O que é gerenciamento contínuo de exposição a ameaças (CTEM)?

À medida que aceleramos a transformação digital, o número de vulnerabilidades que precisamos de resolver torna-se incontrolável. Para diminuir os riscos de exposição, precisamos de uma abordagem inovadora que nos ajude a compreender potenciais áreas de ataque, a priorizar as nossas ações de forma eficaz e a acompanhar o progresso ao longo do tempo.

O gerenciamento contínuo da exposição a ameaças vai além do simples gerenciamento de vulnerabilidades. É uma estrutura com visão de futuro que se concentra na gestão de uma gama mais ampla de riscos que podem impactar as nossas prioridades comerciais.

Este artigo descreverá um método eficaz para estabelecer um plano de melhoria de segurança coerente e prático que os executivos de negócios possam compreender facilmente e que os engenheiros possam implementar com eficácia.

O que é gerenciamento contínuo de exposição a ameaças (CTEM)?

Em julho de 2022, o Gartner introduziu o conceito de CTEM, uma estrutura que permite às organizações avaliar a vulnerabilidade dos seus ativos físicos e digitais de forma contínua e consistente.

O objetivo das etapas do programa CTEM é estabelecer estratégias bem definidas de segurança e gerenciamento de riscos que se alinhem com os objetivos de negócios. Ao minimizar continuamente os riscos, melhorar a resiliência e promover a colaboração, as organizações podem melhorar a sua postura geral de segurança.

O CTEM supera as limitações dos métodos tradicionais de gerenciamento de riscos de segurança da informação, identificando, avaliando, monitorando e reduzindo de forma ativa e regular as fraquezas de segurança na infraestrutura de uma organização antes que possam causar danos.

Quais são os cinco estágios do CTEM?

Um programa CTEM segue uma estrutura cíclica que consiste em cinco estágios, com cada estágio repetindo o processo iterativo.

1. Escopo

Cada projeto CTEM começa com a definição de um escopo específico que abrange ativos críticos para o negócio que precisam ser identificados, testados e fortalecidos.

Idealmente, a definição do escopo deve incorporar todas as partes interessadas, incluindo operações de TI, governança, risco, conformidade e proprietários de ativos. Eles precisam considerar conjuntamente toda a superfície de ataque da empresa, tanto interna quanto externa, incluindo fatores como infraestrutura de nuvem, cadeia de fornecimento de software e riscos de aplicativos, bem como edifícios e hardware.

2. Descoberta

Durante esta fase, as equipas de segurança fazem um inventário dos ativos e avaliam os perfis de risco com base no processo de definição do âmbito anterior. Eles mapeiam ativos, vulnerabilidades, configurações incorretas, tecnologia e riscos para obter uma compreensão abrangente.

No entanto, nem todas as vulnerabilidades ou configurações incorretas são igualmente relevantes. Tentar corrigir todas as vulnerabilidades imediatamente também é impraticável. Portanto, a priorização é essencial para determinar quais vulnerabilidades devem ser abordadas primeiro.

3. Priorização

O objetivo da priorização é estabelecer quais ameaças têm maior probabilidade de serem exploradas e representam um risco iminente para a empresa. A priorização vai além de atribuir pontuações de gravidade às vulnerabilidades. As equipes de segurança devem considerar os seguintes fatores para tomar decisões informadas:

• Exploitabilidade: avalie quão fácil é para um invasor explorar a ameaça.
• Eficácia dos controles de segurança: Avalie as capacidades de mitigação das medidas de segurança existentes.
• Topologia de rede: entenda como as ameaças à segurança da rede podem se espalhar pela infraestrutura da organização.
• Apetite pelo risco: considere a tolerância ao risco da sua organização, priorizando ameaças que se alinhem com o limite de risco.
• Impacto geral: avalie as consequências potenciais de uma ameaça, incluindo perdas financeiras, danos à reputação, interrupções operacionais e violações de conformidade resultantes de uma exploração bem-sucedida.

