Tek ürün gibi satılan üç soru

Bir güvenlik ekibinin elinde, neredeyse aynı cümlelerle yazılmış üç teklif olabilir. Üçü de sürekli diyor. Üçü de maruziyet diyor. Üçü de azalan bir sayacın olduğu bir ekran gösteriyor. Birlikte satın alındıklarında bazı noktalarda üst üste biniyor, bazı noktalarda aralarında boşluk kalıyor, ve o boşluk demo sırasında değil bir denetçi belirli bir soru sorduğunda ortaya çıkıyor. Üçünü ayırmak teknik bir iş olmaktan çok satın alma işi, ve kısa listeden önce yapılması gerekiyor.

Tek bir kelime dağarcığı altındaki üç satın alma sorusu

Saldırı yüzeyi yönetimi, zafiyet yönetimi ve güvenlik kontrolü doğrulaması aynı isimlerle satılıyor, ve o isimlerin altında üç ayrı satın alma sorusu duruyor. İnternet şu anda neye ulaşabiliyor, kurum içinden kimse hiçbir erişim vermeden. Konsolda hâlihazırda duran bulgulardan hangisi bu hafta ele alınıyor, ve onu kim kapatıyor. O bulguyu kapatmak için alınan kontrol, lisanslandığı makinede çalışıyor mu.

Üçü birbirinin aşaması değil, ve onları olgunluk basamakları gibi sıralamak bütçenin kaybolduğu nokta. Bir aracın nereden baktığı, hangi soruya cevap verebileceğini belirliyor. Kurumun dışında, hiçbir kimlik bilgisi olmadan bakan bir araç bir yabancının gördüğünü görür, iç ağdaki bir sunucunun yamalanıp yamalanmadığını göremez. Uç noktalardan toplayan bir araç ajanın çalışıp çalışmadığını görür, kimsenin kaydetmediği alt alan adını göremez. Tarayıcıların üstünde duran bir araç bütün tarayıcıların çıktısını aynı anda görür, kendisi hiçbir bulgu üretmez, ve kendisine verilen kadarını bilir.

İnternet şu anda neye ulaşabiliyor

Cevap dışarıda, o yüzden bakış da dışarıdan başlıyor. Keşif bir envanterden değil bir alan adından yola çıkıyor. Hangi ana makine adları çözülüyor, hangileri mart ayında biten bir kampanya için açılmış bir bulut örneğine bakıyor. DMARC kaydı başlatılıp bitirilmemiş mi, yani posta alan adı bunu okuyan herkes tarafından taklit edilebilir mi. Olaya sebep olan varlık, kimsenin envantere girmediği varlıktır, ve o listeden dışarı doğru çalışan bir araç onu aramaz.

Aradaki fark kendiliğinden de büyüyor. Kod ve altyapı, değişiklik süreçlerinin neyin kurulduğunu kaydetmesinden daha hızlı üretiliyor, yani kurumun sahip olduğu şey yazıya döktüğünün önüne geçiyor. Bu bir keşif sorunu, sıralama sorunu değil.

Bunun ne sıklıkla çalışması gerektiğini bir kamu kurumu gün cinsinden yazdı. CISA'nın Binding Operational Directive 23-01 kararı, ABD federal sivil kurumlarına 7 günde bir otomatik varlık keşfi yapmalarını ve keşfedilen varlıklar üzerinde 14 günde bir zafiyet sayımı başlatmalarını söylüyor. Bu karar o kurumları bağlıyor, bu bölgedeki hiçbir alıcıyı bağlamıyor. CISA varlık keşfini müdahaleci olmayan ve genellikle özel mantıksal erişim yetkisi gerektirmeyen bir iş olarak tanımlıyor, zafiyet sayımını ise makine özniteliklerini tespit eden ve eksik güncellemeleri belirleyen adım olarak. İki ayrı iş, iki ayrı erişim ihtiyacı, ve birini yapan bir ürün sessizce diğerini yapmıyor.

Hangi bulgu önce ele alınıyor

Bu soru bulgular oluştuktan sonra başlıyor. Tespit sorunu değil, sıralama sorunu. Bir ağ tarayıcısı, bir web uygulaması tarayıcısı ve bir bulut yapılandırma aracı kendi önem alanını kendisi yazıyor. Aynı zafiyet üç ayrı isimle, üç ayrı önem derecesiyle üç kez görünüyor, ve sabah hangi konsol açılırsa fiilî çalışma sırası o oluyor. O sırayı kimse seçmedi. Bir dışa aktarma dosyasındaki bir alandan geldi.

Önem derecesi aciliyetin zayıf bir vekili, ve sömürü verisini yayımlayan kurum bunu kendisi söylüyor. Exploit Prediction Scoring System'i yürüten FIRST, EPSS belgelerinde CVSS ile EPSS'in farklı şeyleri ölçtüğünü ve aralarında ampirik bir bağıntı bulunmadığını, yüksek önem derecelerinin sömürü etkinliğini öngörmekte rastgeleden biraz daha iyi olduğunu belirtiyor. Aynı sayfa taban oranı da veriyor. Yayımlanan CVE'lerin yaklaşık yüzde 0,5'i CISA'nın Known Exploited Vulnerabilities kataloğunda listeleniyor, ve herhangi bir 30 günlük pencerede bunların yaklaşık yüzde 2,5 ile 3'ünde sömürü etkinliği gözleniyor.

