State of Pentesting Report 2025 – свежее ежегодное исследование от компании Cobalt, специализирующейся на проведении пентестов, и исследовательского центра Cyentia Institute📣

Из интересного:
➡️Наблюдается существенный разрыв между установленными в организациях SLA для устранения уязвимостей и реальным временем устранения. Медианное время устранения составляет 67 дней для всех результатов пентестов, что в 5 раз больше, чем заявленные SLA (в среднем 14 дней на устранение критов).
➡️Треть всех результатов пентеста AI/LLM оцениваются как критичные, что в 2,5 раза выше общего показателя.
➡️Время устранения серьезных* уязвимостей сократилось со 112 дней в 2017 году до 37 дней в 2024 году, но при этом показатель устранения таких уязвимостей по итогам пентестов достигает лишь 69%, т.е. почти треть не исправляется вовсе🤷‍♂️
➡️Небольшие организации (до 100 сотрудников) устраняют серьезные уязвимости значительно быстрее, чем крупные организации (от 5000 сотрудников) — MTTR отличается почти в 2.5 раза.
➡️Самый высокий MTTR наблюдается в организациях сфер производства и образования.
➡️Анализ выживаемости (время устранения половины уязвимостей) дает более реалистичную картину устранения уязвимостей по сравнению с MTTR.
➡️Значение метрики анализа выживаемости достигает 104 дня для серьезных уязвимостей и 3,2 года для всех уязвимостей. Все эти значения значительно превышают установленные SLA.
➡️Server Security Misconfiguration, Missing Access Control, XSS — самые распространенные уязвимости по результатам пентестов веб-приложений и API. В мобильных приложениях — Mobile/Server Security Misconfiguration и Lack of Binary Hardening.
Наиболее распространенными среди AI/LLM-технологий и инструментов являются SQL Injection, Prompt Injection, Insecure Output Handling.

* Под "серьезной" уязвимостью понимается уязвимость с высокой вероятностью эксплуатации и высоким уровнем влияния на технические и бизнес-операции.

#vm #pentest #vulnerability #mttr #ai #llm

Gartner пишет:

Недостаточно просто купить средства защиты, их еще нужно постоянно настраивать, и вообще нет смысла гоняться за новыми и более дорогими инструментами.

Да, удивительно слышать такие советы от генератора акронимов Gartner😄
В их статье "Reduce Threat Exposure With Security Controls Optimization" поднимается проблема растущего количества взломов компаний из-за неправильно настроенных средств защиты и контроля. Авторы подчеркивают, что ключ к снижению угроз и повышению эффективности инвестиций в безопасность лежит не в простом наличии инструментов (и покрытии ими инфраструктуры), а в их правильной настройке и непрерывной оптимизации.

Чтобы решить проблему управления большим количеством средств защиты и повысить их эффективность предлагается:
1️⃣Определить желаемые результаты, соответствующие целям бизнеса.
Сосредоточиться на борьбе с наиболее опасными и специфичными для бизнеса угрозами с помощью имеющихся средств защиты и контроля.
2️⃣Сместить фокус с наличия контроля на его эффективность.
Эффективность достигается за счет оптимальной конфигурации, интеграции с другими средствами контроля и построении эффективных процессов. Необходимо определить метрики, ориентированные на результат, для измерения результатов инвестиций в средства контроля и их оптимизацию (см. скрин с примерами метрик).
3️⃣Создать кроссфункциональные команды с экспертизой в соответствующих направлениях (защиты).
Оптимизация (настроек средств защиты) требует совместной работы различных команд/отделов и владельцев активов для понимания того, что именно нуждается в защите и как функционируют системы (см. скрин с RACI-матрицей).
4️⃣Синхронизировать работы по оптимизации с процессом управления угрозами и непрерывного анализа защищенности (CTEM).
CTEM помогает выявлять пробелы в защите и видимости угроз, в то время как оптимизация средств контроля помогает их устранять.

#controls #optimization #exposure #ctem #gartner #metrics

Свежее исследование "Different Seas, Different Phishes" о нашем любимом: фишинговых симуляциях и попытках найти закономерности в поведении сотрудников🎣
В данной работе был проведен анализ 96 кампаний фишинговых симуляций, охвативших 36 организаций из различных секторов экономики, что довольно масштабно по сравнению с предыдущими аналогичными исследованиями.
Ниже описал главное и/или интересное.

Эффективность различных параметров фишинга:
🎯 Сценарии целевого фишинга (ожидаемо) повышали кликабельность на 22% по сравнению со сценариями массового фишинга.
🤑 Сценарии типа "Не упусти выгоду" демонстрировали на 18% более высокую вовлеченность, чем сценарии компрометации аккаунта, что подчеркивает эффективность страха упущенной выгоды (FOMO, привет!) по сравнению со страхом угрозы безопасности.
🧐 Повышение сложности шаблона давало лишь 6% роста кликабельности, что указывает на главенствующую роль психологического фактора и фактора контекста.

Межотраслевые и внутриорганизационные различия:
⛏ Организации сектора промышленности и производства показали на 41% меньше уровень кликабельности, чем сфера услуг, что связано с автоматизированными процессами и меньшей зависимостью от почтовых коммуникаций.
👨‍💻 Отделы маркетинга и продаж продемонстрировали более чем в два раза большую подверженность фишинговым симуляциям по сравнению с финансовым департаментом. Это различие может объясняться несколькими факторами: сотрудники финансовых департаментов, возможно, более осторожны с электронной почтой из-за характера их работы с конфиденциальной финансовой информацией, в то время как сотрудники отделов продаж и маркетинга могут быть более склонны к активному взаимодействию с внешними контактами и новыми возможностями.
👨‍💻 Менеджеры среднего звена на 15% чаще взаимодействовали с фишинговыми письмами, чем топ-менеджеры, что опровергает стереотип о большей уязвимости высшего руководства.

Рекомендации ИБ-специалистам:
➡️При построении системы защиты необходимо учитывать коммуникационные паттерны и рабочие процессы свойственные конкретной индустрии.
➡️При проведении тренингов также необходимо учитывать специфику работы различных департаментов, в т.ч. нюансы коммуникаций с "внешним миром".
➡️ Использование фишинговых симуляций с прогрессивно увеличивающейся персонализацией позволяет точнее оценивать реальную уязвимость организации, чем статичные тесты на базе шаблонных сценариев.

Также, авторы исследования подсветили, что в публичных отчетах вендоров решений security awareness human risk management сообщается о более высоких показателей кликов, что может свидетельствовать о предвзятой оценке, направленной на увеличение продаж их продуктов😏

#awareness #phishing #training #risk #hrm #simulation