Что такое агентное тестирование на проникновение? Что оно доказывает и где его действие прекращается.

[admin]

Если вы сейчас оцениваете решение для тестирования на проникновение с помощью агентов, вы, вероятно, уже не раз слышали одно и то же: направьте его на цель, и оно самостоятельно обнаружит, подтвердит и использует пути атаки, как это сделал бы настоящий злоумышленник.

К этому обещанию стоит отнестись серьезно. Также стоит проверить его на прочность, и три вопроса помогут в этом.

1. Что именно может доказать эта оценка?
2. Когда будет представлено это доказательство? И,
3. Какую часть окружающей вас среды охватывает доказательство?

Большинство оценок останавливаются на первом этапе. Однако именно на втором и третьем этапах решается судьба программ валидации — успех или провал.

Несколько слов о нашей текущей ситуации: Picus разрабатывает и продает решения для автономного тестирования на проникновение . Именно поэтому мы можем точно определить, где заканчиваются эти возможности, поскольку ограничения касаются самого метода, а не реализации какого-либо поставщика, и никакой план развития не сможет их снять.

Задача в четырех числах ​

Четыре показателя этого года объясняют, почему второй и третий вопросы теперь имеют больший вес, чем первый.

• Объём: 35 364 уязвимости CVE, обнаруженные в первой половине 2026 года, что на 49,5% больше, чем годом ранее.
• Приоритизация: из примерно 39 600 уязвимостей CVE, опубликованных к августу, только 95 были подтверждены как эксплуатируемые в реальных условиях, поэтому приоритизация по степени серьезности фактически преследует не тот список.
• Скорость: среднее время от раскрытия информации до начала эксплуатации сократилось с 21,5 дня в 2025 году до 8 часов в 2026 году.
• Производительность: из более чем 26 000 уязвимостей, выявленных с помощью систем обнаружения на основе ИИ , только 421 были устранены в исходном коде.

Невозможно исправить ошибки, запланировать их или предсказать их появление. Проверка на основе имеющихся данных проводится в течение нескольких часов после внесения изменений, которые этого потребовали. Однако ежегодное тестирование на проникновение оставляет до 365 дней «слепого окна» между внесенными изменениями и следующим тестированием , а еженедельные автоматизированные запуски по-прежнему оставляют разрыв до семи дней .

При восьмичасовом окне эксплуатации обе стороны проигрывают.

Компания Gartner официально пришла к выводу: её модель непрерывного наступательного тестирования безопасности (COST) заменяет оценку на определённый момент времени тестированием, основанным на триггерах и уровнях риска, которое проводится в рамках временных рамок, соответствующих уровню риска , часто в минуты или часы. При этом предполагается, что к 2028 году более 60% корпоративных программ тестирования на проникновение будут работать в режиме непрерывной проверки. Ключевой вопрос больше не в том, «провели ли мы тестирование?», а в том, «насколько быстро мы подтверждаем наличие новых уязвимостей?».

Агентное тестирование на проникновение — это наиболее важный ответ на этот вопрос.

Два доказательства, которые дает агентное тестирование на проникновение ​

Каждое тестирование на проникновение призвано ответить на один вопрос: можно ли использовать уязвимость? Агентное тестирование на проникновение отвечает на него двумя важными доказательствами. Оно доказывает, можно ли использовать отдельные уязвимости , подтверждая это безопасным выполнением эксплойта, а не выводя это из информации о версии. И оно доказывает цепочку атак: когда реальные эксплойты представляют собой цепочку от первоначального доступа до повышения привилегий и горизонтального перемещения, а подтвержденный путь к критически важному ресурсу представляется в качестве доказательства.

На уровне достижимых ресурсов ничто не убеждает сильнее, а поскольку каждое исправление можно повторно проверить с помощью еще одного запуска, устранение неполадок становится скорее оправданным, чем просто надеждой .

Ключевая фраза здесь — «на какие активы оно распространяется». Доказательство возможности эксплуатации — это первый вопрос, на который дается ответ ; эта фраза ненавязчиво признает два других: когда появятся доказательства и какую часть имущества оно охватывает.

Разница в скорости – момент времени ​

Проведение агентного пентестинга на 250 000 конечных точек занимает несколько недель . Это значительное улучшение по сравнению с кварталом, необходимым для тестирования человеком , но это все еще неподходящая единица измерения времени.

