Effectieve penetratietests: Afstemmen op informatie over bedreigingen om de veerkracht van cyberspace te vergroten

Auteur: Paul Pols, Lead Ransomware Resilience bij Secura/Bureau Veritas

Uitdagingen van moderne penetratietests

Een penetratietest is slechts zo effectief als zijn vermogen om de complexe en evoluerende cyberbedreigingen die gericht zijn op organisaties nauwkeurig na te bootsen. Traditioneel blijven penetratietests vaak beperkt tot systemen die organisaties als het meest waardevol beschouwen: hun “kroonjuwelen”. Deze beperkte focus komt mogelijk niet volledig overeen met de tactieken en technieken van daadwerkelijke bedreigingsactoren, die vaak kwetsbaarheden in ondersteunende systemen uitbuiten om door een IT-infrastructuur te navigeren.

Moderne cyberaanvallen beginnen vaak met ogenschijnlijk kleine inbreuken die aanzienlijk kunnen escaleren. Bijvoorbeeld, aanvallers kunnen een eindpuntapparaat van een werknemer of leverancier compromitteren of inloggegevens voor externe interfaces stelen. Ze kunnen deze initiële voet aan de grond gebruiken om verder door te dringen in het netwerk via tactieken zoals privilege-escalatie en laterale beweging. Dit stelt hen in staat om direct toegang te krijgen tot de kroonjuwelen, met elders verkregen administratieve rechten. Bovendien kunnen bedreigingsactoren zich richten op andere systemen binnen de organisatie die, hoewel ze niet als “kroonjuwelen” worden beschouwd, toch cruciaal zijn voor de operaties van de organisatie.

Deze discrepantie onderstreept de noodzaak van een verschuiving in hoe penetratietests worden afgebakend en uitgevoerd, zodat ze bredere en realistischere dreigingsscenario's dekken, gebaseerd op de nieuwste dreigingsinformatie over de tactieken van relevante bedreigingsactoren.

De cruciale rol van Threat Modeling

Threat Modeling is een gestructureerd proces dat potentiële dreigingen binnen het netwerk van een organisatie identificeert, om de infrastructuur vanuit het perspectief van een aanvaller te begrijpen en robuuste verdedigingen te ontwikkelen. Hier is een beknopt overzicht van het proces:

1. Continue Threat Intelligence Analyse: Het is belangrijk om voortdurend bedreigingsactoren en hun tactieken, technieken en procedures (TTP's) te monitoren en te analyseren. Deze informatie helpt bij het identificeren van de meest relevante bedreigingen voor specifieke organisaties, meestal beïnvloed door de sectoren waarin ze opereren. We gebruiken deze aanpak om onze Threat Models aan te passen en beter weer te geven welke unieke risico's en uitdagingen elke organisatie ondervindt.
2. Threat Modeling van Infrastructuur en Assets: Het begrijpen van de infrastructuur en het identificeren van kritieke assets die potentiële aanvallers aantrekken, helpt bij het pinpointen van relevante bedreigingen en waarschijnlijke aanvalspaden. Deze analyse is cruciaal voor het in kaart brengen van waar een organisatie het meest vatbaar is voor aanvallen op basis van de operationele context en relevante TTP's. We voeren deze stap meestal uit via een Threat Modeling-workshop met belangrijke stakeholders. Het eindresultaat van Threat Modeling kan vaak een strategische roadmap of gedetailleerde penetratietestkalender zijn, waarbij toekomstige beveiligingstests worden afgestemd op geïdentificeerde bedreigingen.
3. Validatie en Risicobeoordeling Door Penetratietests: Door middel van het simuleren van real-world aanvallen via penetratietests valideren en completeren we geïdentificeerde bedreigingen en beoordelen we hun potentiële impact en waarschijnlijkheid om het risico te bepalen. Deze stap is essentieel voor het prioriteren van welke bedreigingen onmiddellijke aandacht vereisen en voor het bepalen van de effectiviteit van de huidige verdediging. De resultaten van penetratietests kunnen strategieën voor risicobeperking sturen, zodat beveiligingsinspanningen worden geconcentreerd waar ze het meest nodig zijn.

Frameworks zoals STRIDE, de Unified Kill Chain en MITRE ATT&CK™ bieden gestructureerde methodologieën voor het identificeren en simuleren van de tactieken die een aanvaller zou kunnen gebruiken. Het toepassen van deze frameworks zorgt voor uitgebreide beoordelingen die verder gaan dan voor de hand liggende kwetsbaarheden, en dekken alle aspecten van de beveiliging van de organisatie.

Dit artikel is oorspronkelijk gepubliceerd in onze Cyber Vision Series op LinkedIn over de veranderende aard van cybersecurity en de toekomst van cyberweerbaarheid.