Attack Surface Management versus Vulnerability Management

Het artikel vergelijkt Attack Surface Management (ASM) met Vulnerability Management (VM) en laat zien hoe beide belangrijk zijn bij het opstellen van een robuuste cyberbeveiligingsstrategie om bedrijfsactiva te beschermen.

Bedrijven hebben verschillende cyberbeveiligingsstrategieën nodig om hun systemen en de gevoelige gegevens die daarin zijn opgeslagen te beschermen tegen mogelijke aanvallen van externe bronnen. In dit verband worden twee benaderingen uitvoerig besproken: beheer van aanvalsoppervlakken versus beheer van kwetsbaarheden (VM). Hoewel ze beide deel uitmaken van de verdedigingsstrategie van een organisatie, zijn ze actief op verschillende aspecten van beveiliging, waardoor ze een symbiotische relatie vormen om cyberaanvallen op afstand te houden.

ASM scant, volgt en vermindert de kans op hackers aanvallen, van websites tot API's en IoT. VM scant intern en blijft alert op bekende kwetsbaarheden, zoals verouderde software, verkeerd geconfigureerde servers, enz.

Beide strategieën zijn van cruciaal belang voor het opzetten van een goede beveiligingsarchitectuur. Alleen al de Federal Trade Commission meldde in 2022 meer dan 1,1 miljoen klachten over identiteitsdiefstal. Dit feit illustreert dat zowel externe als interne bescherming nodig is om datalekken en fraude te voorkomen.

In dit artikel gaan we dieper in op de verschillen tussen attack surface management en vulnerability management. We bespreken hoe de twee benaderingen elkaar aanvullen om een effectiever cybersecurity-raamwerk te vormen. Verder bespreken we hoe Singularity™ Cloud Security van SentinelOne kan helpen om deze benaderingen te stroomlijnen en automatiseren voor een krachtigere bescherming tegen steeds veranderende bedreigingen.

Wat is beheer van het aanvalsoppervlak?

In essentie is aanvalsoppervlak is een continu proces waarbij de aanvalsvector of het toegangspunt wordt ontdekt en beperkt waarmee cybercriminelen het meest waarschijnlijk ongeoorloofde toegang krijgen tot het netwerk van een organisatie. Digitaal blootgestelde componenten, waaronder zowel bekende als onbekende activa, websites, API's, cloudinfrastructuur, IoT-apparaten en elk systeem, vallen onder het aanvalsoppervlak. Het basisdoel van ASM is om organisaties volledig inzicht te geven in zowel hun interne als externe digitale systemen, waardoor potentiële kwetsbaarheden die door kwaadwillende aanvallers kunnen worden misbruikt, aan het licht komen.

Een rapport van Palo Alto Networks uit 2022 stelt vast dat meer dan 65% van de bekende incidenten met betrekking tot cloudbeveiliging het gevolg was van verkeerde configuraties in hun cloudomgeving. Dit cijfer rechtvaardigt ruimschoots waarom dergelijke externe aanvalsoppervlakken moeten worden gemonitord, vooral nu bedrijven cloudgebaseerde oplossingen implementeren en hun digitale activiteiten uitbreiden. Moderne IT is te complex om ASM niet als een absolute noodzaak in cyberbeveiliging te beschouwen. Elke nieuwe asset, of het nu een website of een cloudapplicatie is, vergroot het aanvalsoppervlak, wat betekent dat er voortdurende monitoring en mitigatie nodig is om de kans op inbreuken te verkleinen.

ASM omvat ook het beheer van schaduw-IT, waaronder onbeheerde en ongeautoriseerde software en apparaten die door werknemers in de organisatie worden gebracht. Deze vertegenwoordigen vaak een veel groter percentage van het aanvalsoppervlak van een organisatie wanneer ze niet worden ontdekt en niet worden beheerd. Een overkoepelende aanpak van ASM zorgt ervoor dat organisaties nieuwe bedreigingen voorblijven door proactief potentiële aanvalsvectoren en kwetsbaarheden te identificeren die in realtime moeten worden verholpen.

Wat is kwetsbaarheidsbeheer?

