As equipes de segurança podem estar corrigindo mais vulnerabilidades sem reduzir significativamente o risco de sofrer uma violação, segundo um artigo da Picus Security. O artigo cita um relatório da Gartner que afirma que menos de 10% das vulnerabilidades são exploradas, embora muitas ainda sejam tratadas como urgentes. Também diz que as pontuações CVSS, por si só, não indicam de forma confiável a exploração nem o impacto nos negócios.
A Gartner prevê que, até 2028, as organizações que priorizarem exposições por meio de inteligência sobre ameaças, contexto dos ativos, modelagem da explorabilidade e validação dos controles de segurança reduzirão a probabilidade de violação em pelo menos 70% em comparação com as organizações que dependem principalmente da priorização baseada em CVSS.
Os quatro elementos da estrutura respondem a perguntas diferentes. A inteligência sobre ameaças identifica as vulnerabilidades que os invasores estão explorando. O contexto dos ativos mostra se um sistema afetado dá suporte a operações críticas, processa dados regulamentados ou oferece um caminho para sistemas de maior valor. Modelos de explorabilidade, como o EPSS, estimam a probabilidade de exploração, enquanto a validação dos controles testa se um ataque poderia ser bem-sucedido no ambiente específico de uma organização.
O artigo alerta que as pontuações de explorabilidade são estimativas, não provas. Elas podem ajudar a identificar exposições que precisam de testes adicionais, mas é necessária uma validação para determinar o que pode ser explorado em um ambiente específico. Essa avaliação deve levar em conta as defesas existentes, incluindo segmentação, proteção de endpoints, cobertura de detecção e controles de identidade.
A Picus afirma que sua plataforma combina os quatro elementos em um processo contínuo de descoberta, validação, priorização e mobilização da remediação. Suas abordagens de validação incluem testar caminhos reais de exploração contra ativos de produção acessíveis e avaliar técnicas de ataque em relação aos controles sem lançar uma exploração. A empresa diz que esses métodos podem produzir avaliações baseadas em evidências para ativos que não podem ser testados ao vivo com segurança.
A Picus também relata resultados de seus clientes, incluindo controles que bloquearam ou detectaram aproximadamente o dobro de ataques em três meses, uma redução de 89% no tempo de resposta a ameaças emergentes e uma diminuição de 92% nos prazos de remediação perdidos para vulnerabilidades altas e críticas. O artigo diz que um cliente reduziu em 98% seu acúmulo de chamados críticos; esses números foram relatados pela empresa.
Fontes: The Hacker News.