Hasil dari Pentera’s ke -4 Laporan Penciestingyang mensurvei sekitar 500 CISO secara global, menunjukkan bahwa sementara praktik manajemen paparan semakin matang, masih ada beberapa celah yang belum ditangani oleh pasar.
Permukaan serangan modern luas, dinamis, terdistribusi, dan buram. Ketika perusahaan berkembang menjadi arsitektur cloud-asli atau hibrida, menggunakan API oleh ribuan, dan mengintegrasikan perangkat IoT dan OT ke dalam operasi inti, area permukaan untuk ancaman cyber tumbuh baik dalam ukuran maupun kompleksitas. Saat ini, rata -rata perusahaan mengelola 75 alat keamanan, dan hampir setengah dari CISOS melaporkan pertumbuhan terus -menerus dalam tumpukan keamanan mereka dari tahun ke tahun.
Kompleksitas ini tidak menghalangi penyerang. Itu memungkinkan mereka. Aktor ancaman beroperasi secara oportunistik. Tidak ada permukaan yang aman karena penyerang didorong untuk mengeksploitasi apa pun yang terpapar; Mereka pada akhirnya termotivasi untuk menargetkan permukaan yang relatif lebih lemah dari yang berikutnya. Bagi para pemimpin keamanan, ini berarti itu bukan pertanyaan tentang bagaimana menutupi lebih banyak tanah, tetapi di mana harus fokus untuk keamanan maksimum – di mana di seluruh permukaan serangan adalah ancaman risiko yang paling terlibat?
Yang baru -baru ini dirilis 2025 Negara Bagian Pentesting melaporkan oleh PENTER mengungkapkan kerentanan relatif dari permukaan serangan yang berbeda, dari infrastruktur cloud dan aset yang menghadap web hingga API, titik akhir, dan bahkan sistem IoT. CISO dari 500 perusahaan ditanya di mana di seluruh jaringan mereka mereka memandang risiko, di mana upaya pensam diarahkan, dan daerah mana yang akhirnya dilanggar.
Hasilnya memberikan wawasan bagi tim keamanan untuk mempertajam fokus mereka, mengarahkan strategi pengujian mereka, dan menutup paparan paling berisiko lebih cepat.
Hadiri xposure! Manajemen Paparan Nasional Vsummit
Ambil pendekatan proaktif untuk mengelola dan mengurangi risiko cyber, mendapatkan wawasan ahli dari para pemimpin keamanan siber tentang mengamankan jaringan di seluruh perusahaan, dan mendengar bagaimana pemain industri top menerapkan tahapan manajemen paparan ancaman berkelanjutan (CTEM).
XPosure memberikan pendekatan berpikiran maju untuk ketahanan dunia maya.
Kebenaran yang disadari sedikit tentang manajemen paparan
Bahkan dengan program manajemen paparan terbaik, pelanggaran masih terjadi. Tetapi bekerja dalam program keamanan yang lebih matang, Anda menyadari Pelanggaran tidak selalu berarti kompromi.
Ambil contoh aset yang terbuka. Mungkin dilanggar dalam arti teknis-mungkin bahkan dengan aktor ancaman yang membangun pijakan di atasnya .. tetapi jika aset itu tidak terkait dengan data sensitif, sistem produksi, atau layanan kritis, dampak dunia nyata dapat diabaikan.
Tidak semua pelanggaran sama. Itulah yang dibawa oleh manajemen paparan giliran pola pikir dasar.
Tidak seperti manajemen kerentanan tradisional, di mana tim mengejar CVE berdasarkan skor keparahan atau usia tiket, manajemen paparan strategis. Itu mempertimbangkan keduanya kemampuan eksploitasi Dan dampak Untuk menentukan kerentanan apa yang sebenarnya penting. Lensa ganda ini memungkinkan tim untuk melewati kebisingan dan nol-in pada eksposur yang dapat menyebabkan kompromi yang menghancurkan.
Keadaan Laporan Pentesting memperkuat kebenaran ini. Meskipun hampir 67% perusahaan melaporkan pelanggaran dalam dua tahun terakhir, hanya 36% menghadapi downtime, 30% menderita paparan data, dan 28% menimbulkan kerugian finansial. Itu berarti sebagian besar “pelanggaran” memiliki sedikit atau tidak ada konsekuensi operasional. Tujuannya bukan untuk menghilangkan setiap pelanggaran – tetapi hanya yang akan menyakiti Anda.
Aset yang menghadap web – masih tautan terlemah
Jika manajemen paparan adalah tentang menyelaraskan perbaikan dengan risiko, aset yang menghadap web adalah contoh utama dari kisah peringatan.
Menurut data, aset yang menghadap web menjadi puncak ketiga metrik: mereka dianggap sebagai yang paling rentan (45%), diuji paling banyak (57%), dan paling sering dilanggar (30%).