Kwetsbaarheidsbeheer is het systematische proces om bekende zwakke plekken in software, servers, databases en andere netwerkinfrastructuren te identificeren en analyseren. VM maakt deel uit van het risicobeperkingsproces, aangezien de geïdentificeerde potentiële kwetsbaarheden punten zijn die een hacker zou kunnen misbruiken.

Dit gebeurt meestal met behulp van tools voor het scannen van kwetsbaarheden, die het huidige beveiligingsniveau van het systeem scannen en bruikbare informatie voor herstel bieden. Kwetsbaarheidsbeheer houdt in grote mate in dat deze beveiligingslekken worden verdedigd voordat hackers ze kunnen gebruiken voor een of andere vorm van cyberaanval.

Volgens het Ponemon Institute werd 60% van de datalekken veroorzaakt door een niet-gepatchte kwetsbaarheid. Daarom is VM een belangrijk hulpmiddel in de strijd tegen en het elimineren van te voorkomen aanvallen, waarbij wordt ingegrepen op verschillende kwetsbaarheden, waaronder coderingsfouten en verouderde softwarepatches. De belangrijkste stappen die bij VM worden genomen, zijn het opsporen, prioriteren en verhelpen van kwetsbaarheden. Scoringskaders zoals de CVSS-score beoordelen kwetsbaarheden. Hierdoor kunnen beveiligingsteams zich concentreren op de grotere risico's, zodat patches tijdig worden toegepast voordat kwetsbaarheden kunnen worden misbruikt.

Het cruciale verschil tussen VM en ASM ligt in de omvang van de activa. VM pakt bekende kwetsbaarheden aan op vooraf geïdentificeerde activa, maar ASM is proactief en dynamisch, ontdekt elke keer nieuwe kwetsbaarheden en wordt zich bewust van de risico's die deze kunnen veroorzaken. Samen vormen ze het volledige scala aan verdedigingssystemen tegen cyberdreigingen.

Verschil tussen Attack Surface Management en Vulnerability Management

Hoewel zowel ASM als VM in wezen cybersecurityinitiatieven zijn die de cybersecuritypositie van een bedrijf helpen verbeteren, verschillen ze duidelijk van elkaar wat betreft reikwijdte, proces en focus. Hun functies zijn duidelijk verschillend als onderdeel van een algemene strategie om zowel bedreigingen van buitenaf als zwakke punten binnen de organisatie tegen te gaan.

Beide vertegenwoordigen een meerlagige aanpak in de verdediging tegen steeds veranderende cyberdreigingen. De belangrijkste verschillen staan hieronder vermeld:

1. Reikwijdte van activa: ASM heeft een bredere dekking, omdat het zich richt op systemen van derden en schaduw-IT, andere IT-structuren die met het internet zijn verbonden, naast het omgaan met geïdentificeerde IT-activa. Deze zichtbaarheid helpt ervoor te zorgen dat onontgonnen oppervlakken niet worden blootgesteld aan potentiële aanvallers. ASM ontdekt nieuwe kwetsbaarheden die het oppervlak dat bereikbaar is voor aanvallers kunnen vergroten. VM daarentegen houdt zich bezig met het beheer van geïdentificeerde middelen in de organisatiestructuren, zoals servers, datacenters en applicaties, die vaak centraal worden beheerd.
2. Ontdekkingsproces: ASM is altijd op zoek naar andere potentiële activa, waaronder niet-herkende of ongeautoriseerde webactiva. Dit is met name belangrijk in cloudsystemen waar nieuwe programma's, software, netwerken en diensten de kwetsbaarheid snel kunnen vergroten. ASM-tools werken min of meer automatisch, met meldingen die helpen om nieuwe digitale activa te tonen. Aan de andere kant scannen VM's op eerder bekende openingen, bijvoorbeeld niet-gepatchte software of verkeerd geconfigureerde besturingssystemen. Zelfs als tool voor het handhaven van de interne beveiliging is VM beperkt in zijn reikwijdte en kan het met name geen andere activa ontdekken die de veiligheid van de organisatie in gevaar kunnen brengen.
3. Risico's Focus: ASM richt zich meer op externe bedreigingen, omdat het middelen of contactpunten beoordeelt die kwetsbaar zijn voor externe bedreigingen. Het omvat meestal problemen zoals verkeerd geconfigureerde clouddiensten, onthulde API's en niet-gepatchte webapplicaties. VM daarentegen houdt zich bezig met interne risico's, zoals software die niet is bijgewerkt, verkeerde instellingen heeft of bugs in de broncode die aanwezig is in de structuur van een bedrijf. Terwijl ASM zich bezighoudt met algemene bedrijfsrisico's in verband met externe toegang, houdt VM zich bezig met specifieke technische risico's binnen de organisatie.
4. Monitoringcycli: De scanfrequentie is wat ASM onderscheidt van VM. ASM moet alle activa en gerelateerde aanvalsvectoren in realtime monitoren. Aangezien het digitale landschap van een organisatie nooit statisch is, omdat er nieuwe diensten worden geïntroduceerd en andere worden stopgezet, worden deze veranderingen bijgehouden door ASM-tools, zodat er geen hiaten ontstaan die een aanvaller kan misbruiken. VM wordt in wezen met tussenpozen uitgevoerd, bijvoorbeeld als een geplande scan op kwetsbaarheden.  Hoewel sommige geavanceerde VM-tools continue monitoring mogelijk maken, is het gebruikelijker dat VM-beoordelingen met regelmatige tussenpozen worden uitgevoerd, vaak naar aanleiding van specifieke gebeurtenissen zoals software-updates of audits.
5. Preventie versus genezing: ASM is proactief omdat het aanvallen voorkomt en altijd probeert om alle toegangspunten te identificeren en te neutraliseren die door aanvallers kunnen worden misbruikt. Door het aantal toegangspunten te verminderen, wordt de kans op cyberaanvallen geëlimineerd. Aan de andere kant wordt VM beschouwd als veel reactief in zijn aanpak, waarbij de focus ligt op zwakke plekken die binnen het systeem bestaan omdat ze uiteindelijk toegangspunten kunnen worden. Het identificeert alleen bekende zwakke plekken om zich op te richten, waaronder niet-gepatchte software of configuratiefouten, waarbij het systeem kwetsbaar blijft totdat deze problemen zijn opgelost.
6. Risicoscores: Hoewel zowel ASM als VM risicoscores toekennen, zijn hun benaderingen verschillend. ASM gebruikt risicoscores op basis van externe factoren, zoals de blootstelling van activa, het belang voor het bedrijf en de potentiële schade die een bedrijf kan lijden als er gecompromitteerde activa worden gevonden. Deze bredere risicoscores helpen het bedrijf te bepalen op welke activa het zich eerst moet richten om deze te beveiligen. VM vertrouwt meestal op gestandaardiseerde risicoscoremethodologieën, zoals het Common Vulnerability Scoring System (CVSS), dat rekening houdt met de ernst van de kwetsbaarheden en de mogelijke gevolgen daarvan. Terwijl VM zich richt op technische risico's, biedt ASM een totaaloverzicht dat zowel technische als zakelijke risico's omvat.
7. Externe versus interne bedreigingen: ASM richt zich voornamelijk op externe bedreigingen, dat wil zeggen punten die kunnen worden misbruikt door blootgestelde digitale activa zoals API's, webapplicaties of cloudinfrastructuur. Het vermindert inbreuken door de digitale voetafdruk van de organisatie te beheren, waardoor potentiële toegangspunten buiten het netwerk worden geëlimineerd. VM richt zich daarentegen op de interne bedreigingen en kwetsbaarheden die zich bevinden op de beheerde infrastructuur die de organisatie bezit, waaronder niet-gepatchte systemen en softwarebugs, evenals verkeerde configuraties. Samen zorgen ASM en VM ervoor dat zowel externe als interne bedreigingen worden aangepakt.
8. Automatisering: Beide verschillen in de toepassing van automatisering. In ASM zoeken geautomatiseerde tools nieuwe activa en beoordelen deze vervolgens om de risico's te berekenen. Met de huidige omvang van de IT-infrastructuur is het onmogelijk om alle externe assets handmatig te vinden, waardoor automatisering noodzakelijk is om realtime zichtbaarheid te behouden. VM detecteert kwetsbaarheden, maar over het algemeen is het voor beheerders veel arbeidsintensiever wanneer er patches, herstelmaatregelen en herconfiguraties nodig zijn. In een VM is automatisering grotendeels beperkt tot het opsporen en prioriteren van kwetsbaarheden, terwijl ASM automatisering gebruikt voor continue monitoring en risicobeoordeling van alle digitale assets.
9. Contextueel inzicht in bedreigingen: ASM biedt een meer bedrijfsgericht overzicht, omdat het rekening houdt met de algemene blootstelling van de asset en de waarschijnlijke externe risico's die daarmee gepaard gaan. Bij een blootgestelde asset wordt onder meer gekeken naar hoe een aanvaller een dergelijke asset zou kunnen gebruiken en welke schade er bij een inbreuk zou kunnen worden aangericht. Dergelijke inzichten kunnen helpen bij kritieke beslissingen op hoog niveau, waarbij beveiligingsteams rekening kunnen houden met risico's vanuit het perspectief van de zakelijke prioriteiten van een organisatie. VM biedt echter veel meer technische informatie, waarbij kleine kwetsbaarheden binnen de systemen van een organisatie worden genoemd en wordt aangegeven hoe deze kunnen worden misbruikt. Contextueel gezien gaan de inzichten van VM meer over directe technische oplossingen, terwijl ASM een meer strategisch beeld geeft van het totale risicolandschap.

