Francis Odum o enem sloju, ki ga vaš varnostni sklad še vedno pogreša
95 % organizacij poroča o napadih prek brskalnika.
Večina nima načrta, kako bi jih ustavila.
To ni statistični podatek, ki bi ga bilo treba zavreči. To je znak, da varnostne strategije niso usklajene s tem, kje se delo in tveganje dejansko izvajata.
Danes je brskalnik tisti, kjer se podatki premikajo. Kjer se sprejemajo odločitve. Kjer se skrivajo napadalci.
Zakaj se torej večina varnostnih skladov ustavi tik pred tem?
In Vodnik za zrelost varnih brskalnikov za podjetja: Zaščita zadnje milje pred poslovnim tveganjem, strateg za kibernetsko varnost Frančišek Odum predstavlja praktičen model za končno zaščito brskalnika, najbolj spregledane plasti v podjetju.
Vaš brskalnik je edino mesto, ki ga vaš Stack ne vidi
Začnimo s številko, ki na novo opiše celoten problem: 85 % sodobnega delovnega dneva se zdaj odvija znotraj brskalnika. To pomeni, da je vsaka prijava, vsak dokument, vsaka nadzorna plošča, vsak poziv GenAI, vsaka občutljiva podrobnost o stranki, vse dostopano in manipulirano v brskalniku.
Pa vendar:
- EDR opazuje operacijski sistem, ne DOM.
- CASB vidi samo odobrene aplikacije, ne pa tistih, ki so dejansko v uporabi.
- DLP Ne morem pregledati kopiranja/lepljenja ali pritiskov tipk v brskalniku.
- SWG blokirajte znane slabe domene, ne dinamičnega SaaS, ne razširitev, ne orodij GenAI.
Rezultat?
Pravo poslovno tveganje, brez datotek, hitro in s strani uporabnika, ostane popolnoma neopaženo. Dokler ni prepozno.
To smo videli na lastne oči: osebni podatki, prilepljeni v klepetalni robot z umetno inteligenco, poslovne datoteke, naložene v osebne račune, piškotki poverilnic, ki jih izvlečejo razširitve. In vse to nevidno za sklad, ki naj bi »videl vse«.
Vodnik, ki končno ponuja CISO-jem način, kako to popraviti
Francis Odum Vodnik za zrelost varnih brskalnikov za podjetja ponuja nekaj, kar varnostne ekipe obupno potrebujejo: ogrodje.
Model orisuje tri stopnje zrelosti brskalniške plasti, pri čemer vsak temelji na opaznih izzivih in je zasnovan za resnična okolja.
1. faza: Vidljivost
Začne se z na videz preprostim vprašanjem: Ali sploh veste, kaj se dogaja v vaših brskalnikih?
Za večino organizacij je odgovor ne.
Ne vedo, katere razširitve so nameščene, do katerih orodij SaaS se dostopa, kam se lepijo ali nalagajo občutljivi podatki ali ali brskalnik deluje na korporativni ali neupravljani napravi.
V 1. fazi gre za to, da nevidno postane vidno.
To vključuje:
- Popis vrst in različic brskalnikov
- Zajemanje telemetrije v brskalniku (ne le dnevnikov prometa)
- Ogled vsebine, ki jo uporabniki kopirajo, lepijo in nalagajo
- Razkrivanje uporabe senčnih SaaS in GenAI, preden pride do izpostavljenosti
Pogosto slišimo od ekip, ki verjamejo, da imajo to preglednost že prek CASB ali SWG. Vendar ta orodja niso bila zasnovana za sam brskalnik. Delujejo okoli njega, ne znotraj njega.
V tej fazi se začne zrelost in večina varnostnih ekip končno spozna, kako globoka je v resnici vrzel.
2. faza: Nadzor in izvrševanje
Ko enkrat vidite tveganje, se postavlja naslednje vprašanje: Lahko to ustaviš?
V tej fazi se poudarek preusmeri na aktivno upravljanje vedenja brskalnika, ne da bi brskalnik postal mrtva cona produktivnosti.
Priročnik opisuje ključne strategije izvrševanja, kot so:
- Blokiranje nalaganj/prenosov med določenimi aplikacijami in nezaupanja vrednimi destinacijami
- Nadzorovanje ali odstranjevanje tveganih razširitev brskalnika
- Uveljavljanje pravil seje, ki upoštevajo identiteto (npr. prekinitev dostopa do osebnega Gmaila na poslovnem zavihku)
- Prestrezanje kopiranja/lepljenja občutljivih podatkov
- Obveščanje uporabnikov z opozorili v realnem času pred tveganimi dejanji
Tukaj je ključnega pomena čas. Večina tradicionalnih kontrol deluje po dogodek, po pošiljanju datoteke, po razkritju podatkov.
