0
0
O setor de serviços financeiros sempre esteve na vanguarda da adoção de tecnologia, mas a pandemia de 2020 acelerou a disseminação de aplicativos bancários móveis, atendimento ao cliente baseado em bate-papo e outras ferramentas digitais. O Relatório de Tendências FIS de 2022 da Adobe, por exemplo, descobriu que mais da metade dos serviços financeiros e empresas de seguros pesquisadas tiveram um aumento notável nos visitantes digitais/móveis no primeiro semestre de 2020. O mesmo relatório descobriu que quatro em cada dez executivos financeiros dizem que os canais digitais e móveis respondem por mais da metade de suas vendas – uma tendência que só deve continuar nos próximos anos.
À medida que as instituições financeiras expandem sua presença digital, elas têm mais oportunidades de atender melhor seus clientes – mas também estão mais expostas a ameaças de segurança. Cada nova ferramenta aumenta a superfície de ataque. Um número maior de falhas de segurança em potencial pode levar a um número maior de violações de segurança.
De acordo com a pesquisa Cisco CISO Benchmark , 17% das organizações tiveram 100.000 ou mais alertas de segurança diários em 2020. Pós-pandemia, essa trajetória continuou. 2021 teve um número recorde de vulnerabilidades e exposições comuns : 20.141, superando o recorde de 18.325 de 2020.
A principal conclusão é que o crescimento digital no setor financeiro não está parando; portanto, as equipes de segurança cibernética precisarão de maneiras de obter visibilidade precisa e em tempo real de sua superfície de ataque. A partir daí, identifique as vulnerabilidades mais exploráveis e priorize-as para correção.
Abordagens tradicionais para validação de segurança
Tradicionalmente, as instituições financeiras têm usado várias técnicas diferentes para avaliar sua postura de segurança.
Simulação de violação e ataque
A simulação de violação e ataque, ou BAS, ajuda a identificar vulnerabilidades simulando os possíveis caminhos de ataque que um agente mal-intencionado pode usar. Isso permite a validação de controle dinâmico, mas é baseado em agente e difícil de implantar. Também limita as simulações a um manual pré-definido – o que significa que o escopo nunca será completo.
Teste de penetração manual
O teste de penetração manual permite que as organizações vejam como os controles de um banco, por exemplo, resistem a um ataque do mundo real, ao mesmo tempo em que fornecem a entrada adicional da perspectiva do invasor. No entanto, esse processo pode ser caro e é concluído apenas algumas vezes por ano, na melhor das hipóteses. Isso significa que ele não pode fornecer informações em tempo real. Além disso, os resultados sempre dependem da habilidade e do escopo do testador de penetração de terceiros. Se um humano perder uma vulnerabilidade explorável durante um teste de penetração, ela pode permanecer indetectável até ser aproveitada por um invasor.
Verificações de vulnerabilidade
As verificações de vulnerabilidade são testes automatizados da rede de uma empresa. Eles podem ser agendados e executados a qualquer momento – com a frequência desejada. No entanto, eles são limitados no contexto que podem fornecer. Na maioria dos casos, uma equipe de segurança cibernética receberá apenas uma classificação de gravidade CVSS (nenhuma, baixa, média, alta ou crítica) para cada problema detectado pela verificação. Sua equipe terá o fardo de pesquisar e resolver o problema.
As varreduras de vulnerabilidade também apresentam o problema de fadiga de alerta. Com tantas ameaças reais para lidar, as equipes de segurança do setor financeiro precisam se concentrar nas vulnerabilidades exploráveis que podem causar o maior impacto nos negócios.
Um lado bom
A Validação de Segurança Automatizada , ou ASV, fornece uma abordagem nova – e precisa. Ele combina varreduras de vulnerabilidade, validação de controle, exploração real e recomendações de correção baseadas em risco para gerenciamento completo da superfície de ataque.
O ASV fornece cobertura contínua, o que fornece às instituições financeiras insights em tempo real sobre sua postura de segurança. Combinando cobertura interna e externa, ele fornece a imagem mais completa possível de todo o ambiente de risco. E, como modela o comportamento de um invasor da vida real, vai muito além do que uma simulação baseada em cenário pode.
Como o setor financeiro está usando o ASV
É (quase) desnecessário dizer que bancos, cooperativas de crédito e seguradoras precisam de um alto nível de segurança para proteger os dados de seus clientes. Eles também devem atender a determinados padrões de conformidade, como FINRA e PCI-DSS.
Então: como eles estão fazendo isso? Muitos estão investindo em ferramentas automatizadas de validação de segurança que mostram seu verdadeiro risco de segurança a qualquer momento e, em seguida, usam esses insights para criar um roteiro para correção. Aqui está o roteiro que instituições financeiras como a Sander Capital Management estão seguindo:
Passo 1 — Conhecendo sua superfície de ataque
Usando o Pentera para mapear sua superfície de ataque voltada para a Web, eles estão reunindo uma compreensão completa de seus domínios, IPs, redes, serviços e sites.
Passo 2 — Desafiando sua superfície de ataque
Explorando com segurança os ativos mapeados com as técnicas de ataque mais recentes, eles estão descobrindo vetores de ataque completos – internos e externos. Isso lhes dá o conhecimento de que precisam para entender o que é realmente explorável – e vale a pena os recursos para remediar.
Etapa 3 — Priorizando os esforços de remediação por impacto
Ao aproveitar a emulação de caminho de ataque, eles podem identificar o impacto comercial de cada lacuna de segurança e atribuir importância à causa raiz de cada vetor de ataque verificado. Isso dá à equipe um roteiro muito mais fácil de seguir para proteger sua organização.
Etapa 4 — Executando o roteiro de remediação
Seguindo uma lista de remediação econômica, essas organizações financeiras estão capacitando suas equipes de segurança para resolver lacunas e medir o impacto de seus esforços em sua postura geral de TI.
Quando se trata de sua organização: você sabe onde estão seus elos mais fracos para poder resolvê-los antes que um invasor os use contra você?
FONTE: THE HACKER NEWS