Архив метки: Exposure

Что такое Continuous Threat Exposure Management (CTEM)? Ранее мы уже определили Exposure Management (EM, Управление Экспозициями) как выявление и приоритизированное устранение экспозиций

Добавить комментарий

Что такое Continuous Threat Exposure Management (CTEM)? Ранее мы уже определили Exposure Management (EM, Управление Экспозициями) как выявление и приоритизированное устранение экспозиций

Что такое Continuous Threat Exposure Management (CTEM)? Ранее мы уже определили Exposure Management (EM, Управление Экспозициями) как выявление и приоритизированное устранение экспозиций. Тогда логично было бы определить Continuous Threat Exposure Management (CTEM) как некоторую разновидность Exposure Management с акцентом на

🔹 Непрерывность (Continuous). Безусловно, выявление, оценка и устранение экспозиций - это не то, чем можно заниматься пару раз в год в рамках аудита. Чтобы EM был эффективным, он должен быть непрерывным.

🔹 Учёт угроз (Threat). Действительно, для адекватной приоритизации экспозиции необходимо учитывать факты эксплуатации экспозиций группами злоумышленников. Отсылка к реальным кейсам сделает приоритизацию экспозиций и путей атак более убедительной и наглядной.

Поэтому термин Continuous Threat Exposure Management стоит переводить на русский как Непрерывное Управление Экспозициями с учётом Угроз. 😉

На портале @CISOCLUB вышло интервью со мной "Эволюция подхода к управлению уязвимостями"

Добавить комментарий

На портале @CISOCLUB вышло интервью со мной Эволюция подхода к управлению уязвимостями

На портале @CISOCLUB вышло интервью со мной "Эволюция подхода к управлению уязвимостями". В прошлом году я рассказывал о вещах, которые считаю наиболее важными в VM-е, а в этот раз в основном о будущем VM-а и Exposure Management (Управление Экпозициями). И немного о своих регуляторных хотелках. 😉

Ответил на вопросы:

🔹 Как изменился подход российских организаций к VM процессу в 2025 году?
🔹 По структуре EM и VM процессы совпадают?
🔹 Моделирование действий атакующего - это не то же самое, что пентест?
🔹 Насколько актуальными остаются традиционные способы приоритизации уязвимостей и выделение «трендовых уязвимостей»?
🔹 Как расширенные VM-практики (EM) соотносятся с требованиями регуляторов?
🔹 Какие регуляторные требования могли бы повысить защищённость российских организаций и национальную безопасность?
🔹 Какие изменения в VM/EM-решениях ждут нас в будущем?

Что такое Управление Экспозициями (Exposure Management)?

Добавить комментарий

Что такое Управление Экспозициями (Exposure Management)?

Что такое Управление Экспозициями (Exposure Management)? Если мы определили экспозиции (exposures) как "уязвимости в широком смысле", то и управление экспозициями можно определить по аналогии с управлением уязвимостями.

"Управление экспозициями - процесс выявления и приоритизированного устранения экспозиций."

🔍 Настоящее решение по управлению экспозициями (EM), а не обычный VM/RBVM названный так ради хайпа, должно определять не только уязвимости ПО (CVE/БДУ), но и мисконфигурации, излишние права доступа, слабые пароли, избыточную сетевую связность и т.д. Всё, что может эксплуатировать злоумышленник в ходе атаки.

🗺 Эффективная приоритизация экспозиций невозможна без понимания их взаимосвязи. Ключевой функциональностью этого класса решений становится построение и анализ путей атак (attack paths). Кстати, это транслирует и Tenable в своей "Модели зрелости управления экспозициями" (особенно на уровне 5) и в отчёте Exposure Management Leadership Council.

Технические, операционные и стратегические экспозиции

Добавить комментарий

Технические, операционные и стратегические экспозиции

Технические, операционные и стратегические экспозиции. Из определения следует, что экспозиции могут быть разного уровня и типа:

🛠 Технические: необновлённое ПО с известными уязвимостями, уязвимые самописные приложения, небезопасные протоколы, слабые пароли, мисконфигурации, открытые порты, излишняя сетевая связность, нешифрованные данные.

⚙️ Операционные: недостаточный мониторинг, слабый контроль доступа, неразвитые процедуры реагирования на инциденты, неполные планы восстановления, редкий пентест, хаотичная документация.

🎯 Стратегические: недооценка рисков, устаревшие политики, пробелы в комплаенсе, нехватка ресурсов, недостаток обучения персонала, риски от подрядчиков или облачных сервисов.

Любую атаку можно разложить на последовательность эксплуатации экспозиций. А экспозиции разного уровня можно мапить друг на друга.

Например, пробив периметра через известную уязвимость: 🛠 RCE в сервисе на периметре → ⚙️ нет работающего процесса контроля периметра → 🎯 не закуплен EASM. 😉

Формулируем определение "экспозиции"

Добавить комментарий

Формулируем определение экспозиции

Формулируем определение "экспозиции". Оказалось, что западные ИБ-специалисты (а скорее ИБ-маркетологи) на практике совершенно не запариваются какими-то заумными "степенями, вероятностями и уровнями риска", а просто понимают под экспозициями "уязвимости в широком смысле этого слова": от ошибок ПО, мисконфигураций и избыточной сетевой связности до проблем в реализации конкретных ИБ-процессов и управлении ИБ. А собственно под "уязвимостями" понимают только эксплуатируемые ошибки ПО. 🙂

Поэтому, расширяя определение уязвимости из ГОСТа, можем сформулировать:

"Экспозиция (киберэкспозиция) — это слабость технического, операционного или стратегического уровня, которая может быть использована для реализации угроз безопасности информации."

С таким определением "экспозиция" ("exposure") теряет флёр загадочности и становится вполне конкретным "зонтичным" термином для эксплуатабельных проблем ИБ. Это вносит ясность и в то, что такое EM/CTEM-решения, и чем они отличаются от VM-решений. 😉

Невнятные "экспозиции"

Добавить комментарий

Невнятные экспозиции

Невнятные "экспозиции". Вы могли заметить, что я начал использовать в своих постах термин "экспозиции" ("exposures"). Хотя ещё в прошлом году призывал воздерживаться от этого. У меня отношение к этому термину весьма сложное. Оно менялось классически: от гнева и отрицания до торга и принятия. 😇

Сам англоязычный термин "exposure" (или "cybersecurity exposure") на Западе нигде толком не определён. Глоссарий NIST, задающий значения практически всем понятиям ИБ, определяет экспозицию как "степень, в которой организация и/или заинтересованная сторона подвержена риску" или "cочетание вероятности и уровней воздействия риска". Ну, класс! 🫤 И как вот это приземлить на "CVE - Common Vulnerabilities and Exposures"? И как понимать "управление" всем этим? Бредятина ведь какая-то! 🤪

🪶👁 Но постепенно индеец Зоркий глаз начал замечать, что на практике буржуины используют термин "exposure" в гораздо более простом значении. 😅 И именно такое значение нам было бы неплохо закрепить. 😉

Gartner: Vulnerability Management - это база для обеспечения безопасности серверов и десктопов!

Добавить комментарий

Gartner: Vulnerability Management - это база для обеспечения безопасности серверов и десктопов!

Gartner: Vulnerability Management - это база для обеспечения безопасности серверов и десктопов! Вместе с управлением харденингом, конфигурациями и экспозицями (весьма рад, что Александр Редчиц тоже калькирует этот термин при переводе 🙂👍).