4. Validação

Durante a fase de validação, as organizações avaliam como lidariam com um ataque real e avaliam a sua capacidade de defesa contra ele. Esta avaliação deve ir além da identificação de ameaças potenciais e envolver a validação de controles de segurança e a determinação da ordem de correção de vulnerabilidades por meio de ataques simulados.

Ao realizar uma combinação de avaliações técnicas, como testes de penetração, red teaming, violação de dados e simulação de ataque, e análise de caminho de ataque, as equipes de segurança fornecem evidências que apoiam suas decisões de priorização e demonstram efetivamente a necessidade de remediação tanto para as operações de TI quanto para as partes interessadas do negócio. .

Estas conclusões são cruciais no processo de estabelecimento e melhoria de um plano de resposta a incidentes de segurança cibernética.

5. Mobilização

Durante a etapa de mobilização, as organizações tomam medidas para melhorar a sua postura de segurança. Integram as conclusões do processo de validação nas etapas necessárias para corrigir vulnerabilidades, permitindo uma implementação rápida e maior eficiência.

Para evitar a acumulação de uma longa lista de vulnerabilidades não resolvidas, é crucial resolver atrasos causados por processos de aprovação e mal-entendidos entre diferentes equipas. Ao focar em prioridades alinhadas aos objetivos de negócios, as ameaças mais relevantes são abordadas prontamente. Dessa forma, as vulnerabilidades são corrigidas antes que atores mal-intencionados possam explorá-las, ameaçando os esforços de gestão da continuidade dos negócios.

É crucial envolver todas as partes interessadas, mesmo que estejam menos familiarizadas com questões de segurança, para garantir uma abordagem abrangente.

Qual a diferença entre o CTEM e os programas tradicionais de gerenciamento de vulnerabilidades?

O CTEM se distingue dos programas convencionais de gerenciamento de vulnerabilidades devido às seis características a seguir:

1. Abordagem proativa

Enquanto os programas tradicionais identificam e corrigem vulnerabilidades conhecidas de forma reativa, o CTEM adota uma postura proativa monitorando continuamente o cenário de ameaças. Ele prioriza a correção de ameaças e vulnerabilidades identificadas antes que os hackers possam explorá-las.

2. Amplo escopo

Ao contrário dos programas tradicionais que se concentram exclusivamente nas vulnerabilidades técnicas, o CTEM tem uma visão holística. Ele reconhece que a exposição a ameaças pode vir de diversas fontes, como erros de configuração, uso indevido de credenciais e ameaças internas.

3. Priorização Alinhada aos Negócios

O gerenciamento tradicional de vulnerabilidades muitas vezes tem dificuldade para priorizar efetivamente os esforços de correção, resultando na correção de todas as vulnerabilidades, independentemente da gravidade. Por outro lado, o CTEM alinha a sua priorização com os objetivos de negócio, concentrando-se nas ameaças e vulnerabilidades mais críticas que podem impactar os ativos mais valiosos da organização.

4. Melhoria Contínua

Os programas tradicionais normalmente adotam uma abordagem pontual, realizando verificações periódicas e depois seguindo em frente. Em contrapartida, o CTEM promove um ciclo de melhoria contínua, monitorando, avaliando e aprimorando constantemente a postura de segurança da organização.

5. Integração com controles de segurança

O gerenciamento tradicional de vulnerabilidades geralmente opera separadamente de outras medidas de segurança. No entanto, o CTEM integra-se aos controles de segurança existentes, promovendo uma abordagem mais abrangente e eficaz para gerenciar a exposição a ameaças.

6. Ênfase na Validação

Embora as estruturas tradicionais dependam fortemente de avaliações de vulnerabilidade, o CTEM dá ênfase significativa à validação para testar as defesas da organização contra ataques simulados.

Benefícios do CTEM

De acordo com o Gartner, as organizações que implementarem um programa contínuo de gestão de exposição a ameaças experimentarão uma diminuição de três vezes na probabilidade de sofrer uma violação até 2026.

Ao adotar a abordagem CTEM, as organizações abordam as ameaças de forma proativa e preditiva, em vez de depender de medidas reativas e responsivas. Esta estratégia permite-lhes reduzir o ruído da vulnerabilidade, minimizar os riscos e promover uma melhor colaboração entre funções organizacionais distintas.

