De tijd tussen het ontdekken van een kwetsbaarheid en het actief misbruiken ervan door aanvallers wordt steeds korter, mede door de inzet van AI. Organisaties krijgen hierdoor te maken met een enorme hoeveelheid kwetsbaarheidsmeldingen, dreigingsinformatie en advisories die onmiddellijke aandacht vragen. Toch wordt slechts een klein deel van deze kwetsbaarheden daadwerkelijk in de praktijk geëxploiteerd.

De uitdaging ligt niet langer in het verkrijgen van zichtbaarheid, maar in het bepalen welke bedreigingen daadwerkelijk een exploitabel risico vormen binnen de eigen omgeving voordat aanvallers deze op grote schaal kunnen inzetten. Dit operationele gat is de reden achter de ontwikkeling van oplossingen zoals Rapid Response van Horizon3.ai, die organisaties helpt om blootstelling te valideren, acties te prioriteren, fixes te verifiëren en onzekerheid over nieuwe dreigingen te verminderen.

De afgelopen maanden is duidelijk geworden hoe AI het tempo van kwetsbaarheidsdetectie en exploitontwikkeling aanzienlijk versnelt. Zo heeft het Attack Team van Horizon3.ai dit recent aangetoond door een kritieke kwetsbaarheid in Apache ActiveMQ binnen enkele minuten te identificeren en valideren. Hoewel deze snelheid indrukwekkend is, legt het ook een fundamenteel probleem bloot: veel organisaties zijn al overweldigd door de hoeveelheid potentiële risico’s die hun tools signaleren en hebben moeite met het prioriteren van hun bestaande systemen op basis van actuele kennis.

Het toevoegen van een exponentieel groeiend aantal kwetsbaarheden zonder betere inzichten in welke daarvan daadwerkelijk door aanvallers kunnen worden bereikt en misbruikt, verhoogt alleen maar de ruis, de druk op het oplossen van problemen en de vermoeidheid binnen securityteams. Organisaties hebben daarom niet meer meldingen nodig, maar betere signalen. Het Horizon3.ai Attack Team beoordeelt continu nieuwe kwetsbaarheden op basis van reële interesse van aanvallers, de mate van verspreiding, toegankelijkheid, exploitbaarheid en de kans dat ze op grote schaal worden ingezet. Deze vroege triage zorgt ervoor dat de focus ligt op kwetsbaarheden die een urgent en reëel risico vormen, in plaats van dat er achter elke CVE-aanmelding wordt aangejaagd.

Securityteams hebben daarnaast sneller antwoorden nodig op complexere vragen dan alleen de kritikaliteit van een kwetsbaarheid. Ze moeten weten of ze daadwerkelijk exploiteerbaar zijn, welke assets blootstaan, welke acties nodig zijn om het risico te elimineren, of de genomen maatregelen effectief zijn en hoe ze de risicoreductie kunnen aantonen aan het management. Veel organisaties worstelen nog met het snel beantwoorden van deze vragen onder tijdsdruk.

Een voorbeeld is wanneer op een dinsdagochtend dertig kwetsbaarheden worden gemeld, waarvan er uiteindelijk slechts één exploiteerbaar blijkt. Binnen enkele uren verspreiden advisories van leveranciers, dreigingsinformatie, discussies over kritieke kwetsbaarheden, socialmediaberichten en interne escalaties zich door de organisatie. Securityteams moeten dan snel bepalen welke kwetsbaarheden relevant zijn, of systemen zijn getroffen, of aanvallers toegang hebben tot die systemen, welke mitigaties mogelijk zijn, hoe complex het patchproces is en hoe ze teams kunnen organiseren om de blootstelling te verminderen.

Ondertussen kunnen aanvallers al bezig zijn met het scannen van kwetsbare diensten, het testen van publieke exploits of het ontwikkelen van eigen exploits en het identificeren van toegankelijke aanvalspaden. Verdedigers zijn dan vaak nog bezig met het analyseren van CVE’s, het inventariseren van hun systemen, het interpreteren van scanresultaten en het coördineren van acties voordat ze überhaupt kunnen starten met het oplossen van de problemen.