Een nieuw onderzoek onder 300 ethische hackers geeft niet alleen inzicht in de meest voorkomende manieren van initiële toegang, maar ook in hoe een volledige end-to-end aanval verloopt. Het SANS-onderzoek naar ethisch hacken, uitgevoerd in samenwerking met beveiligingsbedrijf Bishop Fox, is het eerste in zijn soort en verzamelde antwoorden van meer dan 300 ethische hackers die in verschillende functies binnen organisaties werken, met verschillende ervaringsniveaus en specialisaties op verschillende gebieden van informatiebeveiliging.
Uit het onderzoek bleek dat hackers gemiddeld vijf uur nodig hebben voor elke stap van een aanvalsketen: verkenning, uitbuiting, privilege-escalatie en data-exfiltratie, waarbij een end-to-end aanval minder dan 24 uur in beslag neemt.
De respondenten bewezen ook het oude adagium dat het niet “of” maar “wanneer” is. Zelfs als hun eerste aanvalsvector mislukt, geeft bijna 38 procent aan “vaker wel dan niet” in een omgeving te kunnen inbreken door herhaalde aanvallen.
De meeste SANS-onderzoeken richten zich op het perspectief van de verdedigers – bijvoorbeeld door incidentresponders te vragen hoe lang het duurt voordat zij een cyberaanval hebben ontdekt en erop hebben gereageerd. Dit rapport, in opdracht van offensief beveiligingsbedrijf Bishop Fox, was bedoeld om “in de mindset te komen van iemand die een organisatie aanvalt, en in plaats daarvan te kijken naar die metriek”, aldus auteur Matt Bromiley, docent digitaal forensisch onderzoek en incident response bij SANS.
Dus koos het onderzoeksteam voor de op één na beste optie: de ethische hackers die tot taak hadden de tegenstanders na te bootsen. Zij vroegen deze groep bug hunters en penetratietesters naar hun favoriete aanvalsvectoren, de tools die zij gebruiken en hun snelheid.
Het merendeel van de respondenten (83,4%) werkt voor bedrijven met hoofdkantoor in de VS. En het grootste segment (34,2%) zei in cyberbeveiliging te werken, met banen variërend van beveiligingsanalist tot chief information security officer of VP van beveiliging of technologie.
Ongeveer 40% van de ethische hackers die onlangs door het SANS Institute zijn ondervraagd, zeggen dat ze kunnen inbreken in de meeste omgevingen die ze testen, zo niet in alle. Bijna 60% zegt vijf uur of minder nodig te hebben om in te breken in een bedrijfsomgeving zodra ze een zwakke plek hebben ontdekt.