No entanto, para implementar eficazmente o CTEM, as empresas devem garantir que as suas ferramentas de facilitação não estão isoladas e estão totalmente integradas.

Desafios da implementação do CTEM

A implementação de um programa CTEM é uma iniciativa válida, mas primeiro é necessário enfrentar alguns desafios para garantir uma execução bem-sucedida. Enfrentar estes desafios antecipadamente poupará tempo e frustração mais tarde.

1. Alinhando equipes de segurança e não relacionadas à segurança

A infraestrutura de TI, o DevOps e as equipes de segurança geralmente apresentam lacunas de comunicação. Esta desconexão torna-se ainda mais problemática quando se implementam novos programas como o CTEM. Pode levar à confusão sobre a propriedade, falta de alinhamento nas expectativas e outras questões.

Para enfrentar este desafio, envolva as partes interessadas das equipas não relacionadas com a segurança desde as fases iniciais. Simplesmente fornecer-lhes uma lista de tarefas não é suficiente. Reserve um tempo para explicar as metas do programa CTEM e garanta que eles tenham uma compreensão adequada de seus objetivos. Busque a opinião deles, entenda suas necessidades e identifique como você pode facilitar o trabalho deles.

Além disso, considere iniciar um programa de treinamento de conscientização em segurança para educar os funcionários sobre tipos comuns de ataques cibernéticos e seu impacto nos negócios, para ajudá-los a compreender como são relevantes para seu trabalho.

2. Criando uma visão abrangente

Um programa CTEM abrangente abrange diversas áreas, como vulnerabilidades de nuvem e software e segurança de rede. Tradicionalmente, cada área opera em seu próprio silo, com proprietários, ferramentas e questões distintas para resolver. O CTEM pretende unir estas áreas de forma a agregar informação de uma forma que permita a todos compreender as prioridades e responsabilidades e criar uma perspectiva holística.

Para superar esse desafio, designe uma “pessoa responsável” que possa ter uma visão de alto nível e compreender como todas as áreas cobertas convergem e impactam umas às outras. Essa pessoa não precisa possuir conhecimentos detalhados em todas as ferramentas ou categorias de segurança. Ainda assim, devem compreender o panorama geral e garantir que todas as áreas sejam contabilizadas e continuamente abordadas por profissionais com conhecimentos especializados.

3. Gerenciando sobrecarga de diagnóstico

Com diversas áreas cobertas pelo CTEM, cada uma com suas ferramentas e alertas, pode haver uma quantidade enorme de ruídos estranhos. A racionalização da informação é um objectivo primordial do CTEM. No entanto, este programa pode resultar em interferência significativa de sinal de múltiplas ferramentas.

Para enfrentar este desafio:

• Aceite que resolver todos os problemas é quase impossível e concentre-se na priorização e na eficiência.
• Identifique os escopos e as exposições que os invasores têm maior probabilidade de explorar e que têm o maior impacto nos negócios.
• Considere começar com uma abordagem de “rastejar, andar, correr”, onde você começa com um escopo pequeno e expande gradualmente à medida que o programa amadurece.

Conclusão

As abordagens tradicionais para garantir a segurança estão se esforçando para acompanhar as ameaças em rápida evolução e as superfícies de ataque em expansão. Avaliações focadas em tecnologia geralmente resultam em relatórios extensos e recomendações genéricas que os executivos de negócios raramente agem. Os programas de gestão de vulnerabilidades também lutam para acompanhar o número crescente de responsabilidades nas grandes organizações.

Estes desafios tornam os métodos tradicionais de mitigação de vulnerabilidades menos eficazes. O objetivo do CTEM é fornecer um plano consistente e prático para melhorar a segurança que seja facilmente compreensível e de implementação econômica.

O resultado final é que, ao aproveitar o CTEM, as organizações podem efetivamente melhorar a sua segurança, identificando e abordando vulnerabilidades potenciais antes que agentes mal-intencionados possam explorá-las.