Wat is Threat Exposure Management (TEM)?

Threat Exposure Management is een geïntegreerde beveiligingsmethodiek om dreigingen proactief te detecteren en te beperken. Door dreigingsinformatie, beheer van de aanvalsoppervlakte en kwetsbaarheidsbeoordeling in één systeem samen te brengen, kunnen organisaties blootstelling aan beveiligingsrisico’s ontdekken, prioriteren en verhelpen voordat aanvallers die kunnen uitbuiten.

In deze blog bespreken we de onderdelen van Threat Exposure Management, de implementatie, veelvoorkomende uitdagingen, best practices en het meten van succes. We bekijken ook hoe Threat Exposure Management zich ontwikkelt voor cloud- en hybride omgevingen en hoe SentinelOne deze cruciale beveiligingsfunctie ondersteunt.

Wat is Threat Exposure Management?

Threat Exposure Management (TEM) is een gestructureerde beveiligingsaanpak die dreigingsinformatie, kwetsbaarheidsbeheer en monitoring van de aanvalsoppervlakte combineert om potentiële blootstelling aan beveiligingsrisico’s te identificeren, beoordelen en prioriteren op basis van het werkelijke risico voor de organisatie. Anders dan traditionele beveiligingsmethoden, die zich vooral richten op het identificeren van kwetsbaarheden, kijkt TEM naar het volledige dreigingslandschap en naar de manier waarop specifieke kwetsbaarheden in uw omgeving kunnen worden uitgebuit.

Traditioneel kwetsbaarheidsbeheer volgt doorgaans een terugkerend patroon: scannen, identificeren, patches toepassen en opnieuw beginnen. Deze aanpak levert vaak overweldigende rapporten over kwetsbaarheden op, met weinig context over welke problemen werkelijk risico’s vormen voor de organisatie.  Threat Exposure Management versterkt kwetsbaarheidsbeheer met dreigingsinformatie en analyse van de aanvalsoppervlakte om vast te stellen op welke kwetsbaarheden aanvallers zich actief richten en welke bedrijfsmiddelen het meest zijn blootgesteld.

Belangrijkste onderdelen van Threat Exposure Management

Threat Exposure Management omvat samenhangende functies en processen om blootstelling aan beveiligingsrisico’s te detecteren, beoordelen en verhelpen.

Integratie van dreigingsinformatie

Dreigingsinformatie integratie is het proces van het verzamelen, analyseren en gebruiken van informatie waarover organisaties beschikken over bestaande en potentiële inbreuken en aanvallen. Dit onderdeel combineert dreigingsindicatoren van buiten de organisatie met interne beveiligingsgegevens, zodat teams een vollediger beeld krijgen van het dreigingslandschap. Dreigingsinformatie effectief integreren betekent bepalen wat wel en niet relevant is, zodat teams zich kunnen richten op risico’s voor hun specifieke omgeving en bedrijfsactiviteiten.

De aanvalsoppervlakte in kaart brengen

De aanvalsoppervlakte in kaart brengen betekent alle mogelijke toegangspunten identificeren die een aanvaller kan gebruiken om toegang te krijgen tot systemen en gegevens. Daarvoor is een inventarisatie nodig van alle apparaten, applicaties, cloudresources, accounts en andere bedrijfsmiddelen, inclusief hun configuratie en onderlinge verbindingen. Moderne omgevingen veranderen snel. Daarom moet deze inventarisatie continu plaatsvinden, niet eenmalig.

Dreigingsmodellering en simulatietools voor het beheer van het aanvalsoppervlak, risicoscores en integraties. Kies complementaire technologieën die aansluiten bij de behoeften van de organisatie.

Dreigingsmodellering biedt een systematische aanpak om dreigingen voor systemen en gegevens te identificeren en beoordelen op basis van hun ontwerp en architectuur. Daarbij bekijkt u systemen vanuit het perspectief van een aanvaller en brengt u beveiligingshiaten en mogelijke aanvalspaden in kaart. Dreigingsmodellering is bruikbaar voor elke applicatie, elk systeem, elk netwerk en elk volledig bedrijfsproces.

