Khi báo cáo Pentest tự động ‘sạch bóng’ lỗi: Đừng vội mừng

Khi chạy các công cụ pentest tự động trong thời gian dài, bạn có thể nhận thấy số lượng lỗ hổng tìm thấy ngày càng giảm. Đến một thời điểm, báo cáo trở nên “ổn định”. Tuy nhiên, việc nhầm lẫn giữa sự ổn định của báo cáo và sự an toàn của hệ thống là một cái bẫy nguy hiểm mà nhiều nhà quản lý thường mắc phải.

Trong một buổi hội thảo chuyên sâu gần đây, các chuyên gia từ Picus Security đã chỉ ra rằng pentest tự động thường bị hiểu nhầm là giải pháp xác thực bảo mật toàn diện. Thực tế, nó chỉ là một phần nhỏ trong bức tranh lớn. Picus phân loại xác thực bảo mật thành sáu bề mặt, trong đó pentest tự động chỉ tập trung vào một khía cạnh duy nhất: attack path (đường tấn công) – khả năng kẻ tấn công di chuyển trong môi trường của bạn.

Những khoảng trống mà công cụ thường bỏ qua:

• Cấu hình Cloud: Các thiết lập sai lệch trên nền tảng đám mây.
• Kiểm soát định danh (Identity controls): Các lỗ hổng trong quản lý quyền truy cập.
• Quy tắc phát hiện (Detection rules): Khả năng của SIEM hoặc EDR trong việc nhận diện hành vi bất thường.
• AI guardrails: Các rào cản bảo mật cho hệ thống AI.

Một vấn đề cốt lõi là khi công cụ thực hiện exploit một kỹ thuật, nó thường không cho bạn biết liệu hệ thống SIEM có kích hoạt cảnh báo hay EDR có chặn được hành động đó hay không. Việc chứng minh một đường tấn công tồn tại không đồng nghĩa với việc bạn đã có khả năng phát hiện hoặc ngăn chặn kẻ tấn công thực sự.

Phân biệt giữa BAS và Pentest tự động

Giải pháp Breach and Attack Simulation (BAS) tập trung vào việc kiểm tra phản ứng của các lớp kiểm soát (được chặn, được phát hiện, hay bị bỏ lỡ). Trong khi đó, pentest tự động tập trung vào việc kẻ tấn công có thể đi bao xa thông qua một lộ trình khai thác. Việc kết hợp cả hai giúp đội ngũ an ninh mạng ưu tiên xử lý các rủi ro thực tế thay vì chỉ dựa vào danh sách các lỗ hổng đơn thuần.

Việc hiểu rõ giới hạn của các công cụ tự động là bước đầu tiên để xây dựng một chương trình xác thực bảo mật thực sự hiệu quả, thay vì chỉ dựa vào những con số “đẹp” trên báo cáo định kỳ.

Nguồn tham khảo: The Hacker News