Внедрение CTEM: Пошаговое руководство к безумию

Внедрение CTEM включает систематический пятиэтапный процесс, который помогает организациям активно управлять рисками кибербезопасности и снижать их. Внедрение CTEM — это непрерывный цикл, поскольку ландшафт угроз постоянно меняется следует регулярно пересматривать каждый шаг, чтобы адаптироваться к новым угрозам и изменениям в цифровой среде:

📌 Определение области применения (Scoping)

📌 Обнаружение (Discovery)

📌 Определение приоритетов (Prioritization)

📌 Проверка (Validation)

📌 Практическая реализация (Mobilization)

📌 На этом этапе группам безопасности необходимо понять, какие системы, активы и сегменты инфраструктуры имеют решающее значение для бизнеса и могут стать потенциальными целями для киберугроз и будут включены в область применения и определение заинтересованных сторон, которые будут вовлечены. Это включает в себя определение ключевых векторов атаки, на которых можно управлять уязвимостями. 

📌 Процесс определения области обеспечивает точную идентификацию критических и уязвимых систем, что делает его основополагающим шагом в разработке мер безопасности. Этап определения объёма работ составляет основу программы CTEM и имеет важное значение для её общего успеха, поскольку он устанавливает рамки для последующих этапов. Важно включить все соответствующие области в сферу действия CTEM, такие как внешние атаки и облачные среды, чтобы не оставлять незащищёнными любые потенциальные точки взлома.

📌 Организация активно ищет и выявляет уязвимости и слабые места в оцениваемых активах с применением инструментов и технологий для поиска и анализа потенциальных проблем безопасности на внешнем контуре атак, которая охватывает внешнюю, внутреннюю и облачную среды. Этот этап включает в себя идентификацию и каталогизацию всех уязвимых ресурсов организации, таких как оборудование, программное обеспечение, базы данных и сетевая инфраструктура. На этапе обнаружения предприятия используют широкий спектр инструментов и методов обнаружения ИТ для аудита всех своих ИТ-ресурсов. Часто это включает проведение оценок уязвимостей, тестирования на проникновение и других аудитов безопасности. Цель состоит в активном поиске и выявлении потенциальных уязвимостей в системах и активах организации.

📌 На этапе обнаружения важно привлечь разнообразную команду экспертов, включая ИТ-персонал, сотрудников службы безопасности и других сотрудников, которые могут иметь уникальный взгляд на потенциальные уязвимости. Это гарантирует выявление и оценку всех потенциальных угроз. Этап обнаружения служит связующим звеном между этапами определения объёма и определения приоритетов в процессе CTEM. После этапа анализа, на котором определяются ключевые вектора атаки и заинтересованные стороны, этап обнаружения фокусируется на детальной идентификации всех активов и уязвимостей.

📌 Этот этап имеет решающее значение, поскольку помогает организациям определить, каким ценным активам необходимо уделить приоритетное внимание на основе их потенциального воздействия на бизнес, так как не все можно защитить сразу.

📌 На этапе определения приоритетов организации оценивают уровень риска. Это включает в себя компенсирующие средства контроля безопасности и потенциальные уязвимости, выявленные на этапе обнаружения, исходя из того, насколько вероятно, что они будут использованы. 

📌 Основная цель расстановки приоритетов – составить список задач для эффективного снижения рисков. Это позволяет организациям оптимально распределять свои ресурсы, обеспечивая эффективное использование. А также определить, какие активы являются наиболее важными и нуждаются в наивысшем уровне защиты.

📌 Текущий этап – это непрерывный процесс, который включает в себя постоянную переоценку, ранжирование и выбор активов, требующих немедленного внимания. Этот этап динамичен и должен адаптироваться для эффективного противодействия возникающим угрозам.

📌 Этот этап обеспечивает точную оценку уязвимости организации к угрозам и эффективности операций по исправлению. На этапе проверки организации оценивают, как они справились бы с реальной атакой, и оценивают свою способность защититься от неё. Это включает в себя использование таких практик, как моделирование взломов и атак (BAS) и тренинги Red Team для имитации атак и проверки защиты на месте.

📌 Этап проверки гарантирует, что планы по устранению уязвимостей и угроз, выявленных на этапе определения приоритетов, эффективны. Это может включать добавление дополнительных мер предосторожности, обновление программного обеспечения или изменение настроек безопасности.

📌 Также важно привлечь к этапу проверки широкий круг заинтересованных сторон, включая ИТ-персонал, сотрудников службы безопасности и другие соответствующие команды. Это гарантирует, что процесс валидации будет всеобъемлющим и что меры по исправлению будут эффективными во всей организации

📌 Этот этап заключается в практической реализации результатов процесса CTEM и осуществлении необходимых действий для устранения выявленных рисков.

📌 На этапе практической реализации организации приводят в действие планы по устранению уязвимостей и угроз, выявленных на этапе определения приоритетов и подтверждённых на этапе валидации. Это может включать добавление дополнительных мер предосторожности, обновление программного обеспечения или изменение параметров безопасности.

📌 Этот этап также включает в себя обеспечение того, чтобы все команды в организации были проинформированы и согласованы с усилиями по обеспечению безопасности. Это может включать автоматизацию мер по смягчению последствий за счёт интеграции с платформами управления информацией о безопасности и событиями (SIEM) и управления безопасностью, автоматизации и реагирования (SOAR), а также установление стандартов связи и документированных межкомандных рабочих процессов.

📌 На данном этапе становится понятно, что восстановление не может быть полностью автоматизировано и требует вмешательства человека и подчёркивается необходимость того, чтобы руководители служб безопасности мобилизовали ответные меры и устранили риски из окружающей среды.