Black Hat USA 2024 sırasında Horizon3.ai ile görüşmek beni heyecanlandırdı. Saldırganların çoğu içeri girmiyor, giriş yapıyor. CrowdStrike’ın 2023 Küresel Tehdit Raporu bulguları, 2023’teki tüm tehdit tespitlerinin %71’inin kötü amaçlı yazılım içermeyen “topraktan geçinme” (LOTL) etkinliği ve saldırılarını içerdiğini doğruluyor. Geçerli (genellikle çalınan) kimlik bilgileri, bir tehdit aktörüne yanlış yapılandırmaları, yamalanmamış güvenlik açıklarını ve zayıf güvenlik kontrollerini istismar etmek için ağ erişimi sağlar. Raporda, “Bu saldırılar özellikle uğursuzdur çünkü geleneksel kod, betik veya kötü amaçlı yazılım dosyaları gerektirmezler” deniyor (bkz: https://www.horizon3.ai/#attack-paths).
CEO ve Kurucu Ortak Snehal Antani: “Kuruluşların sadece güvenlik açığı taramaları, yıllık penetrasyon testleri ve masaüstü tatbikatları yapabildiği günler geride kaldı. ‘Bana güvenli olduğumuzu söyleme, göster, sonra yarın tekrar göster’ zihniyetiyle çalışmaları gerekiyor. Bir CIO veya CISO olarak, istismar edilebilir saldırı yüzeylerinizin zaman içinde nasıl değiştiğini anlamak, güvenlik duruşunuzu yönetim kuruluna iletmek için kritik öneme sahiptir. Kaç istismar edilebilir sorunu çözdünüz, bunları ne kadar çabuk çözdünüz, ne sıklıkla tekrarlandılar ve neden ve tespit ve yanıt vermede ne kadar etkiliydiniz? Bunlar anlatmanız gereken hikayenin temel unsurlarıdır ve NodeZero’dan gelen içgörüyle bunu yapabilirsiniz.”
İnsanların (kayıtları tarayarak, uyarıları bilişsel olarak işleyerek ve düzeltme eylemleri uygulamak için izin alarak) baş edemediği otonom saldırı tekniklerinden suçlular yararlandıkça LOTL saldırıları daha da kötü, daha etkili ve çok daha sık hale gelecek.
Güvenlik açığı yönetimindeki bir diğer önemli zorluk, güvenlik açıklarını anında düzeltmenin veya düzeltmenin mümkün olmadığı durumlarda varlıkları güvence altına almaktır. Araştırmalar, kritik güvenlik açıkları için Ortalama Düzeltme Süresinin (MTTR) yaklaşık 58 gün olduğunu gösteriyor ve bu da kuruluşları uzun süreler boyunca açıkta bırakıyor. Kuruluşların, öncelikle bu sorunları düzeltebilmeleri için ortamlarında gerçekten istismar edilebilir olanlara öncelik verme yollarına ihtiyaçları vardır.
Horizon3.ai’nin NodeZero™ otonom güvenlik platformu, kuruluşların istismar edilebilir saldırı yüzeylerini ve güvenlik açıklarını sürekli olarak bulmalarını, önceliklendirmelerini, düzeltmelerini ve düzeltmelerini doğrulamalarını sağlar. Horizon3.ai’nin sızma testleri, kolayca tehlikeye atılan kimlik bilgileri, ifşa edilen veriler, yanlış yapılandırmalar, zayıf güvenlik kontrolleri ve zayıf politikalar gibi güvenlik duruşu kör noktalarını ortaya çıkarır. Daha sonra, bir ihlal durumunda kuruluş üzerinde en büyük potansiyel etkiye sahip saldırı yollarına öncelik verir, böylece ekipler önce neyi, nasıl düzelteceklerini ve düzeltmeyi nasıl doğrulayacaklarını bilirler. Bu, güvenlik kaynaklarının istismar edilemeyen güvenlik açıklarını bulmaya ve düzeltmeye yönlendirilmesini önler.
NodeZero hiçbir ajan veya özel donanım gerektirmez. Üretimde çalıştırılması güvenli olan, güvenlik duruşunun sürekli doğrulanmasını destekleyen gerçek bir self servis SaaS teklifidir. Bakımı yapılacak donanım veya yazılım yoktur; kalıcı veya kimlik bilgilerine sahip ajanlar gerekmez. Ayrıca, Horizon3.ai birkaç atılımla otonom güvenliği önemli ölçüde ilerletmiştir. Bunlardan en sonuncusu, NodeZero’ya eklenen ve kuruluşların artık AWS ve Azure ortamlarında bulut odaklı pentestler gerçekleştirmesini sağlayan sektör lideri yetenekleri içerir. Bu yetenek, NodeZero’nun dahili ve harici pentestlerine eklenir. Artık, güvenlik ve BT ekibi üyeleri tüm dijital ekosistemlerinin kapsamlı değerlendirmelerini hızla gerçekleştirebilir.
