0 
0 Os atacantes normalmente levam dias ou semanas para explorar novas vulnerabilidades, mas os defensores demoram a aprender sobre questões críticas e tomar medidas, exigindo em média 96 dias para aprender a identificar e bloquear ameaças cibernéticas atuais, de acordo com um novo relatório que analisa cenários de treinamento e crise.
O relatório, Cyber Workforce Benchmark 2022, descobriu que os profissionais de cibersegurança são muito mais propensos a se concentrar em vulnerabilidades que têm atraído a atenção da mídia, como o Log4j, do que questões mais discretas, e que diferentes indústrias desenvolvem suas capacidades de segurança a taxas amplamente diferentes. Profissionais de segurança em algumas das indústrias mais cruciais, como transporte e infraestrutura crítica, são duas vezes mais lentos para aprender habilidades em comparação com seus colegas nos setores de lazer, entretenimento e varejo.
O tempo necessário para os profissionais de segurança se atualizarem sobre novas questões de ameaças — a CISA diz que os patches devem ser aplicados dentro de 15 dias, mais cedo do que se a vulnerabilidade estiver sendo explorada, diz Kevin Breen, diretor de pesquisa sobre ameaças cibernéticas da Immersive Labs.
“Temos todas essas organizações pressionando por um patch rápido, mas os defensores da rede não estão treinando no mesmo ritmo”, diz ele. “E, se você não é capaz de corrigir, então você precisa aprender a se defender contra as façanhas.”
Exercícios de ameaça à segurança cibernética O relatório utiliza dados de mais de 2.100 organizações que participaram de mais de meio milhão de simulações e exercícios como parte do treinamento de cibersegurança e exercícios de crise da Immersive Labs. O relatório coleta dados de exercícios de crise de segurança cibernética, treinamento de profissionais de segurança para lidar com ameaças atuais e educação de desenvolvedores em segurança de aplicativos.
A imersão mediu a rapidez com que, por exemplo, os profissionais de segurança completaram 185 módulos focados em ameaças atuais específicas, descobrindo que seus usuários aprendem, em média, um novo módulo dentro de 96 dias após a publicação do conteúdo. As indústrias de lazer e entretenimento lideraram o pacote em termos de aprendizado sobre as últimas ameaças, levando apenas uma média de 65 dias para desenvolver uma habilidade, enquanto a indústria de transporte levou mais tempo em 145 dias.
“Talvez não seja surpresa que setores com digital em seu coração — como e-commerce, entretenimento e mídia — superaram outros setores, construindo capacidades humanas contra ameaças mais rapidamente”, afirmou o relatório.
O estudo mostrou quais técnicas de ataque as empresas priorizaram para o treinamento. Os módulos de aprendizagem e teste mais populares envolveram a fase de execução de ataques, conforme definido pela estrutura MITRE ATT&CK, um tópico cinco vezes mais popular do que laboratórios similares em coleta e infiltração de dados, de acordo com dados do Immersive Labs.
O foco nos estágios iniciais no quadro ATT&CK faz sentido, diz Breen.
“Se você pode detectar um atacante no início do ciclo, então você não precisa se preocupar tanto, porque você os parou cedo”, diz ele. “Há certamente um elemento humano em jogo lá. Eles querem tentar evitar esses ataques antes que eles aconteçam, então eles naturalmente se concentram em ‘como eu os impedi de entrar’ em vez de ‘como eu reajo se eles já entraram’.”
Quando ameaças específicas são amplamente discutidas na mídia, os profissionais de segurança também aprenderam as habilidades para lidar com essas ameaças muito mais rapidamente. As 5 principais habilidades desenvolvidas mais rapidamente — concluídas dentro de cinco dias — incluem quatro módulos que cobrem a vulnerabilidade do Log4j e a exploração do Log4Shell e outro módulo que cobre a exploração InstallerFileTakeOver para Windows, afirmou o relatório.
Diferentes indústrias tinham abordagens diferentes para treinamento e exercícios. As indústrias com maior número de exercícios de crise por ano incluíram tecnologia, serviços financeiros e governo, com uma média anual respectiva por empresa de nove, sete e seis exercícios. Enquanto a organização educacional média realizava apenas dois exercícios por ano, essas organizações tendiam a ter muito mais participantes, com 21 participantes por cenário de crise, três vezes mais do que os próximos setores — tecnologia e consultoria — ambos com média de sete participantes.
Cenários de Ransomware A manufatura teve a maior pontuação agregada nos exercícios, com as empresas do setor com uma média de 85%, em comparação com o pior setor da indústria, a saúde, que obteve 18%.
“Algumas indústrias tratam isso quase como um exercício de caixa de seleção – eles fazem seu único exercício por ano, e eles só têm alguns participantes”, diz Breen. “Você não pode simplesmente trazer suas equipes técnicas; você tem que trazer suas equipes legais, suas equipes de comunicação e equipes de RH para ter uma visão holística.”
Sete em cada 10 dos cenários de crise em que os participantes tiveram a menor confiança em suas decisões envolveram ransomware. Enquanto 83% das organizações se recusaram a pagar grupos de ransomware durante os cenários, as mais propensas a pagar eram organizações educacionais em 25%, enquanto nenhuma empresa de infraestrutura crítica decidiu pagar.
Breen recomenda que as empresas executem exercícios de crise frequentes e tragam um grupo mais diversificado de participantes de outros grupos empresariais. Além disso, as empresas devem aprender as habilidades necessárias para transferir a segurança deixada para o desenvolvimento, e corrigir o mais rápido possível.
FONTE: DARK READING