0 
0 O hacker ético médio pode encontrar uma vulnerabilidade que permite a violação do perímetro da rede e, em seguida, explorar o ambiente em menos de 10 horas, com testadores de penetração focados na segurança da nuvem obtendo acesso mais rapidamente aos ativos direcionados. Além disso, uma vez que uma vulnerabilidade ou fraqueza é encontrada, cerca de 58% dos hackers éticos podem invadir um ambiente em menos de cinco horas.
Isso está de acordo com uma pesquisa com 300 especialistas do SANS Institute e patrocinada pela empresa de serviços de segurança cibernética Bishop Fox, que também descobriu que as fraquezas mais comuns exploradas pelos hackers incluem configurações vulneráveis, falhas de software e serviços da Web expostos, afirmaram os entrevistados.
Os resultados refletem métricas para ataques maliciosos do mundo real e destacam o tempo limitado que as empresas têm para detectar e responder a ameaças, diz Tom Eston, vice-presidente associado de consultoria da Bishop Fox.
“Cinco ou seis horas para entrar, como um hacker ético, não é uma grande surpresa”, diz ele. “Isso corresponde ao que estamos vendo os hackers reais fazendo, especialmente com engenharia social e phishing e outros vetores de ataque realistas”.
A pesquisa é o ponto de dados mais recente das tentativas das empresas de segurança cibernética de estimar o tempo médio que as organizações têm para interromper os invasores e interromper suas atividades antes que danos significativos sejam causados.
A empresa de serviços de segurança cibernética CrowdStrike, por exemplo, descobriu que o invasor médio “sai” de seu comprometimento inicial para infectar outros sistemas em menos de 90 minutos . Enquanto isso, o período de tempo que os invasores conseguem operar nas redes das vítimas antes de serem detectados foi de 21 dias em 2021, um pouco melhor do que os 24 dias do ano anterior, segundo a empresa de serviços de segurança cibernética Mandiant .
Organizações que não acompanham
No geral, quase três quartos dos hackers éticos acham que a maioria das organizações não possui os recursos necessários de detecção e resposta para interromper os ataques, de acordo com a pesquisa Bishop Fox-SANS. Os dados devem convencer as organizações a não apenas se concentrarem na prevenção de ataques, mas também detectar e responder rapidamente aos ataques como forma de limitar os danos, diz Eston, da Bishop Fox.
“Todo mundo eventualmente será hackeado, então tudo se resume à resposta a incidentes e como você responde a um ataque, em vez de proteger contra todos os vetores de ataque”, diz ele. “É quase impossível impedir uma pessoa de clicar em um link.”
Além disso, as empresas estão lutando para proteger muitas partes de sua superfície de ataque, afirmou o relatório. Terceiros, trabalho remoto, a adoção de infraestrutura em nuvem e o aumento do ritmo de desenvolvimento de aplicativos contribuíram significativamente para expandir as superfícies de ataque das organizações, disseram os testadores de penetração.
No entanto, o elemento humano continua a ser a vulnerabilidade mais crítica, de longe. Os ataques de engenharia social e phishing, juntos, representaram cerca de metade (49%) dos vetores com o melhor retorno sobre o investimento em hackers, de acordo com os entrevistados. Ataques a aplicativos da Web, ataques baseados em senha e ransomware são responsáveis por outro quarto dos ataques preferenciais.
“Não deveria ser surpresa que a engenharia social e os ataques de phishing sejam os dois principais vetores, respectivamente”, afirmou o relatório. “Vimos isso repetidas vezes, ano após ano – os relatórios de phishing aumentam continuamente e os adversários continuam encontrando sucesso nesses vetores”.
Apenas seu hacker médio
A pesquisa também desenvolveu um perfil do hacker ético médio, com quase dois terços dos entrevistados tendo entre um ano e seis anos de experiência. Apenas um em cada 10 hackers éticos tinha menos de um ano na profissão, enquanto cerca de 30% tinham entre sete e 20 anos de experiência.
A maioria dos hackers éticos tem experiência em segurança de rede (71%), teste de penetração interna (67%) e segurança de aplicativos (58%), de acordo com a pesquisa, com red teaming, segurança na nuvem e segurança em nível de código como os próximos mais tipos populares de hacking ético.
A pesquisa deve lembrar às empresas que a tecnologia sozinha não pode resolver os problemas de segurança cibernética – as soluções exigem treinamento dos funcionários para estarem cientes dos ataques, diz Eston.
“Não há uma única tecnologia de caixa de piscar que irá repelir todos os ataques e manter sua organização segura”, diz ele. “É uma combinação de processos de pessoas e tecnologia, e isso não mudou. As organizações gravitam em torno da melhor e mais recente tecnologia… mas depois ignoram a conscientização sobre segurança e treinam seus funcionários para reconhecer a engenharia social.”
Com os invasores focados exatamente nessas fraquezas, diz ele, as organizações precisam mudar a forma como estão desenvolvendo suas defesas.
FONTE: DARK READING