Attack Surface Management versus Vulnerability Management: 9 cruciale verschillen

Zowel ASM als VM zijn bedoeld om bedrijven te beschermen tegen cyberaanvallen, maar er zijn enkele verschillen die belangrijk zijn voor het opstellen van een meer holistische beveiligingsstrategie.

Beide strategieën zijn bedoeld om organisaties te beschermen, maar hebben een verschillend toepassingsgebied, een verschillende focus en een verschillende methodologie. Hier volgt een vereenvoudigde vergelijking van beide strategieën:

Functie	Attack Surface Management (ASM)	Vulnerability Management (VM)
Asset Range	Het omvat bekende en onbekende activa, zowel intern als extern, van het netwerk van de organisatie.	Het heeft alleen betrekking op bekende en beheerde activa van het bedrijf.
Frequentiebewaking	Continue, realtime bewaking van activa en aanvalsvectoren.	Analyse van bekende kwetsbaarheden op een geplande manier.
Risicoscoremethodologie	Dit omvat de blootstelling van activa, de impact op het bedrijf en het potentieel voor aanvallen van buitenaf.	Deze tool maakt gebruik van technische kwetsbaarheidsscores, zoals CVSS, om prioriteit te geven aan herstelmaatregelen.
Type bedreiging dat wordt aangepakt	Het omvat voornamelijk externe aanvalsvectoren, waaronder blootgestelde API's en cloudinfrastructuur.	Het verwijst eenvoudigweg naar interne kwetsbaarheden, zoals softwarefouten of verkeerde configuraties.
Ontdekkingsproces	Het identificeert nieuwe digitale activa, waaronder schaduw-IT.	Het evalueert zwakke punten in eerder geïdentificeerde bekende activa.
Gebruik van automatisering	Het is voornamelijk afhankelijk van automatisering om aanvalsvectoren te ontdekken en te beheersen.	Het maakt gebruik van zowel handmatige als geautomatiseerde scantools voor kwetsbaarheden.
Risicobeheerbenadering	Proactief, gericht op het verminderen van aanvalsvectoren voordat er misbruik plaatsvindt.	Reactief, gericht op het patchen en beperken van geïdentificeerde kwetsbaarheden.
Bedreigingscontext	Geeft een volledig beeld van de externe blootstelling aan cyberdreigingen en de impact daarvan op het bedrijf.	Richt zich op technische kwetsbaarheden zonder voldoende aandacht voor externe bedrijfsrisico's.
Reactiestrategie	Vermindert de aanvalsvectoren door risico's te beperken en enkele mogelijke toegangspunten te verwijderen.	Het patcht of configureert een specifieke kwetsbaarheid.