Тщательное агентное тестирование на проникновение работает шаг за шагом: закрепление, перечисление, изменение направления, цепочка, доказательство. Повторите это на четверти миллиона конечных точек, и охват будет расширяться, в то время как окружающая среда будет меняться. К моменту завершения значительная часть результатов будет описывать среду, которой больше не существует.

Несколько недель — это быстро для пентеста, но за восемь часов — это медленно . Одного лишь глубокого сканирования недостаточно, чтобы преодолеть этот разрыв.

Пробел в страховом покрытии – «насколько» ​

Пробел в покрытии имеет большее значение. Эксплуатация уязвимостей в реальном времени может быть направлена только на часть среды. Критически важные для бизнеса производственные системы, очень большие сегменты и ограниченные или изолированные зоны недоступны для реальных эксплойтов по соображениям безопасности , стабильности и доступа . Тысячи CVE, для которых нет работающего эксплойта, не дают инструменту возможности для запуска. И окно между раскрытием уязвимости и первым эксплойтом, когда, согласно показателям скорости, начинается вся гонка, — это именно тот момент, когда инструмент, зависящий от эксплойтов, имеет наименьшее влияние.

В итоге, автономное тестирование на проникновение выявляет, возможно, от 20 до 30% реальных уязвимостей в типичной компании. Использование второго или третьего инструмента не меняет ситуацию, поскольку все инструменты в этой категории используют один и тот же метод, а значит, и один и тот же предел. Частичное покрытие не уменьшает неопределенность. Оно просто переносит её на те ресурсы, которые вы пропустили, и злоумышленнику достаточно пропустить только один из этих ресурсов, чтобы всё пошло наперекосяк.

Изменение выбирает метод проверки. ​

Проблема недостаточного охвата устраняется аналогичным образом: пусть изменение, запустившее тест, выберет тот метод, который даст наиболее быстрый и безопасный ответ.

В вашей системе обнаруживается уязвимость. Ключевой вопрос: «Можно ли её использовать в нашей среде?» Проверка возможности эксплуатации отвечает на этот вопрос в течение нескольких часов, охватывая всю затронутую область, путем тестирования методов злоумышленника, от которых зависит уязвимость, без необходимости использования работающего эксплойта. Это отвечает на наиболее часто слышимое возражение: «Разве пентестинг уже не охватывает это?» Да, но только там, где возможно выполнение в реальном времени; в отличие от этого, проверка возможности эксплуатации охватывает большую часть инфраструктуры и большую часть списка CVE.

Обнаружена новая кампания или изменены параметры безопасности. Вопрос в том, «можно ли это остановить?». Проверка параметров безопасности имитирует методы кампании на вашей действующей системе защиты и показывает, удалось ли предотвратить, обнаружить или пропустить каждый из них.

Произошли изменения в инфраструктуре. Главный вопрос: «Открыло ли это новый путь для атаки?» Агентное тестирование на проникновение подтверждает это с помощью цепочек доказательств в реальном времени — то, что может сделать только оно.

Три метода, одна модель результатов ​

Один из уроков недавней истории: управление уязвимостями раздробилось на отдельные очаги дублирующихся результатов и противоречащих друг другу приоритетов, и проверка восстановит эти очаги, если каждый метод будет иметь собственную консоль и очередь. Все три метода должны передавать данные в одну общую модель результатов , дедуплицированную, подкрепленную доказательствами и учитывающую активы, с одним списком невыполненных задач и одним состоянием закрытия для каждого случая уязвимости.

Именно на этом принципе платформа Picus построена , в которой автономное тестирование на проникновение , проверка уязвимостей и моделирование взломов и атак работают на основе общих данных.

В условиях реального времени: обнаружена критическая уязвимость CVE .

• В первый час он пополняется информацией об угрозах.
• На втором часу проводится картирование затронутых объектов, их критичности и окружающих элементов управления.
• На четвертом часе проводится оценка уязвимости каждого затронутого актива, подтверждаются пути атаки там, где тестирование в реальных условиях безопасно, и проверяются средства контроля на соответствие соответствующим методам.
• На шестой час были приняты меры по снижению рисков с низкой степенью опасности, остальные были переданы владельцам, и каждое исправление было повторно проверено перед закрытием.

Источник