الأساطير تطرح السؤال الصحيح. لا يجيب عليه.

يقوم الذكاء الاصطناعي بضغط الجداول الزمنية للاستغلال. السؤال الحقيقي ليس ما إذا كان دليل إدارة الثغرات الأمنية الخاص بك بحاجة إلى التغيير، بل هو الجزء الذي كنت تخطئ فيه طوال الوقت.

المحادثة التي تجري في الدوائر الأمنية الآن تسير على النحو التالي: ميثوس هنا. استغلال الجداول الزمنية تنهار. هل يحتاج دليل إدارة الثغرات الأمنية إلى التغيير؟

الجواب الصادق هو نعم. ولكن ليس الجزء الذي يركز عليه معظم الناس.

تميل المناقشة حول ميثوس، النموذج الإنساني الحدودي وآثاره على الأمن الهجومي، إلى التركيز على الاكتشاف. الذكاء الاصطناعي يسرع الاستطلاع. فهو يساعد المهاجمين على تحديد حالات التعرض بشكل أسرع، وتقنيات التسلسل بشكل أكثر كفاءة، والتحرك بسرعة الآلة عبر البيئات التي كانت محمية سابقًا، جزئيًا، من خلال القيود الزمنية الخاصة بالمهاجم.

هذا حقيقي. وهذا مهم.

ولكن هذا هو الجزء الذي يحظى باهتمام أقل: معظم فرق الأمن لم تكن تفوز بمعركة تحديد الأولويات قبل وصول ميثوس. الجدول الزمني المضغوط لا يخلق مشكلة جديدة. أنه يرفع تكلفة واحدة موجودة.

“إن إصدار CVSS 9.8 بدون مسار إلى أحد الأصول المهمة هو أقل إلحاحًا من إصدار CVSS 5.5 الذي يقع على بعد خطوة واحدة من قاعدة بيانات عملائك. وكان هذا صحيحًا قبل Mythos. لكن ارتكاب الأخطاء الآن أكثر تكلفة.”

مشكلة تحديد الأولويات لم تبدأ مع الذكاء الاصطناعي

لقد أمضينا العام الماضي في التحدث إلى مهندسي الأمن، ورؤساء الكشف والاستجابة، ومديري أمن المعلومات عبر مؤسسات السوق المتوسطة والمؤسسات النامية. عندما نسأل كيف يرتبون أولويات نقاط الضعف، فإن الإجابات متسقة بشكل ملحوظ:

“إن نسبة كبيرة من الثغرات الأمنية التي نكتشفها ليست قابلة للاستغلال في الواقع، ولكننا لا نعرف ذلك إلا إذا قمنا ببحث كل واحدة منها بشكل مكثف، وهو ما نفتقر إلى الوقت وعدد الموظفين للقيام به.”

“حاليًا حسب نتيجة CVSS… وليس جيدًا.”

“نحن نستخدم تدريبات أمنية خارجية وقابلة للاستمرار والتي توفر تصنيفات خطورة، وهذه هي الطريقة التي نحدد بها الأولويات. كل شيء بطيء للغاية ويمكننا أن نفعل ما هو أفضل.”

هذه ليست متاجر صغيرة ذات برامج غير ناضجة. هذه هي المنظمات التي تدير Qualys وTenable وRapid7 وCrowdStrike وWiz وOkta وSplunk في وقت واحد. أدوات خطيرة. ميزانيات جدية لا يزال يعمل من تراكم CVSS.

السبب الجذري ليس جودة الماسح الضوئي أو التغطية. إنه السياق. على وجه التحديد، غياب ثلاثة أشياء لا تتضمنها نتائج CVSS:

• سياق الهوية. ما هي الحسابات التي يمكنها الوصول إلى النظام الضعيف، وهل تتمتع بامتيازات زائدة؟
• إمكانية الوصول. هل هذا الأصل مكشوف على الإنترنت؟ هل هي قفزة واحدة من نظام جوهرة التاج؟
• استمرارية المسار. هل توجد سلسلة استغلال مؤكدة تربط مكافحة التطرف العنيف بشيء مهم بالفعل للشركة؟

وبدون هذه المدخلات الثلاثة، فإن 50000 نتيجة ليست قائمة ذات أولوية. إنها تراكمات بدون بوصلة.

ما هي الأساطير التي تتغير في الواقع، وما لا يتغير

الأساطير والنماذج المشابهة لها تضغط الوقت بين الكشف عن الثغرات الأمنية واستغلالها. إن الفريق الأمني ​​الذي كان يستغرق ثلاثة أسابيع للتصحيح بعد إسقاط مكافحة التطرف العنيف، قد يكون لديه الآن ثلاثة أيام. وفي بعض الحالات ساعات.

