0 
0 Os ambientes de TI modernos são projetados propositadamente para serem dinâmicos, evoluindo organicamente por meio de coisas como computação em nuvem, dispositivos da Internet das Coisas (IoT) e, para muitas organizações, por meio de fusões e aquisições e relacionamentos comerciais da cadeia de suprimentos. Ao mesmo tempo em que permite maior eficiência e eficácia dos negócios, muitas vezes a infraestrutura e os dados são adicionados ad hoc sem fazer um loop na equipe de TI ou aderir às políticas de segurança da organização. O resultado é uma infraestrutura não gerenciada ou desconhecida dentro do ecossistema de tecnologia, que apresenta riscos ocultos.
A maioria das equipes de segurança reconhecerá a falta de visibilidade nesse ambiente dinâmico. Seja um acesso credenciado ou agentes ausentes, é comum haver uma lacuna na visibilidade. No entanto, incógnitas desconhecidas apresentam um desafio de visibilidade ainda mais significativo na maioria das organizações.
O que é um ativo desconhecido-desconhecido?
Vamos começar definindo o que queremos dizer com incógnitas desconhecidas, ou ativos dos quais as equipes de segurança e de TI não têm conhecimento. Incógnitas desconhecidas podem ser introduzidas de várias maneiras. Por exemplo, desenvolvedores bem-intencionados com a capacidade de provisionar recursos de nuvem em um cartão de crédito pessoal podem criar novas instâncias de banco de dados.
Considere empreiteiros capazes que podem criar sua própria infraestrutura, mas esquecem de limitar o acesso ao código no GitHub. Ou os parceiros de negócios (fornecedores terceirizados e enésimos) que não são contabilizados no ecossistema corporativo estendido. As fusões são outra forma comum de introdução de “incógnitas desconhecidas” — quando a lista muitas vezes desatualizada de infraestrutura de TI não atende à realidade atual do estado da infraestrutura.
Com o comprometimento da cadeia de suprimentos em ascensão e a crescente dispersão organizacional, como as organizações podem gerenciar e mitigar o risco de incógnitas desconhecidas?
Fechando as lacunas de visibilidade da superfície de ataque
Para solucionar incógnitas desconhecidas, as equipes de segurança precisam estabelecer mecanismos e processos para manter um inventário atualizado de todos os ativos conhecidos associados à sua organização e as vulnerabilidades que podem ser usadas por agentes de ameaças como pontos de entrada na rede. Quanto mais conhecido sobre a organização, mais informações para realizar a busca ativa e contínua de incógnitas e ainda menos incógnitas desconhecidas.
Abaixo estão cinco passos práticos para fechar as lacunas de visibilidade:
- Enumere e monitore continuamente o inventário de ativos: crie um processo e fluxo de trabalho para descoberta contínua de ativos que forneça um inventário abrangente. Os ativos incluem recursos internos e externos, recursos de nuvem, funcionários e a cadeia de suprimentos. Ativos acessíveis externamente são frequentemente visados por agentes de ameaças para acesso inicial (MITRE T1190) explorando vulnerabilidades conhecidas. Em situações em que um dia zero é divulgado, a equipe de segurança pode aproveitar o inventário para responder a estas perguntas: “Temos essa tecnologia em nosso ecossistema e, em caso afirmativo, onde?” e “Estamos executando a versão vulnerável da tecnologia?”
- Determinar a propriedade dos ativos: a atribuição desempenha um papel importante no fornecimento de informações relevantes para a equipe de segurança. Receber uma lista de ativos que podem ou não pertencer à sua organização retardará a equipe à medida que eles fazem a triagem de falsos positivos (ativos fora do escopo). No início dos esforços de descoberta de ativos, o inventário deve ser auditado para determinar o que é gerenciado diretamente versus o modelo de segurança compartilhado (em que o gerenciamento do ativo é terceirizado para um provedor – como um serviço de nuvem ou provedor SaaS). O gerenciamento se torna mais fácil com o tempo, à medida que uma equipe de segurança estabelece o entendimento básico da propriedade de ativos.
- Enriqueça os ativos com inteligência para identificar e priorizar problemas críticos e de alta gravidade : quanto mais rápido as vulnerabilidades forem identificadas, mais rápido a equipe de segurança poderá responder. Indicadores de comprometimento (IoCs) e monitoramento da Dark Web podem informar uma equipe de segurança sobre atividades maliciosas envolvendo a marca ou um ativo. A análise com base na resposta a incidentes e na pesquisa de adversários pode ajudar os defensores a responder e priorizar adequadamente com base em como uma vulnerabilidade está sendo aproveitada e no impacto da exploração. As fontes recomendadas incluem o NIST National Vulnerability Database (NVD), o catálogo de vulnerabilidades exploradas conhecidas da CISA e feeds de inteligência do setor privado.
- Remediar e fortalecer em escala : priorizar os esforços de remediação e fortalecimento nos pontos de entrada que apresentam maior risco para a organização é crucial para as estratégias de mitigação. As descobertas de segurança críticas e de alta gravidade devem ser investigadas e corrigidas imediatamente. A médio e longo prazo, a equipe de segurança precisa estar ciente e monitorar vulnerabilidades de gravidade mais baixa que geralmente são negligenciadas, mas podem ser usadas em conjunto com vulnerabilidades mais fáceis de explorar. Atribua responsabilidade aos itens de menor prioridade e defina expectativas para relatórios trimestrais sobre o progresso.
- Revise regularmente os ativos em busca de incógnitas desconhecidas — e integre suas descobertas nas etapas 1 a 4 : As informações só são valiosas se forem usadas. À medida que mais dados são coletados sobre a superfície de ataque de uma organização, as informações precisam ser distribuídas para as equipes apropriadas dentro da organização e incorporadas aos fluxos de trabalho operacionais em todo o centro de operações de segurança (SOC) ou organização de inteligência. Por exemplo, a equipe de SOC pode aproveitar as informações mais recentes sobre dispositivos potencialmente comprometidos para realizar ações específicas de caça a ameaças e, em seguida, implementar estratégias de mitigação.
Gerenciar e mitigar o risco de ameaças conhecidas é desafiador o suficiente para equipes de segurança já sobrecarregadas. Seguindo as etapas acima, as organizações podem aprimorar seus programas de gerenciamento de superfície de ataque e obter maior visibilidade do risco potencial em seu ecossistema estendido.
FONTE: DARK READING