De vergelijkingstabel hierboven toont de verschillen tussen ASM en VM. Hieruit blijkt dat ASM een bredere, meer panoramische kijk biedt op de cyberbeveiligingsrisico's van een organisatie door rekening te houden met bedreigingen vanuit externe perspectieven, waardoor het aanvalsoppervlak wordt verkleind, terwijl VM het aantal bedreigingen vermindert door continue monitoring, aangezien veranderingen digitaal plaatsvinden en er voortdurend nieuwe bedreigingen ontstaan. VM pakt de bekende kwetsbaarheden aan die worden gevonden, waaronder niet-gepatchte software of een configuratiefout. Het biedt daardoor een zeer gerichte aanpak voor het behandelen van directe risico's.

Terwijl ASM proactief een aanvalsvector identificeert en vermindert voordat deze door een aanval kan worden misbruikt, werkt VM aan het verhelpen van bekende kwetsbaarheden nadat deze zijn ontdekt. Daarom zijn beide belangrijk voor het ontwikkelen van een robuuste verdedigingshouding. Organisaties die zowel ASM als VM implementeren, zouden nog een ander meerlagig verdedigingsmechanisme kunnen ontwikkelen, dat zich zowel op de externe bronnen van aanvallen als op de interne kwetsbaarheden richt.

Hoe helpt SentinelOne?

SentinelOne’s Singularity™ Cloud Security stelt organisaties in staat zichzelf te beschermen tegen interne aanvallen en kwetsbaarheden op basis van het dreigingsoppervlak van een organisatie. Bovendien wordt dit krachtige platform aangevuld met geavanceerde AI-gestuurde detectie, realtime monitoring en herstelmaatregelen, allemaal ontworpen om organisaties proactief te laten zijn in het voorkomen van bedreigingen binnen hun digitale omgeving. Hier zijn zes cruciale manieren waarop SentinelOne helpt om de beveiliging van een organisatie in alle cloudomgevingen te versterken:

1. Diepgaande assetdetectie: Het Singularity™ Cloud Security platform ontdekt automatisch alle digitale activa, waardoor organisaties volledig inzicht krijgen in zowel hun externe als interne aanvalsoppervlakken. In die zin omvat het platform ook schaduw-IT en systemen van derden, die normaal gesproken worden overgeslagen, maar die van groot belang zijn voor de beveiliging van een bedrijf. Het platform identificeert voortdurend nieuwe activa, waardoor hiaten worden gedicht die bedrijven blootstellen aan cyberdreigingen.
2. Realtime detectie van dreigingen: Het platform maakt gebruik van clouddetectie en -respons, een proces dat cloudomgevingen continu scant op mogelijke beveiligingsrisico's. Risico's in zowel bekende als onbekende risicocategorieën worden in realtime geïdentificeerd door CDR. Dankzij de realtime capaciteit van het systeem kan het, zodra er nieuwe kwetsbaarheden of aanvalsvectoren opduiken, onmiddellijk actie ondernemen om de dreiging te neutraliseren en zo mogelijke downtime of inbreuken tot een minimum te beperken.
3. AI-aangedreven beveiliging: AI-aangedreven mogelijkheden van het Singularity™ platform bieden AI Security Posture Management of AI-SPM, een functie waarmee het platform zelfstandig bedreigingen identificeert en beperkt met behulp van machine learning en AI. Dit zorgt voor een verdere vermindering van het aanvalsoppervlak zodra kwetsbaarheden bekend zijn, waardoor de cloudbeveiliging wordt versterkt.
4. Integratie van kwetsbaarheidsbeheer: Het platform integreert kwetsbaarheidsbeheer, waardoor zwakke plekken in bedrijfssystemen snel kunnen worden geïdentificeerd, geprioriteerd en verholpen. Deze proactieve integratie zorgt ervoor dat zwakke plekken in de infrastructuur van een organisatie systematisch worden verwijderd voordat iemand er misbruik van kan maken, waardoor het voor cybercriminelen moeilijk wordt om netwerken en systemen te hacken.
5. Continue risicoscoring: Het platform biedt ook realtime beheer van externe aanvalsoppervlakken en dynamische risicoscoring. Activa worden gescand op basis van de blootstelling, de bedrijfskriticiteit en de gevolgen als het activum wordt gecompromitteerd. Door deze effectieve prioritering van bedreigingen kunnen bedrijven zich concentreren op het beveiligen van hun belangrijkste activa en daarmee ook het algehele cyberbeveiligingsbeheer versterken.
6. Herstel door hyperautomatisering: Door gebruik te maken van workflows via low-code en no-code, herstelt het platform automatisch risico's voor het aanvalsoppervlak en kwetsbaarheden. Hyperautomatisering versnelt de reactiesnelheid om bedreigingen snel in te dammen en op te lossen. Het platform stelt bedrijven in staat om sneller te reageren op mogelijke bedreigingen, waardoor de tijd die nodig is voor herstel wordt verkort en de blootstelling wordt beperkt door middel van automatisering.

