CTEM 101 – Vá além do gerenciamento de vulnerabilidades com gerenciamento contínuo de exposição a ameaças

Em um mundo de jargões cada vez maiores, adicionar outro FLA (sigla de quatro letras) ao seu glossário pode parecer a última coisa que você gostaria de fazer. Mas se você está procurando maneiras de reduzir continuamente os riscos em seu ambiente e, ao mesmo tempo, fazer melhorias significativas e consistentes na postura de segurança, em nossa opinião, você provavelmente desejará considerar o estabelecimento de um programa de gerenciamento contínuo de exposição a ameaças (CTEM).

CTEM é uma abordagem ao gerenciamento de riscos cibernéticos que combina simulação de ataques, priorização de riscos e orientação de remediação em um processo coordenado. O termo Gerenciamento Contínuo de Exposição a Ameaças apareceu pela primeira vez no relatório Gartner ®, Implementar um Programa de Gerenciamento Contínuo de Exposição a Ameaças (CTEM) (Gartner, 21 de julho de 2022). Desde então, temos visto que organizações em todo o mundo estão a constatar os benefícios desta abordagem integrada e contínua.

Webinar: Por que e como adotar a estrutura CTEM

A XM Cyber ​​está hospedando um webinar com o analista Pete Shoard, vice-presidente do Gartner, sobre a adoção da estrutura CTEM em 27 de março e mesmo que você não possa participar, compartilharemos um hyperlink sob demanda, não perca!

Concentre-se nas áreas com maior risco

Mas por que o CTEM é well-liked e, mais importante, como ele melhora o já superlotado mundo do gerenciamento de vulnerabilidades?

Central para o CTEM é a descoberta de riscos reais e acionáveis ​​para ativos críticos. Qualquer pessoa pode identificar melhorias de segurança no ambiente de uma organização. A questão não é encontrar exposições, mas sim ser sobrecarregado por elas – e ser capaz de saber quais representam maior risco para ativos críticos.

Na nossa opinião, um programa CTEM ajuda você a:

1. Identifique seus ativos mais expostos e como um invasor pode aproveitá-los
2. Entenda o impacto e a probabilidade de possíveis violações
3. Priorize os riscos e vulnerabilidades mais urgentes
4. Obtenha recomendações práticas sobre como corrigi-los
5. Monitore sua postura de segurança continuamente e acompanhe seu progresso

Com um programa CTEM, você pode obter a “visão do invasor”, cruzando falhas em seu ambiente com a probabilidade de serem usadas por um invasor. O resultado é uma lista priorizada de exposições a serem abordadas, incluindo aquelas que podem ser tratadas com segurança posteriormente.

As cinco etapas de um programa CTEM

Em vez de um produto ou serviço específico, o CTEM é um programa que reduz as exposições à segurança cibernética através de cinco etapas:

1. Escopo – De acordo com o Gartner, “Para definir e posteriormente refinar o escopo da iniciativa CTEM, as equipes de segurança precisam primeiro entender o que é importante para seus colegas de negócios e quais impactos (como uma interrupção necessária de um sistema de produção) provavelmente serão grave o suficiente para justificar um esforço corretivo colaborativo.”
2. Descoberta – Gartner afirma: “Uma vez concluída a definição do escopo, é importante iniciar um processo de descoberta de ativos e seus perfis de risco. Deve ser dada prioridade à descoberta em áreas do negócio que foram identificadas pelo processo de definição do escopo, embora isso não seja A descoberta de exposições vai além das vulnerabilidades: pode incluir configurações incorretas de ativos e controles de segurança, mas também outras fraquezas, como ativos falsificados ou respostas incorretas a um teste de phishing.”
3. Priorização – Nesta fase, diz o Gartner, “O objetivo da gestão da exposição não é tentar remediar todos os problemas identificados nem a maioria das ameaças de dia zero, por exemplo, mas sim identificar e abordar as ameaças com maior probabilidade de serem exploradas contra a organização .” O Gartner observa ainda que “as organizações não podem lidar com as formas tradicionais de priorizar exposições por meio de pontuações de gravidade básicas predefinidas, porque precisam levar em conta a prevalência de explorações, os controles disponíveis, as opções de mitigação e a criticidade do negócio para refletir o impacto potencial na organização.
4. Validação – Esta fase, de acordo com o Gartner, “é a parte do processo pela qual uma organização pode validar como potenciais invasores podem realmente explorar uma exposição identificada e como os sistemas de monitoramento e controle podem reagir”. O Gartner também observa que os objetivos da etapa de validação incluem “avaliar o provável” sucesso do ataque “, confirmando que os invasores poderiam realmente explorar as exposições previamente descobertas e priorizadas.
5. Mobilização – Diz o Gartner: “Para garantir o sucesso, os líderes de segurança devem reconhecer e comunicar a todas as partes interessadas que a correção não pode ser totalmente automatizada.” O relatório observa ainda que “o objetivo do esforço de” mobilização “é garantir que as equipes operacionalizem as conclusões do CTEM, reduzindo o atrito na aprovação, nos processos de implementação e nas implantações de mitigação. Exige que as organizações definam padrões de comunicação (requisitos de informação) e cruzamentos documentados -fluxos de trabalho de aprovação da equipe.”

