Hvordan teste cybersikkerhet: De vanligste feilene når du tester din digitale sikkerhet

Mange virksomheter har investert tungt i cybersikkerhet de siste årene. Brannmurer, EDR, overvåking, SOC-tjenester,  og opplæring rundt cybersikkerhet. Listen er lang og blir ofte lengre for hvert år. Likevel skjer det fortsatt brudd, selv i bedrifter som føler at de har gjort alt riktig. En av årsakene er overraskende vanlig: Virksomheten har ikke testet cybersikkerheten på en måte som gjenspeiler hvordan angrep fungerer i virkeligheten. 

Vi i NetNordic møter ofte selskaper som har sterke sikkerhetsambisjoner og gode verktøy på plass, men som likevel mangler én ting: Et klart, målbart svar på et enkelt spørsmål: Hva ville egentlig skje hvis noen prøvde å angripe oss i dag?

Det er her penetrasjonstesting kommer inn i bildet. Gjort på riktig måte gir det et klart overblikk over noe som er vanskelig å oppnå gjennom retningslinjer og dashboards alene. Et realistisk bilde av risiko, konsekvens, og anbefalte prioriteringer på løsninger. Dermed også en måte å løse dem på. 

Hva det egentlig betyr å teste cybersikkerhet

Cybersikkerhetstesting kan bety mange ting. Sårbarhetsskanninger. Sikkerhetsrevisjoner. Konfigurasjonsgjennomganger. Simuleringer. Alle er verdifulle på hver sin måte. Men penetrasjonstesting har et annet perspektiv. 

En penetrasjonstest er en kontrollert simulering av et reelt cyberangrep, utført av spesialister som innehar den samme kompetansen som angriperne. Poenget er ikke å lage en lang teknisk rapport. Det er å forstå hva en angriper kan gjøre hvis de angriper organisasjonen din akkurat nå. Penetrasjonstesting tar deg fra antatt risiko til faktisk risiko. 

Med andre ord kobler den tekniske svakheter til forretningsmessige konsekvenser. Og det er det som gjør den så verdifull. Den påpeker ikke bare teoretiske svakheter, den finner de faktisk utnyttbare angrepsstiene en angriper kan slippe gjennom.

Compliance er viktig. Regelverk og rammeverk har bidratt til å fremme sikkerhetsmodenhet, spesielt for virksomheter som leverer kritiske tjenester eller håndterer sensitiv informasjon. Men det er risikabelt å anta at å være compliant betyr å være sikker.

Compliance forteller deg om du har de riktige kontrollene og dokumentasjonen på plass. Penetrasjonstesting forteller deg om disse kontrollene faktisk fungerer når noen prøver å omgå dem. Og den lille forskjellen er viktig.

I praksis skjer mange datainnbrudd i virksomheter som på papiret burde vært beskyttetbeskyttet, fordi angripere leter etter svakheter i konfigurasjonen og implementasjonen av infrastrukturen. De leter etter svakheter som kan kombineres og feilkonfigurasjoner som har sneket seg inn gjennom endringer.

Med andre ord: Hvis compliance er grunnlaget, er penetrasjonstesting verifiseringen.

Sårbarhetsskanning spiller en viktig rolle i cybersikkerhet. Det hjelper deg med å identifisere kjente sårbarheter (for eksempel CVE-er), manglende oppdateringer, utdatert software og feilkonfigurasjoner.

Men skanning er ikke det samme som penetrasjonstesting. Mens en skanning kan vise deg hva som ser ut som et potensielt problem, kan en penetrasjonstest vise deg om det potensielle problemet faktisk kan utnyttes, og hva som skjer hvis det blir utnyttet. Begge deler er nyttige, men de tjener svært forskjellige formål. Og hvis du virkelig vilkunne stole på cybersikkerheten din, må du ha klarhet i hva hver aktivitet beviser og ikke beviser.