Context en impactbeoordeling van kwetsbaarheden

Context bij kwetsbaarheden gaat verder dan het signaleren van beveiligingszwakheden en beoordeelt de werkelijke gevolgen ervan in de omgeving. Daarbij wordt vastgesteld of een kwetsbaarheid daadwerkelijk kan worden uitgebuit, welke systemen en platforms getroffen zijn en welke gegevens en functies die systemen beheren of aansturen.

Prioritering op basis van risico

De functie voor risicogebaseerde prioritering van de tool bepaalt welke blootstelling moet worden verholpen op basis van gegevens uit alle andere onderdelen van het beheer van de gehele onderneming. Deze prioritering houdt rekening met factoren zoals de ernst van de kwetsbaarheid, de waarde van getroffen bedrijfsmiddelen, actieve dreigingen, bestaande risicobeperkende maatregelen en de inspanning die nodig is om het probleem te verhelpen.penetratietests, codeanalyse en configuratiebeoordelingen om zwakke plekken te vinden die geautomatiseerde scanners mogelijk over het hoofd zien, zodat een volledige inventaris van mogelijke kwetsbaarheden in de hele omgeving kan worden opgesteld.

Voordelen van effectief Threat Exposure Management

Een integraal programma voor Threat Exposure Management verbetert zowel de beveiliging als de operationele efficiëntie.

Dreigingen preventief beperken

Met Threat Exposure Management kunnen organisaties beveiligingshiaten vinden en verhelpen voordat aanvallers ze ontdekken. Door dreigingsinformatie te combineren met gegevens over kwetsbaarheden, zien beveiligingsteams welke kwetsbaarheden werkelijk het grootste risico vormen en kunnen ze herstel daarop prioriteren. Deze vroege aanpak doorbreekt de gebruikelijke cyclus van reactieve beveiliging, waarbij teams systemen pas haastig herstellen nadat aanvallen zijn begonnen.

Optimale inzet van beveiligingsmiddelen

Beperkte personele capaciteit, tijd en budgetten zijn voor 90% van de beveiligingsteams in organisaties de realiteit. Threat Exposure Management biedt richting door de aandacht te richten op de beveiligingsproblemen die er het meest toe doen. Teams kunnen zich concentreren op kwetsbaarheden die echte risico’s vormen voor bedrijfsmiddelen, in plaats van te proberen ze allemaal te verhelpen.

Kortere gemiddelde hersteltijd

Traditioneel kwetsbaarheidsbeheer kan leiden tot een achterstand van niet-verholpen kwetsbaarheden terwijl teams hun werkzaamheden proberen te prioriteren. Threat Exposure Management versnelt het herstel door precies aan te geven welke kwetsbaarheden voorrang hebben. Met deze gerichte aanpak kunnen teams hersteltaken sneller afhandelen en wordt de periode waarin een aanvaller kan toeslaan korter.

Beter zicht op de beveiligingsstatus

Threat Exposure Management geeft volledig inzicht in de beveiligingsstatus van een organisatie. In plaats van afzonderlijke overzichten van kwetsbaarheden, dreigingen of bedrijfsmiddelen biedt TEM één beeld van hoe deze onderdelen zich tot elkaar verhouden. Met dit totaalbeeld kennen beveiligingsverantwoordelijken hun werkelijke beveiligingsstatus en zien ze hoe die in de loop van de tijd verandert.

Betere communicatie met het management

Threat Exposure Management geeft technische beveiligingsgegevens bruikbare context die relevant is voor de organisatie. Bestuurders begrijpen de waarde van beveiliging beter wanneer beveiligingsteams kunnen laten zien hoe specifieke dreigingen de belangrijkste bedrijfsfuncties in gevaar brengen en hoe beveiligingsactiviteiten die risico’s verkleinen.