Izvrševanje v brskalniku pomeni zaustavitev dejanja v trenutkuPred lepljenjem. Pred nalaganjem. Pred prebojem.
Tu se igra spremeni.
3. faza: Integracija in uporabnost
Tu varnost postane zrela, uporabna in trajnostna.
Na tej stopnji kontrole na ravni brskalnika niso več ločene. Vključujejo se v politike SIEM, XDR, IAM in ZTNA. Vplivajo na ocene tveganja in sprožijo avtomatiziran odziv na incidente. Podpirajo dvojne profile za ločevanje osebnega in poslovnega brskanja. Zajemajo izvajalce, neupravljane naprave in uporabnike tretjih oseb v velikem obsegu.
Najpomembneje pa je, da vse to počnejo, ne da bi pri tem upočasnjevali ljudi.
Pri LayerX smo videli, da najuspešnejše ekipe brskalnik obravnavajo kot nadzorno ravnino in ne kot črno skrinjico. Postavijo ga v svojo širšo varnostno arhitekturo in ga ne naredijo del svoje prirobnice.
In deluje.
Opazovali smo podjetja, ki so v realnem času zaznala in blokirala uhajanje podatkov iz pozivov GenAI. Preprečili smo pridobivanje poverilnic s strani zlonamerne razširitve. Izklopili smo nepooblaščeno uporabo aplikacij, vse brez motenj delovnih procesov.
GenAI: Stresni test zadnje milje
Če tveganje brskalnika še ni bilo očitno, ga je GenAI naredil neizogibnega.
Zaposleni v LLM-je, kot sta ChatGPT in Bard, vnašajo zapise o strankah, izvorno kodo in strateške načrte, brez kakršne koli politike, zaščite ali celo zavedanja.
Po vodniku, 65 % organizacij nima nobenega nadzora nad tem, kateri podatki se vnašajo v orodja GenAI. In ker so pozivi videti kot pritiski tipk in ne kot datoteke, jih tradicionalni DLP ne more ustaviti. Pozivi so v bistvu nedovoljeni klici API-ja brez revizijske sledi.
To pomeni, da GenAI ni le tveganje. Je propad vidljivostiIn brskalnik je edina logična točka izvrševanja.
Model zrelosti se s tem neposredno spopada in prikazuje, kako natančno zaznati in ustaviti tvegane interakcije GenAI na mestu uporabe, ne pa šele po tem, ko so podatki že izginili.
Kaj omogoča delovanje tega modela
Kar nam je pri tem priročniku všeč, je to, da ni teoretičen. Je praktičen.
Ekipam daje:
- Jasni kazalniki za primerjavo njihovega trenutnega stanja
- Taktike za hitre zmage (kot so telemetrija v načinu revizije, odkrivanje razširitev)
- Postopni načrt za dosego polne zrelosti
- Smernice za uvedbo, ki upoštevajo upravljanje sprememb in usklajenost z deležniki
In morda najpomembneje, ne zahteva, da raztrgate in zamenjate tisto, kar ste že zgradili.
Ni vam treba opustiti uvajanja SSE ali strategije DLP. Le razširiti ju morate na eno plast, ki je ne morejo videti.
Nova kontrolna plast
Menimo, da bi moral biti ta priročnik obvezno branje za vse CISO, ki so pozorni na tveganja SaaS, BYOD ali GenAI.
To potrjuje, kar smo videli na prvih bojnih vrstah: da brskalnik ni več le mesto, kjer se opravlja delo. To je mesto, kjer se začne izpostavljenost podatkov. In če vaši nadzorni mehanizmi ne segajo v to plast, se vaš varnostni program ustavi korak prehitro.
Ne glede na to, ali šele začenjate z revizijo razširitev ali pa gradite na popolnem uveljavljanju pravilnikov, ki so izvorni za brskalnik, vam ta okvir pomaga pri strateški izvedbi in obveščanju vodstva o svojem napredku.
Ne moreš zavarovati tistega, česar ne vidiš
Varnostna arhitektura se je razvila za zaščito krajev, kjer se podatki nahajajo. Da pa bi zaščitili kraj, kjer se premikajo, kopirajo, lepijo, zahtevajo dostop in nalagajo, moramo ponovno premisliti o zadnjem delu sistema.
Ta priročnik prikazuje, kako.