وهذا تحول كبير في ظروف التشغيل. لكنه لا يغير مشكلة البنية الأساسية، بل يجعل تكلفة هذه المشكلة أعلى بكثير.

إذا كان فريقك يعمل من خلال قائمة مرتبة بواسطة CVSS تضم 50000 نتيجة، فلن تساعدك الجداول الزمنية الأسرع للاستغلال. أنت لا تزال تبدأ من القائمة الخاطئة.

“تعمل Mythos على تسريع وتيرة المهاجم. والسؤال هو ما إذا كانت أولوياتك سريعة بما يكفي لمواكبة ذلك، وفي الوقت الحالي، بالنسبة لمعظم المؤسسات، ليس الأمر كذلك.”

إن السؤال عما إذا كانت Mythos تتطلب قواعد لعب جديدة لإدارة الثغرات الأمنية يستحق التساؤل. لكن الجواب ليس ماسحًا ضوئيًا أسرع أو إيقاع ترقيع أكثر عدوانية.

إن قواعد اللعب التي تحتاج إلى التغيير هي: التوقف عن التعامل مع إدارة الثغرات الأمنية باعتبارها وظيفة قائمة بذاتها تنتج قائمة مرتبة من التهديدات الخطيرة. ابدأ بالسؤال عن أنواع التعرض، بالإضافة إلى سياق الهوية، وإمكانية الوصول إلى الشبكة، وأهمية الأعمال، التي تنشئ مسارًا مؤكدًا إلى أصول جوهرة التاج.

هذه ليست مشكلة الكشف. هذه مشكلة معمارية.

الفجوة المعمارية التي لا يتحدث عنها أحد

إليك ما يبدو عليه مكدس أمان المؤسسة النموذجي اليوم:

• الهوية: أوكتا أو إنترا
• الأمان السحابي: Wiz أو Orca
• إدارة الثغرات الأمنية: Qualys أو Tenable أو Rapid7
• نقطة النهاية: CrowdStrike أو SentinelOne
• الشبكة: Zscaler أو Palo Alto
• SIEM: Splunk أو Sentinel

كل من هذه الأدوات تفعل بالضبط ما تم تصميمها للقيام به.

يرى الحذق التكوين الخاطئ. ترى Okta حساب الخدمة ذي الامتيازات الزائدة. يرى CrowdStrike حالة نقطة النهاية. ترى Qualys مكافحة التطرف العنيف.

لم يتمكن أي منهم من رؤية السلسلة التي تربط الأربعة جميعًا في مسار هجوم قابل للتطبيق بقاعدة بيانات عملائك.

يمكن لكل واحدة من هذه الأدوات أن تمنحك درجة المخاطرة. لا يمكن لأي منهم أن يمنحك قرارًا يمكنك الدفاع عنه أمام مجلس الإدارة الخاص بك.

هذه ليست فجوة في أي أداة واحدة. إنها فجوة في الهندسة المعمارية.

لقد تحدثنا إلى مهندس أمني يدير فريقه هذه المكدس بالضبط. وصفهم للوضع:

“لدينا إشارات جيدة من جميع أدواتنا، ولكن ربط الهوية + السحابة + نقطة النهاية في مسار هجوم واحد لا يزال يتطلب عملاً يدويًا.”

هذا العمل اليدوي، والتبديل بين علامات التبويب، والإحالة المرجعية، وساعات التحليل التي يقضيها في بناء صورة ينبغي أن تكون موجودة بالفعل، هو بالضبط ما يستغله ميثوس. لا يمنحك المهاجم الذي يعمل بسرعة الجهاز الساعتين اللازمتين لربط أدواتك يدويًا.

كيف تبدو في الواقع عملية تحديد الأولويات المستندة إلى مسار الهجوم

البديل ليس ماسحًا ضوئيًا جديدًا أو عملية تصحيح أسرع. إنه سؤال مختلف تمامًا:

ليس “ما هي نتيجة CVSS لهذا CVE؟” ولكن “هل يمكن لهذا التطرف العنيف أن يصل إلى أصل جوهرة التاج، ومن خلال أي هوية، ومن خلال أي حدود ثقة، وفي أي نصف قطر للانفجار؟”

تتغير الرياضيات بشكل ملحوظ عند إضافة سياق الهوية. لا يعد حساب الخدمة ذي الامتيازات المجاور لـ CVE غير المصحّح نتيجة متوسطة الخطورة. إنه مسار هجوم حاسم.