Conclusie

Kortom, het is voor elke moderne organisatie van cruciaal belang om ervoor te zorgen dat de systemen in een dergelijke complexe digitale omgeving worden beschermd. Daarom is een gecombineerde aanpak van ASM en VM essentieel. ASM vermindert proactief de aanvalsvectoren door continu te scannen om bedreigingen van buitenaf te detecteren en te beperken. VM pakt bekende kwetsbaarheden aan die kunnen worden misbruikt. Met een dergelijke strategie kunnen organisaties een effectieve verdediging opbouwen tegen steeds veranderende cyberdreigingen.

Investeren in een platform zoals SentinelOne Singularity™ Vulnerability Management zouden dergelijke inspanningen versterken door middel van realtime detectie en herstel van risico's, waardoor alle kritieke beveiligingsprocessen worden geautomatiseerd. Dit zou het beheer van zowel externe als interne risico's vergemakkelijken en het vermogen van organisaties om prioriteiten te stellen en snel te reageren op elke aanvalssituatie versterken. SentinelOne is een uitgebreide maar effectieve oplossing om de veelzijdige uitdagingen van moderne cyberbeveiliging aan te pakken voor elke organisatie die haar cyberbeveiliging wil versterken.

FAQs

Waarom is Attack Surface Management belangrijk?

Attack Surface Management is belangrijk omdat het organisaties informeert over alle mogelijke toegangspunten die aanvallers kunnen gebruiken, inclusief alles wat te maken heeft met websites, API's en schaduw-IT die met het internet zijn verbonden. Die zichtbaarheid vermindert het risico dat organisaties te maken krijgen met een datalek of dat er ransomware-aanvallen plaatsvinden binnen het bedrijf. ASM voert ook continue monitoring uit, zodat nieuwe aanvalsvectoren onmiddellijk kunnen worden opgespoord en afgewend, waardoor de algehele blootstelling aan dergelijke risico's wordt verminderd.

Waarom is kwetsbaarheidsbeheer cruciaal voor de veiligheid?

Kwetsbaarheidsbeheer is belangrijk omdat het zwakke punten in bekende systemen van organisaties identificeert en verhelpt, zoals niet-gepatchte software of configuratiezwakheden die cybercriminelen kunnen misbruiken voor ongeoorloofde toegang tot gevoelige informatie of zelfs schade aan bedrijfsactiviteiten. Hierdoor wordt de kans op succesvolle aanvallen verkleind en wordt de integriteit van de infrastructuur van de organisatie beschermd.

Hoe vaak moeten aanvalsoppervlakbeheer en kwetsbaarheidsbeheer worden uitgevoerd?

Attack Surface Management moet een continu proces zijn, omdat externe bedreigingen snel veranderen en omdat er nieuwe activa worden gecreëerd die een organisatie kunnen blootstellen. Een systeem van realtime monitoring helpt om vroegtijdige verdediging mogelijk te maken. Vulnerability Management wordt vaak uitgevoerd als een cyclische actie, maar moet waar mogelijk worden geautomatiseerd om een volledig beeld in realtime te krijgen. Kortom, periodieke scans en het regelmatig verhelpen van kwetsbaarheden zorgen ervoor dat kritieke problemen zo min mogelijk blootgesteld worden aan cyberaanvallen.