– Årlig penetrasjonstesting er ikke lenger nok

Annonsørinnhold fra

I mange år har standarden for selskaper som tar sikkerheten på alvor vært den samme: En årlig penetrasjonstest hvor en ekstern ekspert prøver å bryte seg inn i IT-systemene.

Målet er å avdekke alt fra konfigurasjonsfeil til utdaterte systemer og sårbarheter i programvare som gjør at en vanlig bruker kan skaffe seg mer tilgang enn tiltenkt.

Anders Lund leder Defendables Red Team, et team av etiske hackere som hver eneste dag bryter seg inn i systemer for å teste sikkerheten, og har sett hvordan både penetrasjonstesting og IT-miljøer har utviklet seg over mange år.

– For noen år siden så vi at antallet nye sårbarheter og mengden endringer i IT-miljøene hos kundene gjorde at de sporadiske testene ikke lenger var nok for å holde et miljø sikkert over tid, sier han.

Kontinuerlig testing

Resultatet ble Defendables unike APT Simulation-tjeneste. APT står for Advanced Persistent Threat og brukes gjerne om avanserte hackergrupper fra fremmede stater. Poenget er både at de bruker avanserte teknikker, men minst like viktig er at de gjerne har tilgang til et system over tid.

– Ved å være på plass i kundens miljø over lang tid, på samme måte som en avansert trusselaktør ville vært, får vi mer oversikt og en dypere forståelse for hvordan systemene fungerer enn om vi hadde vært inn og ut på en uke eller to, sier Anders.

Den forståelsen gjør at de etiske hackerne kan bruke teknikker som kanskje ikke ville blitt oppdaget i løpet av en tradisjonell penetrasjonstest som varer i noen dager. Det gjør også at de kan fange opp endringer i miljøet som gjør det sårbart mot angrep og teste nye sårbarheter med én gang.

– Du kan tenke på det som å ansette en veldig dyktig penetrasjonstester internt – til en brøkdel av prisen, sier han.

Fant feil i finansielt system

Ett eksempel på hvordan APT Simulation avdekket en kritisk sårbarhet var da en av testerne oppdaget en feil i en tredjepartsapplikasjon i et finanssystem.

Ifølge Anders kunne feilen fått store konsekvenser om den ikke ble oppdaget

– Det var én konfigurasjonsfeil hos en tredjepartsleverandør som gjorde at vi i praksis fikk full tilgang til et finansielt system – med mulighet til å overføre penger mellom kontoer. Underveis hadde vi tett kontakt med både kunden og leverandøren, og feilen ble rettet på under 24 timer. Grundige sjekker viste også at den ikke hadde blitt utnyttet av andre, sier han

Med et tradisjonelt testregime hadde man risikert at denne kritiske feilen var tilgjengelig i et år eller mer, med tilsvarende risiko for at en trusselaktør hadde funnet den.

Et annet eksempel på hvordan kontinuerlig penetrasjonstesting fanger opp konfigurasjonsfeil var da en kunde ble gjort oppmerksom på at sertifikatmalene i miljøet deres gjorde at testerne kunne øke egne rettigheter til administrator for hele miljøet på grunn av en feil.

– Kunden rettet det opp raskt, men noen måneder senere skulle de gjøre en endring i miljøet sitt. Det gjorde at den samme feilen ble introdusert på nytt, men siden vi tester kontinuerlig plukket vi det opp nærmest umiddelbart og kunne melde fra til kunden, sier Anders.

Kostnadene for kontinuerlig testing med APT SImulation er heller ikke avskrekkende for de som allerede gjennomfører interne tester med jevne mellomrom.

– I praksis er det snakk om tilsvarende to tester i året, men da får du til gjengjeld kontinuerlig dekning, mye grundigere testing, vesentlig raskere respons og personlig støtte fra noen av Norges mest erfarne penetrasjonstestere, avslutter han.