Yapay zekânın burada değiştirdiği şey kelime dağarcığı değil, girdinin kendisi. Önem derecesi bir açığın sömürülmesi hâlinde ne kadar kötü olacağını söyler, o açığı sömürebilir hâle getirmenin ne kadar emek istediğini söylemez, ve bu emek bugün kod üreten araçların desteklediği bir iş. Bu yüzden sömürülme olasılığı sinyali önem derecesinin içine gömülmez, yanına konur. FIRST, EPSS'i yayımlanmış bir CVE'nin önümüzdeki 30 gün içinde sömürülme olasılığı olarak tanımlıyor. Olasılık yine de sıralamanın yarısı, çünkü varlık kritikliği deneme başarılı olursa ne olacağını söylüyor, ve bir kuyruk ikisine birden ihtiyaç duyuyor.

Kontrol sahada çalışıyor mu

Bu, bir denetçinin sorduğu ve bir satın alma emrinin cevaplayamadığı soru. Kurum her makine için bir uç nokta ajanı alıyor ve elinde kanıt olarak bir lisans sayısı tutuyor. Lisans sayısı ile kurulu ajan sayısı iki ayrı sayı, ve aralarındaki fark her seferinde bir yönetim işlemiyle açılıyor.

• Dağıtım listesi dondurulduktan sonra kuruma katılan bir makineye hiçbir ajan gönderilmedi.
• Bir göç tamamlansın diye yazılan istisna, göç bittikten sonra da durdu.
• Bir ajan yeniden başlatmadan bu yana rapor göndermedi, yani konsol onu listeliyor ve makine onu çalıştırmıyor.
• Kimsenin okumaya vakti olmayan bir alarmı susturmak için bir tespit kuralı gevşetildi, ve gevşetme gürültüden fazlasını aldı.

Bunların hiçbiri dikkatsizlik istemiyor. Ekim 2023'te NSA ve CISA, kendi kırmızı ve mavi takımlarının bulduğu on siber güvenlik yapılandırma hatasını ortak bir bildiride yayımladı. İki kurum, bunların olgun siber duruşa sahip olanlar dahil birçok büyük kurumda sistemik zayıflık eğilimini gösterdiğini yazdı. O kurumlar kontrolleri satın almıştı. Sahada kimse ölçmedi.

Bir hizmet sağlayıcı aynı soruyla öteki taraftan karşılaşıyor. Denetçi, müşterinin bir uç nokta ürünü olup olmadığını sormuyor, o ürünün adı geçen bir makinede adı geçen bir tarihte kurulu, adı geçen bir politikaya göre yapılandırılmış ve çalışır durumda olduğunun kanıtını istiyor. Bu kanıt kurumun içinden toplanıyor, ve ne dışarıdan bakan bir tarama ne de birleştirilmiş bir bulgu kuyruğu onu taşıyor. Birden çok müşteri işletildiğinde aynı boşluk her kiracı için bir kez tekrarlanıyor.

CTEM, zafiyet yönetiminin neresinde duruyor

CTEM, zafiyet yönetiminin eş anlamlısı gibi kullanılıyor ve öyle değil. Gartner sürekli tehdit maruziyeti yönetimini beş adımlı bir program olarak tanımladı ve bunu kendi yazısında anlattı. Saldırı yüzeyinin sınırını, cihaz olmayan parçaları da içerecek biçimde çiz, varlıkları ve risk profillerini keşfet, sömürülme ihtimali olanı önceliklendir, saldırganın o yolu kullanabileceğini ve tepkinin yeterince hızlı olduğunu doğrula, ve bulguların onaylanmış işe dönüşmesi için insanları harekete geçir.

Bu listeye göre okunduğunda, bir ekibin zaten yürüttüğü zafiyet yönetimi keşif adımını ve önceliklendirmenin bir bölümünü karşılıyor. Programın bir bileşeni, programın kısa adı değil. Gartner ayrıca kapsam belirleme ile keşfin birbirine karıştığını, ve keşfedilen varlık sayısının tek başına başarı olmadığını söylüyor.

CTEM bir programın adı, o yüzden hiçbir ürün onu tamamlamıyor. Etiketi taşıyan bir ürün belgesi size hangi kategoride yarıştığını söylüyor, beş adımdan hangisini yaptığını değil, o yüzden hangi adım olduğunu ve diğer dördünün kimde kaldığını sorun. CTEM bir analist kuruluşunun modeli, kimsenin uymak zorunda olduğu bir kural değil.

Bu üç sorunun arkasındaki ürünler

Bu alanda üçünü birden taşıyoruz, çünkü hiçbiri diğerinin sorusuna cevap vermiyor. S4E bir alan adından başlıyor, ajan istemiyor, içeriden hiçbir erişim istemiyor, ve internetin şu anda neye ulaşabildiğini raporluyor. Vultage zaten kullandığınız tarayıcıların dışa aktardığı sonuçları okuyor, tekrar eden kayıtları tek kayda indiriyor ve kalanı atanabilen ve kapatılabilen tek bir sıralı kuyruğa dönüştürüyor, ve kendisi hiçbir tarama yapmıyor. CyberCyte makinelerden ve o makinelerde kurulu güvenlik araçlarından topluyor, ve her kontrolün kurulu, yapılandırılmış ve çalışır durumda olup olmadığını raporluyor. Üçünden ikisi üreticisinden gelen bir CTEM etiketi taşıyor, programın farklı adımlarında.