Een strategie voor Threat Exposure Management opbouwen

Een succesvolle strategie voor Threat Exposure Management vraagt om zorgvuldige planning en afstemming tussen verschillende beveiligingsfuncties.

Duidelijke doelen

De eerste stap is het vaststellen van duidelijke, specifieke doelen die aansluiten op de beveiligings- en bedrijfsdoelen van de organisatie. Denk aan een kortere hersteltijd voor kritieke kwetsbaarheden, beter inzicht in cloudomgevingen of een effectievere prioritering van beveiligingswerk op basis van het werkelijke risico.

Huidige mogelijkheden beoordelen

Analyseer de bestaande tools, processen en vaardigheden voor kwetsbaarheidsbeheer, dreigingsinformatie en het inventariseren van bedrijfsmiddelen. Bepaal welke hiaten teams moeten opvullen om de TEM-doelen van de organisatie te bereiken.

Technologie selecteren

Richt u op tools die belangrijke TEM-activiteiten ondersteunen. Denk aan kwetsbaarheidsscanners, platforms voor dreigingsinformatie, tools voor het beheer van de aanvalsoppervlakte, risicoscores en integraties. Kies technologieën die elkaar aanvullen en aansluiten op de behoeften van de organisatie.

Processen ontwikkelen

Organisaties moeten werkprocessen, besliscriteria, escalatieroutes en rapportagevereisten vastleggen. Documenteer deze processen helder en train alle betrokkenen om consequent te werken.

Stappen om blootstelling aan dreigingen te identificeren en prioriteren

Het inventariseren en classificeren van bedrijfsmiddelen vormt de basis voor het identificeren en prioriteren van blootstelling aan dreigingen. Deze aanpak brengt elk bedrijfsmiddel in de omgeving in kaart, evenals de rol ervan in de organisatie, het type opgeslagen gegevens en de bedrijfsfunctie. Alle verdere prioriteringsbesluiten steunen op nauwkeurige informatie over bedrijfsmiddelen.

Voer na de inventarisatie van bedrijfsmiddelen een uitgebreide kwetsbaarheidsscan uit via meerdere aanvalsvectoren. Vul traditionele kwetsbaarheidsscanners aan met penetratietests, codeanalyse en configuratiebeoordelingen om zwakke plekken te vinden die geautomatiseerde scanners mogelijk missen, zodat een volledig overzicht ontstaat van mogelijke kwetsbaarheden in de hele omgeving.

De volgende stap is om de kwetsbaarheidsgegevens van context te voorzien. Daarbij wordt vastgesteld welke kwetsbaarheden in de omgeving kunnen worden uitgebuit, voor welke een publieke exploit beschikbaar is die iedereen kan gebruiken en welke door dreigingsactoren actief worden uitgebuit. Zo worden ruwe kwetsbaarheidsgegevens bruikbare beveiligingsinformatie.

De volgende stap is risicoscores toekennen. Elke blootstelling krijgt een risicoscore op basis van de ernst van de kwetsbaarheid, het belang van het getroffen bedrijfsmiddel, dreigingsinformatie over de mogelijkheid om de kwetsbaarheid uit te buiten en de effectiviteit van bestaande beveiligingsmaatregelen. Blootstellingen worden gerangschikt op basis van het werkelijke risico voor de organisatie, niet alleen op technische ernst (bijv., CVSS).

Definieer risicoscores van hoog naar laag en stel bijbehorende termijnen voor herstel vast, zodat blootstellingen met een hoog risico als eerste worden aangepakt en problemen met een lager risico binnen een vastgestelde termijn worden verholpen. Leg de onderbouwing van deze termijnen vast om consequent te kunnen beslissen en vragen van belanghebbenden over prioriteringsbesluiten te beantwoorden.

Meetwaarden en KPI's voor het meten van beheer van blootstelling aan dreigingenSIEM-oplossingen, die moeten leiden tot platforms voor dreigingsinformatie en beveiligingsorkestratietools. Dergelijke verbindingen creëren geautomatiseerde workflows die gegevens van detectie naar analyse naar herstel kunnen leiden zonder enige extra menselijke interactie.

