Kontinuirana validacija bezbednosti

Pretnje koje vidimo i rizici koje previđamo

Poslednje dve godine donele su velike promene u svim oblastima IT industrije. AI, inicijalno više prepoznat kao buzz word nego kao prava opasnost, naterao je security stručnjake i vendore da naprave veliki zaokret u radu. Napad koji je targetirao jednu kompaniju ranije je bio skup i zahtevao previše vremena, a sada su na raspolaganju alati koji mogu ceo proces olakšati i ubrzati. Za nas, čije se usluge baziraju na odbrani IT sistema, to je značilo veliku posvećenost praćenju trendova, razmenu iskustava i dosta vremena provedenog u labu. Za sva rešenja kojima smo se svakodnevno bavili zaključak je bio isti: tradicionalni pristup je trom, spor i velika prednost je na drugoj strani.

Da bismo mogli da idemo u korak sa sadašnjim pretnjama, moramo koristiti slične pristupe i automatizovati naše procese. Dobar primer primene ovakvog pristupa je pentest, jedan od bitnih stubova bezbednosti. Tradicionalni pentest najčešće se sprovodi jednom godišnje ili pre puštanja važnog sistema u produkciju. Proces implementacije podrazumeva da kompanija angažuje stručni tim i definiše obim testiranja, zatim se simulira napad, a potom dobija izveštaj koji navodi pronađene ranjivosti i preporuke, čime je testiranje završeno. Međutim, problem predstavlja činjenica da se bezbednosna slika sistema ne okončava danom kada je pentest sproveden. Aplikacije se svakodnevno menjaju, uvode se nove funkcionalnosti, menjaju konfiguracije, dodaju servisi i korisnici, otkrivaju nove ranjivosti i propusti. Odgovor na ovaj izazov je prelazak na agilniji model kontinuirane validacije bezbednosti. U tom pristupu posebno su interesantna dva tipa platformi koja mogu da promene način na koji kompanije testiraju svoju otpornost na napade.

Pentest u vašim rukama

Prvi koncept odnosi se na platformu za automatizovani pentest web aplikacija koja se nalazi direktno u rukama korisnika. Ideja je jednostavna: umesto da čekate termin za sledeći godišnji pentest, on može da se pokrene kad god za njim postoji potreba – nakon nove verzije aplikacije, velike izmene infrastrukture, uvođenja nove funkcionalnosti ili jednostavno kao redovna provera bezbednosti.

Ključna vrednost ovakvog rešenja nije samo u tome što može da pronađe veliki broj potencijalnih ranjivosti. Klasično skeniranje često rezultira dugačkom listom nalaza: određeni port je otvoren, neka verzija softvera je zastarela, postoji izvesna konfiguraciona slabost ili je pronađen potencijalni problem u aplikaciji. Takav pristup može biti koristan, ali sam po sebi ne govori dovoljno o tome šta ta ranjivost zapravo znači za konkretnu aplikaciju i podatke koji se u njoj nalaze.

Napredniji pristup ide korak dalje: platforma ponavlja različite faze skeniranja, međusobno korelira rezultate i pokušava da utvrdi da li više pojedinačnih nalaza zajedno predstavljaju stvarnu i iskoristivu pretnju. Drugim rečima, cilj nije samo dobijanje spiska ranjivosti, već njihovo posmatranje u kontekstu realnog napada. To omogućava bezbednosnom timu da se fokusira na ono što je zaista važno – ranjivosti, odnosno propuste koje napadač može da iskoristi i koje mogu imati konkretan uticaj na web aplikaciju.

Pentest – ne samo test aplikacija

Drugi koncept ide korak dalje i bavi se pitanjem koje klasičan pentest ili skener ranjivosti često ne obrađuje u dovoljnoj meri: Šta napadač može da uradi nakon što je već uspeo da se nađe unutar sistema?

Za uspešan napad ponekad je dovoljan jedan fišing mejl. Kada korisnik otvori zlonamerni fajl ili klikne na kompromitovani link, ukoliko antivirus u tom trenutku ne detektuje napad, malver dospeva u mrežu. Od tog trenutka situacija se menja. Napadač više ne mora da traži način da probije spoljnu zaštitu. On je već u sistemu i pokušava da poveća nivo pristupa, dođe do drugih mašina, ukrade korisničke sesije, pristupi podacima ili kompromituje domen.

Upravo ovde pojavljuje se koncept platforme za validaciju unutrašnje bezbednosti i simulaciju aktivnosti napadača. Takvo rešenje ne posmatra samo pojedinačne mašine i njihove ranjivosti, već omogućava aktivno skeniranje okruženja, a istovremeno „osluškuje“ i korisnički saobraćaj i proverava različite tehnike koje napadač može koristiti nakon inicijalnog pristupa. To može uključivati tehnike poput Man-in-the-Middle (MiTM) napada, relay saobraćaja, pokušaja dekripcije i drugih metoda koje se koriste za dalje napredovanje kroz mrežu. Suština je u povezivanju različitih tehnika i pronađenih slabosti.

Jedna osrednja ranjivost, sama po sebi, možda i nije ozbiljan problem. Druga, takođe, ne predstavlja kritičan rizik. Ali šta ako se upravo te dve ranjivosti mogu povezati? Tada dobijamo potpuno drugačiji rezultat, što znači da napadač može da dođe do podataka sa domena, preuzme korisničku sesiju ili ostvari pristup resursima koji mu pojedinačno nisu bili dostupni. To je važna razlika između „imamo ranjivost“ i „napadač može da iskoristi ovu ranjivost da uradi nešto konkretno“.

Dva rešenja, jedan cilj

Iako se ove dve platforme bave različitim delovima bezbednosnog lanca, njihova zajednička vrednost je ista: provera onoga što napadač zaista može da uradi.

Bezbednost više ne možemo posmatrati kao stanje koje potvrđujemo jednom godišnje, već kao proces koji se mora redovno proveravati. Najvažnija promena nije samo u tehnologiji, već u načinu razmišljanja. Više nije dovoljno utvrditi da ranjivost postoji. Potrebno je razumeti da li je ona iskoristiva, sa kojim se drugim slabostima može povezati i dokle može odvesti napadača, jer najveći rizik često nije pretnja koju vidimo, već mogućnost kompromitovanja koju smo prevideli.

Najveći rizik često nije pretnja koju vidimo, već mogućnost kompromitovanja koju smo prevideli

Kompanija COMING je tu da omogući klijentu podizanje nivoa bezbednosti svoje organizacije. Za zainteresovane kompanije dostupan je i Proof of Concept (PoC), kroz koji je moguće praktično proveriti kako ova rešenja funkcionišu u konkretnom okruženju.

Jasna Miletić i Luka Živanović, COMING