2024’ün başlarında, Horizon3.ai atılımları arasında NodeZero’nun Siber Dayanıklılık için Hızlı Müdahale Hizmeti de vardı. Bu hizmet, genellikle henüz yaygın olarak ele alınmamış yeni keşfedilen yazılım güvenlik açıklarını hedef alan ortaya çıkan istismarlara karşı koymak için erken, eyleme geçirilebilir istihbarat sağlıyor. Başka bir atılım, kullanıcının belirli organizasyonu içinde tehlikeye atılmış kimlik bilgilerinin gerçek dünyadaki sonuçlarını doğru bir şekilde değerlendiren NodeZero’nun Kimlik Avı Etkisi testini içeriyor. Son olarak, Horizon3.ai portföyüne Uygunluk için Pentest Hizmetleri’ni ekleyerek hükümet düzenlemeleri, endüstri standartları, yeni güvenlik çerçeveleri ve en iyi güvenlik uygulamalarıyla uyumlu hale getirdi.
“E-posta yoluyla N günlük ve 0 günlük güvenlik açıklarının erken uyarı bildirimlerini almam konusunda NodeZero Hızlı Yanıt hizmetinden çok etkilendim. Hızlı, otomatik ve doğru bildirimler paha biçilmezdi, ortamımı derhal değerlendirmeme ve kritik güvenlik açıkları için önerilen veya telafi edici düzeltme stratejilerini uygulamama olanak sağladı.” [Ryan Coots, Information Security Officer (ISO) at Desert Research Institution (DRI)]
“Kendi penetrasyon testimizi yeni bitirmiştik ve ben çok hayal kırıklığına uğramıştım. Puanımız düşüktü ve bildirilecek kritik bir şey yoktu. Sonra NodeZero’yu başlattık, ortamımızı taradık ve birkaç saat içinde tam olarak yapılandırılmamış bir sistem bulduk. Sonuç olarak, NodeZero onu tehlikeye atmayı başardı, ardından ortamda yanlamasına hareket etti ve tüm alanımızı tehlikeye attı.” [Calvin Engen, Chief Technology Officer (CTO) at F12.net]
Özetle
Horizon3.ai’nin NodeZero™ otonom güvenlik platformu, kuruluşların istismar edilebilir saldırı yüzeylerini ve güvenlik açıklarını sürekli olarak bulmalarını, önceliklendirmelerini, düzeltmelerini ve düzeltmelerini sağlar. İlk NodeZero pentestinizi dakikalar içinde kurun ve başlatın ve sürekli risk değerlendirmesi için bundan sonra her gün çalışacak şekilde pentestler planlayın. Ağınızın istismar edilebilir zayıflıklarını bulmanın ve düzeltmenin ne kadar kolay olduğunu görmek için şu adresi ziyaret ederek ücretsiz bir NodeZero denemesine kaydolun: https://portal.horizon3ai.com/trial?dd_uid=c7258741-832b-4d2c-8ff3-bb34959fa058 ve bunları Twitter(X) adresinden çevrimiçi olarak bulun: @Horizon3ai #autonomous #pentesting #vulnerabilities
Yazar Hakkında
Gary Miliefsky, Cyber Defense Magazine’in yayıncısı ve tanınmış bir siber güvenlik uzmanı, girişimci ve ana konuşmacıdır. Cyber Defense Media Group’un kurucusu ve CEO’su olarak siber güvenlik alanını önemli ölçüde etkilemiştir. Onlarca yıllık deneyimiyle Gary, ABD İç Güvenlik Bakanlığı’nın kurucu üyesi, Ulusal Bilgi Güvenliği Grubu üyesi ve hükümet ve özel sektör kuruluşlarına aktif danışmandır. Görüşleri Forbes, CNBC ve The Wall Street Journal’da ve ayrıca CNN, Fox News, ABC, NBC ve uluslararası medya kuruluşlarında yer almış ve onu gelişmiş siber tehditler ve yenilikçi savunma stratejileri konusunda güvenilir bir otorite haline getirmiştir. Gary’nin siber güvenliğe olan bağlılığı, halkı eğitmeye, siber güvenlikte genç kadınlar için bir burs programı işletmeye ve gelişen siber risklere karşı koruma sağlamak için son teknolojiye yatırım yapmaya ve geliştirmeye kadar uzanmaktadır.