يعد إصدار CVSS 5.5 على نظام متصل بالإنترنت مع طريق مباشر إلى قاعدة بيانات العملاء الخاصة بك أكثر إلحاحًا من إصدار CVSS 9.8 في بيئة اختبار معزولة. CVSS وحده لا يستطيع أن يخبرك بذلك. لا يمكن لأدواتك الفردية أن تخبرك بذلك. فقط النظام الذي يرتبط عبرها يمكنه ذلك.

“إن فرق الأمان التي تستجيب بشكل فعال للجداول الزمنية للاستغلال المضغوط بواسطة الذكاء الاصطناعي ليست هي تلك التي لديها أسرع عمليات التصحيح. إنها هي التي تعرف أي 12 نتيجة من أصل 50000 مهمة بالفعل.”

هذا هو ما تم بناء Mesh لتقديمه. فهو يستوعب أدوات إدارة الثغرات الموجودة لديك ويضيف السياق الذي تفتقده:

• سياق الهوية من Okta أو Entra: هل الحساب ذي الامتيازات الزائدة قريب من هذه الثغرة الأمنية؟
• إمكانية الوصول إلى الشبكة من Zscaler أو Palo Alto: هل هذا الأصل مكشوف على الإنترنت؟
• رسم خرائط جوهرة التاج: هل يوجد مسار مؤكد من هذا التعرض لأصل بالغ الأهمية؟
• التحقق من صحة محاكاة الهجوم عبر Horizon3.ai: هل هذا المسار قابل للاستغلال فعليًا اليوم، وليس نظريًا فقط؟

الناتج ليس 50000 نتيجة مرتبة حسب الخطورة. إنها 12 عملية كشف ذات أولوية ومدعومة بالأدلة والتي لها مسار مؤكد لشيء مهم.

هذه ليست المزيد من البيانات. هذا قرار.

هذه هي القائمة التي يمكن الدفاع عنها أمام لوحتك. هذه هي القائمة التي تتيح لك العمل بالسرعة التي يطلبها Mythos.

قواعد اللعبة التي تحتاج في الواقع إلى التغيير

قواعد اللعبة القديمة: قم بتشغيل الماسحات الضوئية الخاصة بك، وقم بالفرز حسب نظام CVSS، وقم بتعيين التذاكر، وتتبع معدلات المعالجة.

الجديد:

• 1. قم بتوصيل أدواتك. لا يحل محلهم. قم بوضع طبقة ذكاء موحدة فوق مجموعتك الحالية التي ترتبط عبر بيانات الهوية والسحابة ونقطة النهاية والثغرات الأمنية في وقت واحد.
• 2. حدد الأولويات حسب المسار، وليس حسب النتيجة. اسأل عن أي حالات التعرض لها طريق مؤكد إلى أصل جوهرة التاج، ومن خلال أي هوية، وفي أي نصف قطر للانفجار.
• 3. التحقق من الصحة قبل المعالجة. تأكد من أن المسار قابل للاستغلال فعليًا قبل الالتزام بموارد العلاج. إعطاء الأولوية للمسارات المؤكدة على المسارات النظرية.
• 4. العمل بشكل مستمر وليس بشكل دوري. الأسطورة تعني أن النافذة بين التعرض والاستغلال يمكن أن تغلق خلال ساعات. لم تعد التقييمات في الوقت المناسب هي الأساس بعد الآن؛ إنهم مسؤولية.

لا يتطلب أي من هذا استبدال الأدوات التي قمت بنشرها بالفعل. لا تزال Qualys تجد الأخطاء الشائعة الخاصة بك. Okta لا يزال يحكم هوياتك. لا يزال Wiz يشير إلى التكوينات السحابية الخاطئة. لا تكمن الفجوة في ما تراه تلك الأدوات بشكل فردي، بل في أنه لا شيء يربط ما تراه هذه الأدوات بشكل جماعي في صورة واحدة.

هذه هي مشكلة الهندسة المعمارية. وقد جعلت Mythos تجاهلها أكثر تكلفة بكثير.

Mythos لا يبطل إدارة الثغرات الأمنية. فهو يبطل إدارة الثغرات الأمنية التي تعمل بدون سياق. لن يعاقب الذكاء الاصطناعي المؤسسات لأنها تقوم بالتصحيح ببطء شديد. سوف يعاقبهم لأنهم يقومون بتصحيح الأشياء الخاطئة. هذا هو قواعد اللعب التي تحتاج إلى التغيير بالفعل.

انظر ماذا تبدو مسارات الهجوم الحقيقية في بيئتك الخاصة.