Om de effectiviteit van het beheer van blootstelling aan dreigingen te beoordelen, zijn zowel operationele als resultaatgerichte meetwaarden nodig. Dekkingsmeetwaarden tonen welk percentage van de omgeving onder het TEM-programma valt. Daaronder valt het aandeel bedrijfsmiddelen dat regelmatig wordt gevonden, gecategoriseerd en gescand. Een lage dekking wijst op blinde vlekken waar onbekende blootstellingen kunnen bestaan.

Tijdsgebonden meetwaarden tonen hoe snel blootstellingen worden vastgesteld en verholpen. Belangrijke meetwaarden zijn MTTD (gemiddelde detectietijd), die aangeeft hoe snel nieuwe kwetsbaarheden worden gevonden, MTTR (gemiddelde hersteltijd) en de gemiddelde tijd tussen het moment waarop een IT-beheerder een kwetsbaarheid ontdekt en het moment waarop deze is verholpen. Kortere tijden wijzen op operationele efficiëntie.

Meetwaarden voor risicoreductie tonen de invloed van TEM-activiteiten op de algehele beveiliging van de organisatie. Voorbeelden zijn het totale aantal blootstellingen met een hoog risico, de gemiddelde risicoscore van alle bedrijfsmiddelen en het percentage kritieke bedrijfsmiddelen zonder blootstellingen met een hoog risico.

Deze meetwaarden beoordelen hoe goed het programma voor het beheer van blootstelling aan dreigingen de beschikbare middelen benut. Voorbeelden zijn het aantal verholpen blootstellingen per personeelsuur, het percentage automatisch verholpen problemen en de tijd besteed aan blootstellingen met een hoog versus een laag risico. Ze maken duidelijk waar processen kunnen worden verbeterd en geautomatiseerd.CSPM) is een van de belangrijkste onderdelen van TEM. CSPM-tools bewaken cloudconfiguraties op het gebied van best practices voor beveiliging en nalevingsvereisten, en identificeren verkeerde configuraties die gevoelige gegevens kunnen blootstellen, het gedrag van resources kunnen wijzigen en/of kunnen leiden tot een datalek. Deze tools communiceren met cloudplatforms via verschillende API's en bewaken continu cloudresources en -configuraties.

Veelvoorkomende uitdagingen bij het beheer van blootstelling aan dreigingen

Veelvoorkomende uitdagingen kunnen de effectiviteit beperken van programma's voor het beheer van blootstelling aan dreigingen die organisaties invoeren.containerbeveiliging. Dit soort blootstellingen zijn nieuw in containeromgevingen en variëren van kwetsbare basisimages tot onveilige orchestration-configuraties. Daarom moeten TEM-programma's beschikken over containerspecifieke detectie- en beoordelingsmogelijkheden die deze risico's kunnen opvangen.

Overbelasting door dreigingsinformatie

De enorme hoeveelheid uiteenlopende dreigingsinformatie is voor organisaties vaak moeilijk effectief te beheren. Beveiligingsteams krijgen dagelijks duizenden dreigingsindicatoren binnen en moeten bepalen welke relevant zijn voor hun omgeving. Door een teveel aan meldingen kunnen ernstige dreigingen onopgemerkt blijven of kan het onderzoeken van foutpositieve meldingen te veel tijd kosten.cloudbeveiliging en dreigingsinformatie voor geconsolideerd inzicht en controle in verschillende omgevingen.

Beperkt inzicht in verschillende omgevingenSingularity Platform dat next-gen endpoint security met realtime detectie- en responsmogelijkheden. De systeemagenten in het platform monitoren continu de eindpunten en detecteren niet alleen bekende kwetsbaarheden, maar ook gedragingen die kunnen wijzen op onbekende bedreigingen.

