‍

Wir freuen uns, eine Reihe neuer Funktionen auf der Mitigant-Plattform einzuführen. Diese Funktionen, die durch wertvolles Feedback unserer geschätzten Kunden und Partner geprägt wurden, werden die Sicherheitslage von Cloud- und Kubernetes-Umgebungen erheblich verbessern. Darüber hinaus ermöglichen diese Neuerungen Unternehmen die nahtlose Implementierung von Continuous Threat Exposure Management (CTEM). Zu den neuen Funktionen gehören Attack-as-Code, Attack Scheduler, Kubernetes-Schwachstellenpriorisierungsowie DefectDojo-Integration. Dieser Artikel beleuchtet diese Funktionen sowie deren Relevanz und Anwendungsfälle. 

‍

Attack-as-Code 

Wir stellen Attack-as-Code (AaC) vor, eine bahnbrechende Erweiterung für das Mitigant Cloud Attack Emulation -Produkt. AaC basiert auf Prinzipien der Softwareentwicklung und stärkt Security-Operations-Teams, indem es sie produktiver und agiler macht. AaC stellt in erster Linie die Wiederholbarkeit, Konsistenz und Verwaltbarkeit offensiver Sicherheitsmethoden sicher, die für Sicherheitstests und -validierungen eingesetzt werden. AaC verbessert verschiedene Aspekte des Sicherheitsbetriebs, einschließlich Cloud-Penetrationstests, Red/Purple-Teaming-Übungen und Detection Engineering (Validierung von Erkennungsregeln), die wesentliche Bestandteile für Validierung der Angreiferexposition (AEV) sind. Darüber hinaus ermöglicht AaC Unternehmen die Implementierung des Validierungsschritts eines CTEM-Programms. Wir haben AEV bereits in früheren Blogbeiträgen ausführlich beleuchtet, wie zum Beispiel in diesem hier. 

Integration in Detection-as-Code-Pipelines

AaC ermöglicht die nahtlose Integration von Angreiferemulation in Detection-Engineering-Pipelines. Diese Funktion basiert auf der Mitigant-API, die letztes Jahr veröffentlicht wurde, um die Integration mit verschiedenen Tools zu ermöglichen, die von Sicherheitsteams, CI/CD-Pipelines und anderen Formen der Automatisierung genutzt werden. AaC nutzt GitHub Actions und orientiert sich an Detection-as-Code (DaC), einem Ansatz, der in modernen Verfahren zur Bedrohungserkennung immer mehr an Bedeutung gewinnt, da er verschiedene Softwareentwicklungspraktiken nutzt, um Agilität, Wiederholbarkeit und Wartbarkeit der Logik zur Bedrohungserkennung zu gewährleisten. Mehrere Reifegradmodelle für Detection Engineering (z. B. das Detection Engineering Behavioral Maturity Model von Elastic) betonen die Einführung von DaC und die Integration von Angreiferemulation zur Validierung der Erkennungslogik.

‍

Beispiel-Workflow

Abbildung 2 veranschaulicht einen DaC-Workflow, bei dem AaC integriert ist, um Erkennungslogik durch zwei Ansätze zu validieren: Unit-Tests und Angreifer-Emulation. Der Workflow umfasst die folgenden Schritte:

1. Ein Security-/Detection-Engineer übermittelt Änderungen, z. B. neue oder modifizierte Erkennungslogik.
2. Die eingeführten Änderungen werden in das Code-Repository übertragen, das die Erkennungslogik enthält. Anschließend wird der Bereitstellungsprozess ausgelöst.
3. Nach der erfolgreichen Bereitstellung in der Detection-Rule-Engine wird der Validierungsprozess mit dem entsprechenden Angriff gestartet, der der neu hinzugefügten Erkennungsregel zugeordnet ist.
4. Die von der Detection-Engine überwachte Zielinfrastruktur wird mit dem im vorherigen Schritt (Schritt 3) angegebenen Angriff attackiert.
5. Der Security-/Detection-Engineer erhält den Angriffsstatus, der anzeigt, ob die Detection-Engine den Angriff erfolgreich erkannt hat. Zudem werden Angriffsbelege, wie etwa der entsprechende Cloudtrail-Datensatz, bereitgestellt.
6. Die Angriffsbelege und wichtige Metadaten werden an das Repository für Angriffstelemetrie gesendet. Dies ermöglicht die Nutzung der Telemetrie für Analysen, Datensätze für das KI-Training und andere Zwecke.
7. In manchen Szenarien können Unit-Tests ausreichen. In solchen Fällen können diese Schritte 4 bis 6 ersetzen. Dies wäre jedoch weniger präzise als die Umsetzung dieser Schritte und die Durchführung einer realistischen Validierung an einer bereitgestellten Infrastruktur.

‍

Angriffsplaner

Eine weitere spannende Neuerung der Mitigant Cloud Attack Emulation ist der Angriffsplaner. Diese Funktion bringt die Vorteile der Automatisierung in Sicherheitsteams. Wie viele andere Sicherheitsaufgaben kann auch das Ausführen von Angriffen zu einer repetitiven Routine werden. Durch die Automatisierung dieser Prozesse schafft der Angriffsplaner wertvolle Zeit für Sicherheitsexperten und steigert so Produktivität und Effizienz.

So funktioniert der Angriffsplaner

Der Angriffsplaner ermöglicht es, mehrere Angriffe täglich, wöchentlich oder monatlich auszuführen. Die Angriffe werden automatisch gestartet und Berichte an Mitigant SaaS sowie integrierte Anwendungen wie Slack gesendet. Abbildung 4 zeigt einen Screenshot des Angriffsplaners.

