Når testing møter overvåkning

Pentesting og tilgang på robuste cyber security tjenester med overvåking, varsling og respons løser ulike oppgaver. Benytter du deg av både testing og overvåking får du best effekt. Her er hva du trenger å vite.

Datalekkasjer handler sjelden om ett enkelt øyeblikk. De handler om alt som skjedde i tidsrommet mellom første kompromittering og det tidspunktet noen faktisk la merke til det. Det er der det avgjøres.

Når sikkerhetshendelser omtales i mediene, er fokuset som regel på omfang: terabyte eksfiltrert data, antall berørte brukere, estimerte kostnader. Det er forståelig – men det er ikke der de viktige læringspunktene ligger.

Det viktigere spørsmålet er: Hva skjedde i ukene og månedene før lekkasjen ble kjent?

Svar på det spørsmålet avhenger i stor grad av to ting: om noen har lett etter svakhetene før en angriper fant dem, og om noen faktisk overvåket det som skjedde mens angrepet pågikk.

To roller i samme forsvar

Pentest og Cyber Defense Services (SOC) er ikke konkurrerende tiltak. De svarer på to fundamentalt forskjellige spørsmål. Her går vi mer i dybden:

Pentest gir deg et øyeblikksbilde – en grundig gjennomgang av hva som kan utnyttes akkurat nå. SOC gir deg kontinuitet – løpende innsikt i hva som faktisk foregår i miljøet over tid. Begge er nødvendige. Ingen erstatter den andre.

Pentest: strukturert leting etter det du ikke ser selv

De fleste norske virksomheter har ikke ett sikkerhetsproblem – de har mange, små, ukjente. Ikke fordi noen har gjort noe galt, men fordi kompleksiteten i moderne IT-miljøer gjør det nesten umulig å ha full oversikt uten systematisk testing.

En godt gjennomført penetrasjonstest simulerer hvordan en reell angriper tenker: hvilken informasjon er tilgjengelig, hvilke innganger finnes, og hvor langt det faktisk er mulig å komme. Resultatet er ikke bare en liste med sårbarheter – det er en prioritert oversikt over hva som utgjør faktisk risiko for din virksomhet.

Det gjør det mulig å handle målrettet fremfor å bruke ressurser på tiltak som ikke gir reell effekt. De vanligste feilene man gjør med pentesting kan du lese mer om her!

De fleste angrep utnytter ikke nulldagssårbarheter eller sofistikerte teknikker. De utnytter svakheter som allerede er kjent – men som ikke er adressert. Pentest handler om å finne dem før noen andre gjør det.

Les mer om pentesting her.

Cyber Defense: deteksjon er ikke en teknologi – det er en funksjon

Selv med grundig testing og gode tekniske tiltak vil ingen miljøer være immune. Angripere tilpasser seg. Nye sårbarheter oppstår. Ansatte gjør feil. Konfigurasjonsdrift skjer.

Det er her et Security Operations Center skiller seg fra tradisjonell sikkerhetsovervåkning. Et SOC er ikke et dashbord som lyser rødt når noe er galt. Det er en analytisk funksjon – mennesker, prosesser og verktøy som kontinuerlig jobber med å forstå hva som er normalt i ditt miljø, og hva som avviker fra det.

• 194 dager er gjennomsnittlig tid en angriper er i miljøet før deteksjon
• 74% av datainnbrudd skyldes kompromitterte tilgangsrettigheter
• 2–3 × høyere skadeomfang ved sen oppdagelse sammenlignet med tidlig deteksjon

Forskjellen mellom en kontrollert hendelse og en alvorlig lekkasje handler i stor grad om tid: hvor raskt en anomali oppdages, isoleres og håndteres. Det er ingen automatisk prosess – det krever en operativ kapasitet som er aktiv, ikke reaktiv.

Er dere klare for å utforske SOC? Sjekk ut vår sjekkliste og ta prosessen et steg videre!

Lag på lag: innsikt, deteksjon og læring

Den praktiske verdien av å kombinere pentest og SOC er større enn summen av delene. Penetrasjonstesten gir deg kunnskap om svakheter du kan adressere. SOC-en gir deg deteksjon av aktivitet du ikke har sett for deg på forhånd. Og funnene fra begge bidrar til en kontinuerlig forbedring av sikkerhetsarkitekturen.

Et konkret eksempel: En pentest avdekker at en tjenestekonto har for vide tilganger og kan misbrukes til lateral bevegelse. SOC-en derimot, overvåker all kontoaktivitet kontinuerlig og reagerer på avvik, samtidig som den kan gi ekstra målrettet overvåkning av den spesifikke tjenestekontoen. Dermed er svakheten kjent, adressert og under aktiv overvåkning inntil den kan lukkes permanent.

Med andre ord, et SOC monitorerer kontinuerlig, og reagerer på kontomisbruk uten at du må spesifikt må be om at dette må gjøres.

Det er slik moderne sikkerhet fungerer i praksis: ikke som et prosjekt med start og slutt, men som en funksjon som styrkes over tid.

Fire spørsmål å starte med

01 Når testet vi sist de faktiske angrepsflattene i miljøet vårt – ikke bare perimeteringene?

02 Hvem har ansvar for den kontinuerlige sikkerhetsovervåkningen av miljøet, og hva er faktisk responstid ved avvik?

03 I mange miljøer forventer man near-real time detection. Om det gjelder for dere så vurder: Ville vi oppdaget en aktiv inntrenger innen 1 time – og hva er beredskapen hvis svaret er nei?

04 Bruker vi resultater fra testing aktivt til å forbedre deteksjonskonfigurasjon og respons?

Sikkerhet handler ikke om å eliminere usikkerhet – det er ikke mulig. Det handler om å redusere konsekvensene når noe skjer, og å øke sannsynligheten for at du er den første til å oppdage det.

Vil du vite hvor virksomheten din faktisk står?

I NetNordic starter vi gjerne med en uforpliktende gjennomgang av dagens testdekning og overvåkningskapasitet – og hva et neste steg kan se ut for dere.Ta kontakt med oss – vi ser frem til en kartlegging av deres muligheter for en tryggere og mer robust drift og virksomhet.