Nu de wereld complexer wordt en organisaties overstappen op gedistribueerde omgevingen, is het lastig om volledig inzicht te behouden. De cloud, schaduw-IT, endpoints voor werken op afstand en IoT-apparaten creëren blinde vlekken waar blootstellingen kunnen blijven voortbestaan.

Beperkte middelen en expertise

TEM vereist expertise in dreigingsmodellering, het scannen op kwetsbaarheden en het beheren van risico's. Door deze kenniskloof hebben veel organisaties te weinig gekwalificeerde beveiligingsprofessionals, waardoor effectieve TEM-programma's moeilijk te implementeren zijn.

Problemen bij de integratie van technologie

TEM kan bestaan uit verschillende technologieën die met elkaar verbonden moeten worden. De meeste organisaties gebruiken losstaande tools, wat leidt tot datasilo's, handmatige processen en inconsistente resultaten. Die versnippering veroorzaakt inefficiëntie en hiaten in de beveiliging.

Operationele frictie

De implementatie van een TEM-programma leidt vaak tot conflicten tussen beveiligingsteams en andere operationele afdelingen. Tegelijkertijd staan beveiligingsteams onder grote druk om problemen te verhelpen en moet IT-beheer een balans vinden tussen beveiliging,  beschikbaarheid en prestaties.

Best practices voor het beheer van blootstelling aan dreigingen

Succesvolle programma's voor het beheer van blootstelling aan dreigingen volgen best practices die de beveiligingswaarde van het proces maximaliseren en operationele frictie verminderen.

Implementeer processen voor continue detectie

Voor continue detectie hebben organisaties een combinatie van methoden nodig, zoals netwerkscans, monitoring met agents, API-integraties en loganalyse. Deze methoden moeten alle onderdelen van een omgeving bestrijken, van lokale infrastructuur en cloudservices tot endpointapparaten.

Plaats dreigingen in de context van uw omgeving

Beveiligingsteams moeten externe dreigingsinformatie koppelen aan bedrijfsmiddelen en kwetsbaarheden binnen de organisatie. Daarvoor is een gedetailleerd overzicht van de omgeving nodig, inclusief netwerksegmentatie, toegangsbeheer en afhankelijkheden tussen bedrijfsmiddelen. Om te voorspellen welke dreigingen de organisatie het waarschijnlijkst zullen treffen, moet dreigingscontext inzicht geven in de gebruikelijke motieven en mogelijkheden van aanvallers en de doelen die ze doorgaans kiezen.

Prioriteer op basis van risico

Effectieve prioritering houdt rekening met verschillende factoren, waaronder de ernst van de kwetsbaarheid, het belang van het bedrijfsmiddel, dreigingsinformatie, de mogelijkheid tot uitbuiting en bestaande beveiligingsmaatregelen. Samen bepalen deze factoren een samengestelde score die richting geeft aan de herstelstrategie. Bereken deze score consequent, zodat verschillende soorten blootstellingen vergelijkbaar blijven.

Integreer beveiligingsfuncties

De eerste stap is technologieën te integreren, zodat beveiligingstools vrij gegevens kunnen uitwisselen en waar nodig verbanden kunnen leggen. Scanners voor kwetsbaarheden moeten worden geïntegreerd met SIEM-oplossingen, die vervolgens gekoppeld moeten zijn aan platforms voor dreigingsinformatie en tools voor beveiligingsorkestratie. Deze koppelingen creëren geautomatiseerde workflows die gegevens zonder extra menselijke tussenkomst van detectie via analyse naar herstel leiden.

Meet en rapporteer de effectiviteit

Organisaties moeten een uitgebreid pakket meetwaarden voor TEM bijhouden, van de dekking bij het vinden van bedrijfsmiddelen tot hersteltijden en trends in risicoscores. Volg deze meetwaarden door de tijd heen om verbeteringen of verslechteringen in de beveiligingsprestaties te zien. Beoordeel ze regelmatig om mogelijke problemen en kansen voor procesverbetering te ontdekken.

