Искусственный интеллект изменил проблему распространения информации. Соответственно, должна измениться и процедура проверки.

[admin]

Сейчас вокруг ИИ и кибербезопасности много шума. На самом деле все гораздо проще, хотя зачастую это теряется в суматохе. Обнаружение уязвимостей происходит быстрее и в гораздо больших масштабах, в то время как защитникам по-прежнему приходится выяснять, какие из обнаруженных уязвимостей действительно заслуживают принятия мер.


В первой половине 2026 года было опубликовано целых 35 853 CVE, что примерно на 49% больше, чем годом ранее. Однако за тот же период было зарегистрировано только 495 случаев эксплуатации уязвимостей, а 116 уже подвергались атакам в день их публикации. Между тем, собственные данные Anthropic показывают, что модели класса Mythos выявили 26 153 потенциальных уязвимости в программном обеспечении с открытым исходным кодом, и только 421 из них были исправлены в исходном коде.


Этот небольшой набор уязвимостей, подвергшихся эксплуатации, является очень важным моментом. Он говорит специалистам по защите о том, что рассматривать каждую уязвимость с высоким или критическим рейтингом CVSS как чрезвычайную ситуацию не только невозможно, но и является неправильной моделью . Критически важная задача, стоящая перед командами безопасности, — решить, какие уязвимости и на каких активах требуют немедленных действий , особенно по мере роста числа обнаруженных уязвимостей и сокращения разрыва между раскрытием и использованием.

Одних только стандартов CVSS недостаточно, чтобы определить, что действительно важно в вашей среде. ​

Одна и та же уязвимость CVE может затрагивать сотни активов, но последствия для них редко бывают одинаковыми . Некоторые экземпляры недоступны. Некоторые находятся за средствами контроля, которые прерывают методы, необходимые для эксплуатации. Другие уязвимы в критически важных для бизнеса системах, где предотвращение неэффективно, и обнаружение никогда не срабатывает.


Стандарт CVSS предоставляет базовый уровень серьезности проблем. Он не может дать контекст, определяющий влияние на вашу организацию.


Именно поэтому специалистам по защите необходимы данные из собственной среды, чтобы выяснить, действительно ли уязвимость может быть использована злоумышленниками, какие активы она затрагивает и являются ли эти активы доступными и важными для бизнеса. По мере роста количества уязвимостей это различие становится все более важным.

Автоматизированное тестирование на проникновение само по себе не может подтвердить каждую уязвимость. ​

Помимо оценок серьезности уязвимостей, автоматизированное тестирование на проникновение предоставляет одни из самых убедительных доказательств, которые можно собрать. Оно может запускать реальные эксплойты, доказывать, что уязвимость может быть использована в вашей среде, объединять уязвимости, учетные данные и неправильные настройки в цепочки атак и показывать, насколько далеко злоумышленник может продвинуться в вашей сети.

Однако на практике охват остается ограниченным. Исследование Omdia показало, что, хотя 95% организаций считают тестирование на проникновение приоритетной задачей, ежегодно тестируется лишь 32% от средней площади уязвимости. Агентные и автоматизированные подходы могут расширить этот охват, но они не устраняют всех ограничений, связанных с эксплуатацией уязвимостей в реальных условиях .


Для эксплуатации уязвимостей на основе CVE необходимо наличие работающего эксплойта, а также безопасность целевого объекта для тестирования. Вновь обнаруженные CVE могут не иметь работающего эксплойта, а тестирование эксплойта на критически важных, ограниченных и изолированных от сети ресурсах может быть просто невозможно. Даже если автоматизированный пентест не может безопасно запустить такие уязвимости, для таких случаев всё равно необходимо получить заключение о возможности их эксплуатации.


Это тот пробел, который автоматизированное тестирование на проникновение не может заполнить самостоятельно. Это необходимая часть проверки , но она не может подтвердить каждую уязвимость .

Все за одного. Один за всех. ​

Вот здесь все части пазла складываются воедино.

• Проверка на возможность эксплуатации определяет, действительно ли уязвимость может быть использована в вашей среде, включая CVE, для которых нет работающего эксплойта, и ресурсы, к которым действующая эксплойт-система не может безопасно получить доступ.
• Проверка эффективности мер безопасности позволяет определить, действительно ли ваши средства предотвращения и обнаружения блокируют, обнаруживают или пропускают атаку.
• В рамках тестирования на проникновение с помощью Agentic безопасно запускаются реальные эксплойты и цепочки уязвимостей, чтобы показать, насколько далеко злоумышленник может продвинуться в вашей конкретной среде.

Эти методы отвечают на разные вопросы в разных условиях воздействия. Готовность к использованию Mythos требует объединения всех трех возможностей на одной платформе с одной целью: подтверждение воздействия в вашей уникальной среде. Это не означает, что вы всегда должны использовать все три метода для каждого случая воздействия. Цель состоит в том, чтобы применять каждый метод там, где он наиболее эффективен , и позволить полученным данным способствовать одному и тому же процессу принятия решений .


Эти три ключевых элемента становятся еще более эффективными, когда работают как единая программа. Обнаружение уязвимости может запустить необходимый этап проверки , новые доказательства могут изменить приоритет устранения проблемы , а исправления могут быть повторно проверены, вместо того чтобы исчезнуть в закрытом тикете. Это позволяет поддерживать связь между уязвимостями, эффективностью контроля и доказательствами пути атаки, вместо того чтобы оставлять их в отдельных рабочих процессах.


Именно на это указывает и майский аналитический обзор Gartner® : на проверенные пути атак, реагирование на основе принятия решений и снижение уязвимости, интегрированные в операционные рабочие процессы.

Источник