Cómo la seguridad basada en piratas informáticos puede ayudar a los equipos de seguridad a estar más orientados a los datos

Desafíos para los equipos de seguridad tradicionales

Los equipos de seguridad tradicionales suelen ser reactivos. Se considera que son resistentes al cambio, no están sincronizados con el desarrollo e incapaces de predecir o comprender los riesgos. Para que los equipos pasen de responder a los ciberataques a planificar estratégica y tácticamente para mitigar los riesgos, deben planificar y priorizar. Sin embargo, esto es difícil porque carecen de información sobre los datos para predecir el origen o la importancia del riesgo.

La falta de alineación entre seguridad y desarrollo crea problemas de seguridad. Los equipos de seguridad que ejecutan pentests anuales tradicionales no estarán sincronizados con el rápido ritmo de desarrollo que incluye parches, actualizaciones y lanzamientos frecuentes, a veces diarios. Como resultado, las iniciativas de seguridad son inconsistentes con los productos actuales y dejan a la empresa vulnerable. Los equipos de seguridad se quedarán atrás de un equipo de desarrollo de ritmo rápido sin monitoreo, medición e iteración continuos.

Los equipos de seguridad actuales necesitan datos, conocimientos y tendencias de la industria para ayudar en la planificación, la gestión de riesgos y la toma de decisiones. También necesitan conocimiento de nuevas superficies de ataque y nuevas amenazas.

Nuevas superficies de ataque y nuevas ciberamenazas

Mientras que los equipos de seguridad tradicionales luchan por mantenerse al día con un panorama digital cambiante, los ataques cibernéticos continúan aumentando. Según el Informe de Investigaciones de Violación de Datos 2020 de Verizon El 43% de las violaciones de seguridad involucraron aplicaciones web y la piratería maliciosa fue el punto de entrada número uno para todas las violaciones de seguridad. Los datos de HackerOne, de nuestra base de datos de 300.000 vulnerabilidades, muestran resultados similares. Más importante aún, la comunidad de piratas informáticos HackerOne ha identificado tres nuevas categorías de riesgo, incluidas las vulnerabilidades relacionadas con las aplicaciones web en:

• Infraestructura de acceso remoto
• Migración a la nube
• Equipo personal y de oficina

Pero, ¿qué pasa con los riesgos adicionales? Nuestra comunidad global de hackers éticos mira más allá de las aplicaciones web y las pruebas tradicionales para encontrar un problema de seguridad nuevo, a menudo de alto riesgo o crítico, cada dos minutos. Estos piratas informáticos con considerable experiencia y habilidades especializadas pueden identificar fácilmente la explotabilidad de una vulnerabilidad en particular y proporcionar comentarios valiosos para mejorar la eficiencia del proceso de corrección de vulnerabilidades. Durante la primera mitad de 2021, observamos un aumento en las siguientes categorías nuevas, definidas en función del número y la gravedad de las vulnerabilidades críticas y graves descubiertas.

• Brechas de seguridad en la escalada de derechos – Más roles del sistema y una mayor necesidad de acceso conducen a una escalada horizontal y vertical de derechos. Nuestros datos muestran una 14% más que el año anterior Sistema de puntuación de vulnerabilidad común (CVSS) Estándar en la industria 8.0-10.0 vulnerabilidades. (Tasas de CVSS en una escala de 0.0-10.0, siendo 10.0 la más crítica).
• Autenticación y control de acceso incorrectos – Los activos promedio muestran cinco vulnerabilidades en términos de autenticación incorrecta o control de acceso en la primera prueba y entre una y dos vulnerabilidades altas o críticas después del primer año, dependiendo de la madurez de seguridad de la empresa. El año pasado, nuestra comunidad de piratas informáticos informó un aumento del 20% por valor de empresa.
• Configuraciones incorrectas de la nube – Las vulnerabilidades en esta categoría tienden a afectar la confidencialidad de los datos. Las organizaciones almacenan cantidades de datos cada vez mayores, y la cantidad y variedad de vulnerabilidades reflejan necesidades comerciales complejas. Según nuestros datos, un aumento interanual del 16% en las configuraciones incorrectas de la nube ha provocado la pérdida de datos corporativos.

Sin embargo, una de las mayores preocupaciones es que el tiempo de reparación cae a un promedio de 3,1 días. Esta tendencia, combinada con nuevas vulnerabilidades y nuevas categorías de ataque, aumenta la presión sobre los equipos de seguridad para mantenerse al día con los cambios. Es hora de un nuevo enfoque.

Los equipos de seguridad de hoy deben ser proactivos y estar basados ​​en datos. Primero, necesitan mitigar el riesgo enfocándose y reduciendo el tiempo de resolución. Donde las evaluaciones y pentests tradicionales proporcionan informes puntuales, Calificaciones de seguridad de HackerOne proporcionar pruebas, monitoreo e informes continuos. El acceso a esta información actualizada brinda a los equipos la información y los puntos de datos que necesitan para planificar y priorizar para reducir y prevenir riesgos. Además, las empresas con visión de futuro están adoptando otros programas de pruebas de seguridad como Recompensas de errores y Programas de divulgación de vulnerabilidades (VDP).

Si desea ayudar a su equipo de seguridad a ser más efectivo, proactivo y basado en datos, use la combinación de conocimiento de la categoría de amenazas y conocimiento y comentarios continuos de las pruebas internas y los datos de tendencias generales de la industria para respaldarlos.

Trabajar con HackerOne brinda a las empresas acceso a una base de datos sólida, tendencias de vulnerabilidad y puntos de referencia de la industria, así como a la comunidad de hackers más grande y diversa del mundo. Aprende más aquí.