Beheer van blootstelling aan dreigingen in cloud- en hybride omgevingen

Het beheer van blootstelling aan dreigingen kent specifieke uitdagingen in cloud- en hybride omgevingen. Beheer van de beveiligingsconfiguratie van de cloud (CSPM) is een van de belangrijkste onderdelen van TEM. CSPM-tools controleren cloudconfiguraties op best practices voor beveiliging en nalevingsvereisten. Ze vinden verkeerde configuraties die gevoelige gegevens kunnen blootstellen, het gedrag van resources kunnen veranderen en/of tot een datalek kunnen leiden. Deze tools communiceren via verschillende API's met cloudplatforms en bewaken continu cloudresources en -configuraties.

Identiteits- en toegangsbeheer is vooral belangrijk in cloudomgevingen, waar netwerkgrenzen slechts beperkte bescherming bieden. Voor de cloud moet een TEM-programma identiteitsconfiguraties, accounts met verhoogde rechten en toegangsbeleid vinden en beoordelen. Daarbij moet de aandacht uitgaan naar accounts met te ruime rechten en beschikbare paden waar authenticatie tussen clouds als aanvalsvector kan dienen.

Een andere pijler van TEM in de cloud is containerbeveiliging. Containeromgevingen kennen specifieke blootstellingen, van kwetsbare basisimages tot onveilige orkestratieconfiguraties. Daarom hebben TEM-programma's mogelijkheden nodig om containers te vinden en te beoordelen, afgestemd op deze risico's.

Hoe SentinelOne het beheer van blootstelling aan dreigingen ondersteunt

De kernfuncties van de beveiligingstechnologie van SentinelOne ondersteunen effectief beheer van blootstelling aan dreigingen. Het platform combineert endpointbescherming, cloudbeveiliging en dreigingsinformatie voor centraal inzicht en beheer in verschillende omgevingen.

SentinelOne is een Singularity Platform dat geavanceerde endpointbeveiliging biedt met realtime detectie- en responsmogelijkheden. De agents van het platform bewaken endpoints voortdurend. Ze detecteren niet alleen bekende kwetsbaarheden, maar ook gedrag dat op onbekende dreigingen kan wijzen.

SentinelOne verbetert de prioritering van blootstellingen met dreigingsinformatie die laat zien welke bedrijfsmiddelen actief door dreigingsactoren worden aangevallen. Het platform bundelt informatie uit verschillende bronnen, waaronder het wereldwijde sensornetwerk van het bedrijf, het team voor dreigingsonderzoek en externe feeds met dreigingsinformatie.

SentinelOne heeft een uniforme beheerconsole die overzicht biedt over het beveiligingslandschap. Bedrijven zien daarin kwetsbaarheidsgegevens, dreigingsinformatie en detectiegebeurtenissen in één overzicht, inclusief de verbanden ertussen.

Conclusie

Beheer van blootstelling aan dreigingen vormt een praktische brug van reactieve beveiliging naar proactief beheer van beveiligingsrisico's. TEM brengt volledige inventarisatie van bedrijfsmiddelen, contextuele beoordeling van kwetsbaarheden en dreigingsinformatie samen. Zo pakken beveiligingsteams met beperkte middelen de blootstellingen aan die ertoe doen. Door zich te richten op wat bescherming nodig heeft, verbeteren ze de beveiliging en zetten ze middelen efficiënter in.

TEM komt tot stand door een combinatie van de juiste technologie, processen en expertise. Organisaties moeten capaciteiten voor continue inventarisatie ontwikkelen, dreigingsinformatie integreren en kaders voor risicogebaseerde prioritering opzetten. Ze moeten ook de samenwerking tussen beveiliging, IT-beheer en zakelijke belanghebbenden bevorderen, zodat beveiliging aansluit op de bedrijfscontext. De behoefte aan beheer van dreigingsblootstelling blijft groeien naarmate de digitale omgevingen waarin we opereren complexer worden en de dreigingsactoren die zich daarop richten geavanceerder worden.