En penetrasjonstest mister mye av verdien uten et tydelig scope og formål bak den. Derfor bør det første trinnet alltid være å definere hva som er viktigst, for eksempel: 

• Hvilke systemer er avgjørende for virksomheten din?
• Hva ville være mest skadelig å miste tilgangen til?
• Hvor behandles eller lagres sensitive data?
• Hvilke tjenester er avgjørende for den daglige driften?

Uten slike vurderinger kan testingen bli enten for overfladisk eller for bred. Og i begge tilfeller ender organisasjonen opp med funn som kan være vanskelige å handle på. Vi i NetNordic ser ofte at problemer under planleggingen tar en av disse formene: 

Teste «noe» i stedet for det som er viktig

Noen virksomheter planlegger en pentest fordi det føles som det riktige å gjøre, eller på grunn av krav og reguleringer. I slike tilfeller kan testen ofte ende opp med å rette seg mot delen av infrastrukturen man vet ser best ut, ikke den delen som er mest sårbar for angrep. 

Undervurdering av hybride IT-miljøer

Selv virksomheter som prioriterer skyen, er fortsatt avhengige av kritiske tjenester. Identitets- og tilgangskontroll, endepunkter, SaaS-verktøy, integrasjoner og i mange tilfeller lokal infrastruktur. Innføringen av skytjenester endrer landskapet, men fjerner ikke risikoen, den flytter den bare. 

Manglende avhengigheter og tredjeparter

Sikkerhetsstatusen din defineres ikke bare av det du kontrollerer internt. Leverandører, underleverandører, outsourcede tjenester og spesialtilpassede systemer blir ofte blindsoner. Jo mer komplekst økosystemet er, desto viktigere er det å inkludere disse avhengighetene i teststrategien.

Et sterkt scope er forretningsdrevet, og kan fokusere på:

• CRM-systemer og kundedata
• HR-plattformer og rollebasert tilgang
• Systemer som støtter produksjons- og driftsprosesser
• E-post og kontorapplikasjoner
• Kritiske infrastrukturkomponenter (der det er relevant)
  

Målet er ikke å teste alt på en gang. Målet er å teste det som er viktigst først. Og ideelt sett å fortsette å teste for å være beskyttet selv gjennom interne eller eksterne endringer.

Tradisjonell penetrasjonstesting utføres ofte en gang i året. Noen ganger enda sjeldnere. Denne tilnærmingen er forståelig, siden det er slik penetrasjonstesting historisk sett har blitt gjennomført. Men det passer ikke nødvendigvis med hvordan moderne IT-miljøer utvikler seg. 

I dag er de fleste virksomheter i stadig endring. Endringer kan være små eller store, og kan for eksempel være:

• Nye SaaS-verktøy blir introdusert
• Skykonfigurasjoner justeres
• Brukere og rettigheter skifter
• Nye leverandører er tatt i bruk
• Systemene blir oppdatert, oppgradert, erstattet eller integrert.
  

Samtidig opererer angripere kontinuerlig. De venter ikke på det årlige testvinduet ditt, og de kan til og med jobbe i uker eller måneder for å finne en måte å omgå sikkerhetstiltakene dine på.

Det er imidlertid viktig å huske at en penetrasjonstest er et øyeblikksbilde. Den viser hvordan ting så ut på det aktuelle tidspunktet. Utfordringen er at miljøet kan se annerledes ut en måned senere. Derfor går stadig flere organisasjoner over til kontinuerlig validering, hvor testing blir en del av sikkerhetsdriften i stedet for en årlig milepæl.

Angripere lener seg sjelden på én enkelt sårbarhet. Faktisk skjer de fleste vellykkede angrep fordi flere svakheter kombineres: 

• Feilkonfigurasjoner
• Eksponerte tjenester
• Svake eller gjenbrukte påloggingsopplysninger
• Brukerkontoer med for mange tillatelser
• Mangler i overvåkingsdekningen
• Utilstrekkelig segmentering
• Menneskelige feil og sosial manipulering
  

Penetrasjonstesting er verdifullt fordi det gjenspeiler denne virkeligheten. Det viser hva som skjer når flere svakheter kan kobles sammen til en faktisk kompromittering.

