foto magnific

Ganze 79 % ergreifen keine Maßnahmen aufgrund KI-generierter Ergebnisse ohne menschliche Validierung.
Nur 15 % bezeichnen ihre Programme für Sicherheitstests und -validierung als kontinuierlich.

Synack, Anbieter des ersten KI-gestützten, kontinuierlichen Penetrationstests für Unternehmen, hat die Studie »The State of Continuous Security Validation« veröffentlicht [1]. Sie basiert auf einer Befragung von Führungskräften und Fachleuten im Bereich Unternehmenssicherheit. Die Untersuchung ergab, dass 95 % der Befragten im vergangenen Jahr schwerwiegende oder kritische Schwachstellen außerhalb der geplanten Testzeiträume entdeckten – 42 % sogar mindestens einmal im Monat. Die Ergebnisse verdeutlichen eine wachsende Diskrepanz zwischen der Änderungsgeschwindigkeit in Unternehmensumgebungen und dem Rhythmus punktueller Sicherheitstests.

Die Studie hebt drei miteinander verknüpfte Herausforderungen hervor:

Abdeckungslücke: 38 % gaben an, dass mindestens ein Viertel ihrer kritischen Angriffsfläche in den letzten 90 Tagen nicht unabhängig getestet oder validiert wurde.
Vertrauenslücke bei KI: 79 % würden ohne menschliche Validierung keine Maßnahmen auf Basis KI-generierter Ergebnisse ergreifen.
Reifegradlücke: Nur 15 % bezeichneten ihr Programm für Sicherheitstests und -validierung als kontinuierlich.

Sicherheitsverantwortliche beschrieben die praktischen Auswirkungen: »Es bedeutet schlicht, dass wir mit einem ständigen blinden Fleck arbeiten: Neue Code-Änderungen laufen tagelang oder wochenlang in der Produktionsumgebung, bevor sie schließlich validiert werden.«

KI erweitert die Abdeckung – Menschen bestätigen die Relevanz

Die Studie zeigt ein starkes Interesse an KI-gestützten Sicherheitstests, jedoch nicht an einer KI, die ohne menschliches Urteilsvermögen agiert. Die Befragten erwarten, dass KI eine wichtige Rolle bei der Skalierung der Aufklärung (Reconnaissance), der Identifizierung potenzieller Schwachstellen und der Ausweitung der Testabdeckung spielt. Menschliche Expertise bleibt entscheidend für die Validierung der Ausnutzbarkeit, die Bewertung des Schweregrads und des Geschäftsrisikos, das Testen komplexer Arbeitsabläufe, die Reduzierung von Fehlalarmen (False Positives) sowie die Kommunikation von Risiken an Stakeholder.

»Punktuelle Tests stoßen an ihre Grenzen, da sich die Umgebung schneller verändert, als es ein geplanter Test abbilden kann«, sagt Angela Heindl-Schober, Chief Marketing Officer bei Synack. »Die Richtung des Marktes ist klar: KI erweitert die Abdeckung, Menschen bestätigen die Ausnutzbarkeit, und die Sicherheitsvalidierung wird kontinuierlich. Das Problem liegt nicht am fehlenden Bewusstsein, sondern an der Umsetzung.«

Kontinuierliches Pentesting beziehungsweise die kontinuierliche Validierung war mit 22 % die am häufigsten genannte Methode, um zu überprüfen, ob eine Schwachstelle tatsächlich ausnutzbar ist. Dennoch bezeichneten nur 15 % den Reifegrad ihres Gesamtprogramms als »kontinuierlich«. Zu den größten Hürden bei der Einführung einer kontinuierlichen Sicherheitsvalidierung zählten Compliance-gesteuerte Testzyklen, die Komplexität der Integration, mangelndes Vertrauen in automatisierte Ergebnisse, Fehlalarme, Schwierigkeiten beim Nachweis des ROI sowie unklare Zuständigkeiten zwischen den Teams.

»Automatisierung kann zwar mehr Signale liefern, doch Sicherheitsteams benötigen handfeste Erkenntnisse, nicht bloßes Rauschen«, erklärte Mark Kuhr, Mitbegründer und Chief Technology Officer bei Synack. »Menschliche Sicherheitsforscher bringen die nötige Kreativität und den Kontext mit, um Schwachstellen zu verknüpfen, deren Ausnutzbarkeit zu bestätigen und aufzuzeigen, welche Aktionen ein Angreifer tatsächlich durchführen kann.«

Ein Modell aus Mensch und KI für die kontinuierliche Sicherheitsvalidierung

Die Ergebnisse unterstreichen die Notwendigkeit eines Ansatzes, der Mensch und KI für die kontinuierliche Sicherheitsvalidierung kombiniert. Sara AI Pentesting nutzt den Synack Autonomous Red Agent, um Aufklärung und Tests in großem Maßstab auszuweiten, während das Synack Red Team streng geprüfte menschliche Expertise einbringt. Diese ermöglicht es, die reale Ausnutzbarkeit von Schwachstellen zu validieren, verkettete Angriffswege zu identifizieren und den Kontext zu liefern, den Automatisierung nicht nachbilden kann. Gemeinsam unterstützen sie Unternehmen dabei, den Schritt von punktuellen Momentaufnahmen hin zu einer kontinuierlichen Sicherheitsvalidierung zu vollziehen.

[1] https://www.synack.com/state-of-continuous-security-validation/

102 Artikel zu „Pentest“

News | IT-Security | Services | Tipps

Wir brauchen mehr »Pentesting«

24. November 2024

Dennis Weyel: »Blindes Vertrauen in die Cyber-Verteidigungssysteme, ohne diese fortlaufend auf den Prüfstand zu stellen, ist naiv.« Pentesting, also die Selbsteinschätzung der IT-Infrastruktur der eigenen Firma, um die Cyberresilienz zu testen, wird in der Wirtschaft sträflich vernachlässigt, beklagt Dennis Weyel, International Technical Director mit Zuständigkeit für Europa beim Sicherheitsunternehmen Horizon3.ai. Er erklärt: »Wie standhaft…

Ganze 79 % ergreifen keine Maßnahmen aufgrund KI-generierter Ergebnisse ohne menschliche Validierung.

Nur 15 % bezeichnen ihre Programme für Sicherheitstests und -validierung als kontinuierlich.

[1] https://www.synack.com/state-of-continuous-security-validation/

102 Artikel zu „Pentest“