Beispielszenarien für den Angriffsplaner

Es gibt mehrere Gründe, warum Sicherheitsteams den Angriffsplaner nutzen sollten:

1. Die gezielte Terminierung von Angriffen optimiert die Sicherheitsvalidierung von Cloud-Ressourcen, wie etwa Identity and Access Management. Sicherheitsteams können kontinuierlich sicherstellen, dass Produkte wie Identity Threat Detection and Response (ITDR) und Cloud Identity and Entitlement Management (CIEM) Bedrohungen präzise erkennen.
2. Tests außerhalb der Spitzenzeiten, die durch den Angriffsplaner ermöglicht werden, können die Auswirkungen auf Produktionssysteme schnell reduzieren und realistisches Angreiferverhalten emulieren, z. B. durch Tests am Wochenende. Dieser praxisorientierte Ansatz stellt sicher, dass Sicherheitstests den normalen Systembetrieb nicht stören, und sorgt für Sicherheit und ein beruhigendes Gefühl.

Priorisierung von Kubernetes-Schwachstellen

Unternehmen haben Schwierigkeiten, die stetig wachsende Zahl an Schwachstellen zu bewältigen, die von Scan-Tools aufgedeckt werden. Die meisten dieser Tools liefern zwar Kennzahlen (wie den CVSS-Basiswert), diese sind jedoch oft wenig hilfreich, da sie keinen Bezug zur Realität haben. So ist beispielsweise nicht belegt, dass die Priorisierung nach hohen CVSS-Werten die Sicherheit tatsächlich erhöht oder das Risiko erfolgreicher Angriffe senkt. Noch besorgniserregender ist, dass Sicherheitsteams aufgrund der Vielzahl an verbleibenden Schwachstellen unter einer ständigen Alarmmüdigkeit leiden. 

Infolgedessen gewinnen Frameworks zur Schwachstellenpriorisierung an Bedeutung, da sie realistischere Faktoren für die Bewertung bieten. Die Priorisierung von Schwachstellen ist ein wesentlicher Bestandteil von CTEM-Programmen, insbesondere in Schritt 3: Priorisierung. Zwei führende Priorisierungs-Frameworks wurden in Mitigant KSPM integriert, um eine effiziente Bewertung von Schwachstellen zu ermöglichen: der CISA Known Exploited Vulnerability (KEV)-Katalog und das Exploit Prediction Scoring System (EPSS). Werfen wir einen kurzen Blick auf diese beiden Ansätze:

• KEV: Dies ist ein Katalog von Schwachstellen, die aktiv in der Praxis ausgenutzt werden, beispielsweise für Ransomware-Angriffe. Sicherheitsteams können diese Liste nutzen, um Schwachstellen, die sofortiges Handeln erfordern, effizient herauszufiltern. 
• EPSS: Nutzt datengestützte Ansätze, um Wahrscheinlichkeitswerte für die Ausnutzbarkeit von Schwachstellen auf einer Skala von 0 bis 1 (bzw. 0 bis 100 %) zuzuweisen. EPSS verwendet Bedrohungsinformationen aus verschiedenen Quellen, darunter CVE-Daten und Informationen über reale Exploits. 

‍

‍

DefectDojo für ein einheitliches Schwachstellenmanagement 

DefectDojo ist eine bekannte Open-Source-Plattform für das Schwachstellenmanagement, die sich in über 180 Cybersicherheitslösungen integrieren lässt. Sicherheitsteams nutzen sie häufig, um End-to-End-Sicherheitstests, Schwachstellen-Tracking, Deduplizierung, Behebung und Berichterstattung zu erleichtern. Aufgrund von Kundenanfragen können Berichte von Mitigant CSPM und KSPM nun nahtlos an DefectDojo übermittelt werden. Die CSPM-Berichte werden im AWS Security Finding Format (ASFF), während die KSPM-Berichte im Kubescape-Scan- Format bereitgestellt werden, was Kompatibilität und Benutzerfreundlichkeit gewährleistet. 

Dank dieser Integrationen können Sicherheitsteams, die DefectDojo nutzen, Scan-Berichte von Mitigant schnell empfangen und ihr Schwachstellenmanagement zentralisieren (siehe Abbildung 6). Diese Integration ermöglicht es Unternehmen, Schritt 5 (Mobilisierung) des CTEM-Programms umzusetzen. Als nächster Schritt auf unserer Roadmap steht die Integration von AWS Security Hub an, da Mitigant CSPM-Berichte bereits im ASFF-Format vorliegen.

‍

‍

Fazit

Diese neuen Funktionen wurden entwickelt, um unsere Nutzer mit modernen Cybersecurity-Ansätzen auszustatten, die eine unübertroffene Sicherheit und Resilienz ermöglichen. Unternehmen können die Mitigant-Plattform nutzen, um Continuous Threat Exposure Management (CTEM) für Cloud- und Kubernetes-Infrastrukturen schnell zu implementieren. Wir haben noch weitere spannende Funktionen auf unserer Roadmap, darunter die Integration in AWS Security. 

Wir laden Sie ein, Ihre Cloud- und Kubernetes-Sicherheit zu transformieren, indem Sie sich für eine KOSTENLOSE Testversion unter https://www.mitigant.io/en/sign-upanmelden. Um über neue Funktionen auf dem Laufenden zu bleiben, abonnieren Sie unseren Newsletter unter https://www.mitigant.io/en/newsletter. 

‍