každá zmena zavádza potenciálne slabé miesta, ktoré zostávajú neoveriené až do ďalšieho plánovaného testu.
Na riešenie týchto slabých miest môžete buď vykonať rýchle, povrchné skenovanie, ktoré môže vyvolat’ falošný pocit bezpečia, alebo hlboký manuálny test, ktorý spomaľuje tempo podnikania. Ani jedna možnosť nie je ideálna.
Toto tzv. „tiché obdobie“ je miestom, kde sa skrývajú najväčšie riziká. Mnohé skutočné narušenia nastávajú preto, že organizácie nevykonávajú priebežné testovanie, čím útočníkom uľahčujú zneužitie týchto medzier — niekedy v priebehu niekľkých hodín od zavedenia novej zraniteľnosti.
Priebežná validácia: bezpečnosť, ktorá sa pohybuje s vami
Prezieravi lídri v oblasti bezpečnosti prerúšajú tento reatívny cyklus začleněním priebežnej validácie do svojich procesov DevSecOps. Bezpečnostné testovanie už nie je vnímané ako jednorazová udalosť; je to skôr priebežná disciplína, ktorá sa vyvíja spolu s podnikom.
NTT DATA spolupracuje s globálnym maloobchodníkom, ktorý vykonáva štvrťročné prírastkové testy zladené s novými vydaniami, pričom zároveň udržiava základnú líniu bezpečnostných požiadaviek špecifických pre daný podnik. Každý test nadväzuje na predchádzajúci, namiesto toho, aby začínal od nuly. Maloobchodník tiež vykonáva externé „validacie útočnej plochy“, ktoré využívajú externé spravodajské kanály na zrkadlenie správania skutočných útočníkov. Vďaka tomu testovanie zostáva relevantné a adaptívne.
Ostatní klienti NTT DATA integrujú automatizované skenovanie a spravodajstvo o hrozbách priamo do svojich kanálov priebežnej integrácie a priebežného doručovania (CI/CD). Namiesto spoléhania sa na manuálne schvaľovania tieto testy ticho bežia na pozadí, odhaľujú problémy skoro a vzdelávajú vývojárov v reálnom čase.
Automatizácia výrazne zlepšila vzťah medzi bezpečnosťou a vývojármi. Keď testovanie prebieha v kanáli, nie je rušivé. Bezpečnosť sa stáva facil itátorom, nie prекážkou.
Budovanie myslenia pre priebežnú bezpečnosť
Priebežná validácia sa týka aj myslenia. Bezpečnostné tímy sa postupne presúvajú od roly strážcov k roly spolupracovníkov a vývojári tiež musia vnímať bezpečnosť ako neoddeliteľnú súčasť kvality, nie ako políčko na zaškrtnutie.
Táto kultúrna zmena často začína v malom: vloženie skenovacích nástrojov do kanála, plánovanie častejších testov alebo zladění testovacích kalendárov so známymi vydávacími cyklami. Cieľom nie je testovať všetko neustále, ale vybudovať rytmus, kde testovanie a vývoj evoluujú spolu.
Postupom času sa výhody stanú zrejmými:
- Menej prekvapení: zraniteľnosti sú odhalené skôr, čím sa znižuje potreba opráv a omeskaní.
- Väčšia odolnosť: priebežné poznatky pomáhajú organizáciám prispôsobovať sa menídacemu sa prostrediu hrozieb.
- Rýchlejšia inovácia: bezpečnosť sa stáva súčasťou toku, nie jeho blokátorom.
Živý, dýchajúci prístup k zaisteniu bezpečnosti
V konečnom dôsledku je budúcnosť ofenzívnej bezpečnosti o vývoji penetračného testovan ia, nie o jeho nahradení. A prijatím priebežnej validácie organizácie menia testovanie z reaktívnej činnosti na proaktívnu schopnosť.
Nakoniec musíme prestať vnímať testovanie ako udalosť a začať ho vnímať ako ekosystém — taký, ktorý nikdy nespí.
- PREČÍTAJTE SI TIES: Moderná obchodná odolnosť: rámec pre priebežnú pripravenosti
ČO ROBIŤ ĎALEJ
Prečítajte si viac o riešeniach NTT DATA pre Offensive Security-as-a-Service.