Diferența dintre detectare și izolare a devenit un risc operațional major în securitatea cibernetică, iar „observabilitatea” (capacitatea de a vedea complet și în context cum comunică sistemele între ele) este, de fapt, breșa care face ca atacuri previzibile să producă pagube, potrivit unei analize publicate de TechRadar.

În esență, materialul susține că majoritatea atacurilor nu reușesc pentru că ar fi inovatoare, ci pentru că organizațiile operează cu „hărți” incomplete ale mediilor hibride și cloud: știu ce active au, dar nu pot cartografia în mod fiabil conexiunile dintre aplicații, identități, dispozitive și sarcini de lucru (workloads). În acest context, erori precum configurări greșite, privilegii excesive, servicii expuse și conexiuni ne-monitorizate subminează strategia de securitate.

De ce contează: fereastra de reacție se închide mai repede decât pot acționa echipele

Analiza indică un decalaj tot mai mare între „detecție” și „conținere” (limitarea rapidă a incidentului). Deși 95% dintre profesioniștii în securitate chestionați în cercetarea citată spun că sunt încrezători că pot detecta mișcarea laterală neautorizată (deplasarea atacatorului între sisteme), doar 17% afirmă că pot izola o sarcină de lucru compromisă aproape în timp real. În plus, 51% spun că au nevoie de câteva ore sau mai mult pentru a limita un incident.

În paralel, este citată o constatare CrowdStrike potrivit căreia timpul mediu pentru atingerea mișcării laterale a ajuns la 29 de minute. Implicația operațională: chiar și atunci când semnalele sunt detectate, organizațiile pot ajunge să reacționeze după ce atacatorul a avansat deja către sisteme și date critice.

Riscurile „de bază” domină expunerea, nu necunoscutele de tip zero-day

Materialul mai arată că expunerea este alimentată în principal de vulnerabilități și practici cunoscute, nu de vectori „exotici”. În cercetarea „Containment Gap” citată, vulnerabilitățile IT sunt menționate drept principala preocupare de securitate (66%), urmate de furtul de credențiale și escaladarea privilegiilor (45%). Vulnerabilitățile de tip zero-day (necunoscute anterior) sunt menționate semnificativ mai jos (23%).

Explicația propusă ține de limitările instrumentelor și ale abordărilor „moștenite”: de exemplu, firewall-urile nu au fost concepute pentru cartografierea dependențelor dintre aplicații și rețea, ceea ce poate duce la securizarea „pe insule” a sistemelor, fără o înțelegere a traseelor pe care un atacator le-ar folosi între ele.

Direcția recomandată: conținere proactivă și reactivă, sprijinite de observabilitate

Autorul argumentează că modelele bazate doar pe prevenție și detecție nu mai sunt suficiente, mai ales pe fondul accelerării atacurilor cu ajutorul instrumentelor de inteligență artificială, care pot crește viteza și autonomia atacurilor.

Sunt propuse două componente complementare:

• Conținere proactivă: pleacă de la premisa că un compromis este inevitabil și urmărește reducerea „căilor” inutile, impunerea de granițe între sisteme și limitarea distanței pe care un atacator o poate parcurge.
• Conținere reactivă: vizează izolarea rapidă atunci când incidentul se produce; viteza izolării „decide rezultatul”, iar controalele arhitecturale care reduc impactul (blast radius) ar trebui tratate ca infrastructură standard, nu adăugiri ulterioare.

Punctul central: ambele depind de observabilitate end-to-end, adică o imagine completă și actualizată a conectivității reale dintre componentele mediului IT. În acest cadru, analiza menționează rolul „graficelor de securitate” bazate pe AI (reprezentări care mapează dependențele și conexiunile în timp real) pentru a evidenția rutele cele mai probabile de atac și pentru a prioritiza segmentarea acolo unde reduce efectiv riscul.

Materialul face parte din seria TechRadar Pro Perspectives și reflectă opinia autorului, vicepreședinte de strategie de industrie la Illumio.