Threat Intelligence bleibt das früheste Signal, das Verteidigern zur Verfügung steht – ein geleaktes Zugangsdatum, das in einem Feed auftaucht, belegt den Nutzen dieses Signals. Der Engpass entsteht laut Doron Naim, VP Strategic Alliances bei Pentera, erst danach: beim Umgang mit dem eingegangenen Hinweis.
Sicherheitsteams beschreiben das als Backlog-Problem. Naim berichtet, aus Gesprächen mit den Produktteams von Recorded Future – nach seiner Darstellung dem weltweit größten Anbieter von Threat Intelligence – dasselbe Muster von der anderen Seite zu kennen: Die Menge relevanter Bedrohungsdaten übersteigt die Kapazität der meisten Teams, jeden einzelnen Punkt gegen eine produktive Umgebung zu testen. Begrenzend seien Zeit und spezialisiertes offensives Können, nicht fehlende Daten.
Genau darin sieht der Autor den Grund, warum threat-led penetration testing (TLPT) über eine Compliance-Anforderung in einigen regulierten Branchen hinauswächst und zu einem breiteren Betriebsmodell wird. TLPT setzt bei dem an, was aktuelle Erkenntnisse als tatsächlich laufendes Geschehen beschreiben – ein bestimmtes geleaktes Zugangsdatum, eine bestimmte offengelegte Schwachstelle – und testet direkt darauf, statt einen statischen Rückstand nach festem Kalender abzuarbeiten.
Bei geleakten Zugangsdaten soll TLPT einen belastbaren Nachweis liefern: Ob dieses konkrete Zugangsdatum in dieser konkreten Umgebung derzeit ausnutzbar ist – oder eben nicht. Dort, so Naim, wollen viele Sicherheitsteams ihre begrenzte Testkapazität einsetzen.
Als Beispiel für diese Verschiebung nennt der Autor die Zusammenarbeit seines Arbeitgebers Pentera mit Recorded Future. Die Integration ist so angelegt, dass ein Bedrohungssignal einen automatisierten Validierungslauf gegen die reale Angriffsfläche einer Organisation auslöst – unabhängig davon, ob das Signal von Recorded Future, von Penteras eigener Plattform oder aus einer anderen Quelle stammt. Die erste darauf aufbauende Funktion verbindet die Erkenntnisse von Recorded Future zu geleakten Zugangsdaten mit automatisierten Tests der externen Angriffsfläche. Ziel ist, zu bestätigen, welche offengelegten Zugangsdaten ein Angreifer in einer bestimmten Umgebung tatsächlich nutzen kann – anstatt alle gleichermaßen als dringend zu markieren.
Einer der Kunden aus der frühen Testphase kommt im Beitrag zu Wort. Joseph Gothelf, Vice President Cybersecurity bei Wyndham Hotels & Resorts, erklärt: „Die Zusammenführung von Threat Intelligence und Security Validation ist eine der wichtigsten Veränderungen in unserem Sicherheitsprogramm. Zu wissen, was kommt, ist nur die halbe Antwort. Erst die Möglichkeit, das in unserer eigenen Umgebung und mit Geschwindigkeit zu testen, schafft echte Resilienz im KI-Zeitalter.“
Der Feed von Recorded Future weist ein geleaktes Zugangsdatum so aus, wie er es für jeden Kunden tun würde. Ob dieses Zugangsdatum gegen eine bestimmte Umgebung noch funktioniert, können die meisten Sicherheitsprogramme nach Naims Einschätzung weiterhin nicht schnell beantworten – unabhängig davon, welche Anbieter am Aufspüren oder Testen beteiligt sind. Diese Lücke würde er mit Budget adressieren, bevor ein weiterer Intelligence-Feed hinzukommt: nicht mehr wissen, sondern belegen, was bereits bekannt ist.
Zum Thema verweist der Beitrag auf das Webinar „Threat Intel’ Just Got Teeth, TLPT Goes Live“ am 29. September.