Avhengig av omfanget kan en test også omfatte menneskebaserte angrepsmetoder som phishing-simuleringer eller fysisk inntrengning, fordi den raskeste veien inn i mange tilfeller fortsatt er gjennom mennesker. 

For ledere og styremedlemmer er dette en viktig endring i tankegangen: Cybersikkerhet handler ikke bare om tekniske kontroller. Det handler også i stor grad om mennesker, prosesser og måten virksomheten reagerer på når det blir lagt press på den. 

En vanlig antagelse er at organisasjonen er beskyttet hvis den har de riktige verktøyene. Brannmurer, EDR, SOC-overvåking, identitetskontroll og varsling er alle viktige elementer. Men verktøyene kan fortsatt ha svakheter hvis de ikke er riktig konfigurert, vedlikeholdt over tid og validert mot reelle angrepsscenarier.

I mange organisasjoner kan det oppstå blindsoner fordi:

• Kompleksiteten øker med størrelsen
• Synligheten er fragmentert mellom team og leverandører
• Outsourcede miljøer reduserer direkte kontroll
• Spesialtilpassede systemer følger ikke standard sikkerhetsmønstre.
• Forsyningskjeden blir et reelt angrepsmål
  

Pentesting er en praktisk måte å validere om forsvarssystemene dine fungerer som et komplett system, ikke bare som en samling produkter.

Gå enda mer i dybden om Pentesting her!

Hvordan ser en penetrasjonstest av høy kvalitet ut?

En god penetrasjonstest skal ikke bare gi resultater. Den skal gi forståelse og prioriteringer. Og viktigst av alt, den skal gi en tydelig oppfatning av det faktiske risikobildet til virksomheten. 

Og til slutt, testen bør være fleksibel og basert på god kommunikasjonsflyt. Sikkerhet er ikke noe du kan outsource og glemme. Det fungerer best når organisasjonen og sikkerhetspartneren samarbeider som et team. Teamet som ufører testen bør tilrettelegge for at man kan utføre utbedringer underveis, finne quick wins, og bygge intern kompetanse. 

Årlig penetrasjonstesting vs kontinuerlig penetrasjonstesting: Hvorfor de fleste virksomheter trenger begge deler

Enkeltstående, større penetrasjonstester er fortsatt gode. Men den typen testing har også sine begrensninger. Den er vanligvis tidsbegrenset, periodisk og vanskelig å gjenta med høy frekvens. 

Dette er grunnen til at mange virksomheter kombinerer enkeltstående, større tester med kontinuerlige valideringsmetoder. Mens en årlig pentest gir dybde, kreativitet og skreddersydd undersøkelse, bidrar kontinuerlig validering til å sikre at sikkerhetskontrollene fortsatt fungerer når miljøene endres. 

Den mest effektive tilnærmingen er ofte en hybridmodell: Kontinuerlig sikkerhet for daglig trygghet og periodiske manuelle tester for dypere vurdering, systemer med høy risiko og krav til compliance. 

Test cybersikkerhet for å redusere usikkerhet – ikke bare for å krysse av i en boks

Penetrasjonstesting handler ikke om å bevise at en virksomhet har sikkerhetsbrister og svakheter. Det handler om å fjerne usikkerhet.

Evnen til å teste cybersikkerhet kontinuerlig og realistisk er for stadig flere aktører en sentral del av moderne sikkerhetsledelse. For til syvende og sist kommer tillit ikke av å ha kontrolltiltak på plass.

Det kommer av å vite at de tiltakene og systemene man har fått på plass, faktisk fungerer.

Les mer om våre cybersikkerhetssaker her.