Ce que 300 000 pentests de production ont révélé sur la confiance, l’exploitabilité et la sécurité autonome.
Après plus de 300 000 tests d’intrusion en production (pentests), notre entreprise a appris quelque chose qui pourrait surprendre les personnes qui regardent la récente vague d’annonces de sécurité autonome.
Le problème le plus difficile en matière de sécurité autonome n’est pas d’apprendre à une machine comment attaquer. Il s’agit d’enseigner à un système basé sur l’IA comment fonctionner de manière sûre, prévisible et répétée dans des environnements de production où les erreurs ont des conséquences.
Trouver une voie d’attaque est un problème d’ingénierie. Construire une plate-forme à laquelle les organisations ont confiance pour fonctionner contre les systèmes de santé, les institutions financières, les fabricants et les infrastructures critiques est une tâche opérationnelle. La différence n’apparaît qu’après des années de fonctionnement à grande échelle.
Alors que l’industrie adopte les agents IA, les équipes rouges autonomes et les opérations à la vitesse des machines, une grande partie de la conversation reste axée sur les capacités. Une machine peut-elle identifier un chemin vers un compromis ? Peut-il enchaîner les faiblesses ? Peut-il obtenir le même résultat qu’un opérateur humain ?
Ce sont des questions raisonnables. Ce ne sont pas les questions qui intéressent en fin de compte les responsables de la sécurité.
Les responsables de la sécurité doivent avoir l’assurance qu’une plateforme peut fonctionner en toute sécurité en production, produire systématiquement des résultats significatifs et aider les équipes à prendre de meilleures décisions concernant les risques. D’après notre expérience, c’est là que commence le véritable défi.
Depuis 2019, NodeZero® a exécuté plus de 300 000 pentests de production dans des milliers d’environnements. Ces engagements ont renforcé une leçon qui continue de faire surface.
Les plus grands défis en matière de sécurité proviennent rarement de ce que les organisations ne peuvent pas voir. Ils proviennent de la séparation du signal du bruit.
La plupart des organisations n’ont pas de mal à trouver les vulnérabilités
Le secteur de la sécurité a passé des décennies à améliorer la visibilité.
Les organisations disposent de scanners de vulnérabilités, de plateformes de gestion des surfaces d’attaque, d’outils de sécurité cloud, de programmes de gestion des expositions et d’innombrables tableaux de bord remplis de résultats. La plupart des équipes de sécurité ne souffrent pas d’un manque d’informations. Le problème est le suivant : ils ont du mal à déterminer quelles informations sont importantes.
Les attaquants ne pensent pas en termes de découvertes individuelles. Ils pensent en termes de résultats. Ils identifient une faiblesse, la combinent avec une autre faiblesse, se déplacent dans l’environnement et poursuivent un objectif. Le chemin compte plus que n’importe quelle étape individuelle du chemin.
Les équipes de sécurité héritent souvent du problème inverse. Des milliers de résultats arrivent dans un tableau de bord, chacun étant évalué indépendamment, avec peu de contexte sur la façon dont ces faiblesses pourraient être liées. En conséquence, les équipes passent beaucoup de temps à débattre de la gravité tandis que les attaquants se concentrent sur l’exploitabilité.
La différence semble subtile, mais elle change tout. La gravité décrit une vulnérabilité. L’exploitabilité décrit le risque.
L’expérience change la façon dont vous évaluez le risque
La confiance ne repose pas sur des promesses, elle repose sur la profonde expérience acquise lors de l’exécution de centaines de milliers de pentests. Au fil du temps, des modèles récurrents commencent à émerger, quels que soient le secteur, la pile technologique ou la maturité organisationnelle.
Nous avons vu des organisations faire confiance à des outils existants qui nécessitent d’énormes efforts pour corriger des vulnérabilités ayant peu d’impact pratique, tout en négligeant des faiblesses apparemment mineures qui ont finalement permis des compromis importants. Cela se produit parce que le risque existe rarement sous la forme d’une vulnérabilité unique. Cela existe dans la manière dont les faiblesses interagissent les unes avec les autres.
Dans un environnement de services financiers, un seul identifiant compromis a entraîné 586 impacts critiques sur 115 hôtes, dont trois compromissions de domaines distincts. Considéré indépendamment, le titre ne semble pas particulièrement significatif. Considéré comme faisant partie d’une trajectoire d’attaque, cela est devenu quelque chose de complètement différent.
Dans un autre environnement cloud, le chemin vers une compromission totale du locataire Entra ID ne nécessitait pas de vulnérabilités et d’expositions communes (CVE) ou d’exploit zero-day. Les faiblesses en cause étaient déjà connues. Les outils existants les avaient identifiés. Ce qui manquait, c’était de comprendre comment ces faiblesses pouvaient s’enchaîner et ce que cette chaîne d’événements signifiait pour l’organisation.
Nous avons également vu des organisations découvrir que le compromis initial n’était pas la partie la plus importante de l’évaluation. Dans un environnement éducatif, la grande question était de savoir jusqu’où un attaquant pouvait se déplacer après avoir obtenu l’accès. La mesure du rayon d’explosion a exposé des chemins vers des systèmes et des données qui n’auraient jamais dû être accessibles à partir du point de compromis initial.
Ces exemples renforcent la même leçon. Le défi consiste rarement à trouver des faiblesses. Le défi consiste à savoir quelles faiblesses sont importantes avant qu’un attaquant ne le fasse. Ce genre de jugement ne se construit pas à partir de démonstrations ou de points de repère. Cette valeur s’acquiert grâce à des années d’expérience dans des environnements de production et à l’observation de la manière dont de véritables voies d’attaque émergent dans des milliers d’organisations.
Cliquez ici pour découvrir pourquoi la fiabilité est la clé pour instaurer la confiance et comment y parvenir.
Ce que nous ont appris 7 années de pentesting autonome
La plupart des organisations n’ont pas besoin d’une autre source de résultats. Ils ont déjà plus de résultats qu’ils ne peuvent raisonnablement en traiter. Ce dont ils ont besoin, c’est d’avoir confiance dans ce qui est réellement exploitable, dans la manière dont les attaquants l’utiliseraient et dans la mesure où leurs correctifs réduisent les risques.
C’est la leçon que nous avons tirée de nos années d’expérience dans des environnements de production.
Et c’est le problème que nous avons résolu.
Obtenez une démo