CTEM vs. Abordagens Alternativas

Existem diversas abordagens alternativas para compreender e melhorar a postura de segurança, algumas das quais estão em uso há décadas.

• Gerenciamento de Vulnerabilidades/RBVM concentra-se na redução de riscos por meio de varredura para identificar vulnerabilidades e, em seguida, priorizá-las e corrigi-las com base em uma análise estática. A automação é essencial, dada a quantidade de ativos que precisam ser analisados ​​e o número cada vez maior de vulnerabilidades identificadas. Mas o RBVM limita-se a identificar CVEs e não aborda problemas de identidade e configurações incorretas. Além disso, não possui as informações necessárias para priorizar adequadamente a correção, normalmente levando a atrasos generalizados.
• Exercícios da equipe vermelha são testes manuais, caros e pontuais de defesas de segurança cibernética. Eles procuram identificar se existe ou não um caminho de ataque bem-sucedido em um determinado momento, mas não conseguem identificar toda a gama de riscos.
• De forma comparable, Teste de penetração usa uma metodologia de teste como avaliação de risco e fornece um resultado pontual. Como envolve interação ativa com a rede e os sistemas, normalmente é limitado em relação a ativos críticos, devido ao risco de interrupção.
• Gerenciamento de postura de segurança na nuvem (CSPM) concentra-se em problemas de configuração incorreta e riscos de conformidade apenas em ambientes de nuvem. Embora importante, não considera funcionários remotos, ativos locais ou interações entre vários fornecedores de nuvem. Essas soluções desconhecem o caminho completo dos riscos de ataque que atravessam diferentes ambientes – um risco comum no mundo actual.

É nossa opinião que uma abordagem baseada num programa CTEM oferece as vantagens de:

• Cobrindo todos os ativos (na nuvem, locais e remotos) e sabendo quais são os mais críticos.
• Descobrir continuamente todos os tipos de exposições – CVEs tradicionais, identidades e configurações incorretas.
• Apresentando insights do mundo actual sobre a visão do invasor
• Priorizando esforços de remediação para eliminar os caminhos com o menor número de correções
• Fornecer conselhos de remediação para melhorias confiáveis ​​e repetidas

O valor do CTEM

Acreditamos que a abordagem CTEM tem vantagens substanciais sobre alternativas, algumas das quais têm sido utilizadas há décadas. Fundamentalmente, as organizações passaram anos identificando exposições, acrescentando-as a listas intermináveis ​​de tarefas, gastando incontáveis ​​tempo analisando essas listas e ainda assim não obtendo um benefício claro. Com o CTEM, uma abordagem mais cuidadosa para descoberta e priorização agrega valor ao:

• Reduzindo rapidamente o risco geral
• Aumentando o valor de cada remediação e potencialmente liberando recursos
• Melhorando o alinhamento entre as equipes de segurança e TI
• Fornecer uma visão comum de todo o processo, incentivando um ciclo de suggestions positivo que impulsiona a melhoria contínua

Introdução ao CTEM

Como o CTEM é um processo e não um serviço específico ou solução de software program, começar é um esforço holístico. A adesão organizacional é um primeiro passo crítico. Outras considerações incluem:

• Apoiar processos e coleta de dados com os componentes de software program certos
• Definição de ativos críticos e atualização de fluxos de trabalho de correção
• Executando com base nas integrações de sistema corretas
• Determinar relatórios executivos adequados e uma abordagem para melhorias na postura de segurança

Na nossa opinião, com um programa CTEM, as organizações podem promover uma linguagem comum de risco para Segurança e TI; e garantir que o nível de risco de cada exposição fique claro. Isto permite que as poucas exposições que realmente representam risco, entre os muitos milhares que existem, sejam abordadas de uma forma significativa e mensurável.

Para obter mais informações sobre como começar seu programa CTEM, consulte o whitepaper da XM Cyber, XM Cyber ​​sobre operacionalização da estrutura de gerenciamento contínuo de exposição a ameaças (CTEM) do Gartner®.