Dalam beberapa hal ini menggembirakan. Ini menunjukkan bahwa tim keamanan secara akurat memprioritaskan aset eksternal, mengenali mereka sebagai target yang dapat diakses dan menarik, dan mengarahkan upaya yang menempel.
Namun terlepas dari semua perhatian itu, penyerang masih masuk.
Mengapa? Karena hanya berdasarkan paparan, aset yang menghadap web berisiko. Sistem ini – DNS, portal web, dan halaman login dirancang agar dapat dijangkau. Keterbukaan mereka membuat mereka “buah yang menggantung rendah,” terutama ketika salah konfigurasi, layanan yang terpapar, atau port terbuka dibiarkan tidak terkendali dan tanpa kompensasi kontrol seperti MFA.
Namun ini tidak berarti kegagalan.
Jika penyerang melanggar aset yang menghadap publik dan mencapai jalan buntu – tidak ada akses ke sistem sensitif, tidak ada data yang berharga, tidak ada gerakan lateral – lalu, jadi apa? Pelanggaran itu tidak berdampak. Dalam manajemen paparan, ini bukan hanya tentang mengurangi tingkat pelanggaran – ini tentang mengurangi dampak pelanggaran yang terjadi.
Jaringan internal, titik akhir, dan aplikasi – bagian depan yang terkandung
Ketika datang ke sistem yang paling dekat dengan perhiasan mahkota, organisasi melakukannya dengan benar. Mereka banyak diuji (48%) dianggap rentan (32%), dan melihat tingkat pelanggaran rendah (16%).
Jaringan internal, titik akhir, dan aplikasi masing -masing peringkat di tingkat atas untuk aktivitas pentesting dan menunjukkan tingkat pelanggaran yang relatif rendah, 16% untuk jaringan internal, 13% untuk titik akhir, dan 15% untuk aplikasi. Semua menyarankan hasil dalam upaya terfokus.
Ini adalah sistem yang data sensitif rumah, operasi listrik, dan mewakili jalur yang jelas untuk gerakan lateral atau eskalasi hak istimewa. Kekhawatiran mereka yang dirasakan memberi mereka tingkat fokus dan perhatian yang lebih besar, dengan kontrol keamanan berlapis dan perkakas yang lebih matang. Ini juga mencerminkan sesuatu yang lebih dalam: kematangan manajemen paparan. Organisasi tidak hanya memindai sistem ini untuk kerentanan, mereka juga berpenduduk dalam konteks, memprioritaskan berdasarkan dampak potensial, dan memvalidasi untuk mengkonfirmasi bahwa pertahanan bertahan di bawah tekanan.
Risiko API – menunjukkan kesenjangan antara persepsi dan kenyataan
API duduk di persimpangan logika bisnis dan sistem backend. Mereka penting, sangat terintegrasi, dan sering diabaikan, dengan data dari laporan survei yang menunjukkan API mungkin lebih rentan daripada yang disadari oleh tim keamanan.
Sementara API diuji pada tingkat yang sama dengan jaringan internal (48%), mereka menunjukkan tingkat pelanggaran yang lebih tinggi, 21%, dibandingkan dengan 16%untuk jaringan internal. Kesenjangan itu menunjukkan pemutusan: baik risiko API yang dirasakan terlalu rendah, atau pendekatan pengujian saat ini tidak mengungkapkan gambaran lengkap.
Tantangannya adalah kompleksitas. API itu dinamis, sulit untuk inventaris, dan terkenal sulit untuk diuji dengan baik. Permukaan serangan mereka bukan hanya tentang port atau titik akhir, ini tentang kelemahan logika, otentikasi yang rusak, dan integrasi yang salah konfigurasi, semuanya mengarah ke jalur serangan yang tidak muncul dalam pemindaian standar.
API juga sering menjembatani sistem, baik antara layanan cloud, alat pihak ketiga, aplikasi seluler, dan database internal. Itu membuat mereka target utama untuk pergerakan lateral atau exfiltrasi data. Dan kesenjangan visibilitas mereka membuat mereka sangat menarik bagi penyerang yang memahami cara bergerak di bawah radar.
Menutup kesenjangan berarti naik leveling pengujian, baik dalam hal frekuensi maupun kedalaman. Pengujian API yang berkelanjutan dan permusuhan sangat penting untuk mengekspos kelemahan integrasi bahwa metode tradisional tampaknya hilang.
Manajemen Eksposur menunjukkan tanda -tanda penyelarasan yang menggembirakan
Laporan State of Pentesting 2025 mengkonfirmasi apa yang telah kami ketahui selama bertahun -tahun – kedekatan yang lebih dekat dengan risiko bisnis mendorong eksekusi yang lebih tajam.
Ada keberpihakan yang tumbuh antara risiko yang dirasakan, aktivitas pentesing, dan pelanggaran. Sinyal yang kuat bahwa praktik manajemen paparan semakin matang, karena tim meminimalkan kesenjangan antara risiko yang diasumsikan dan aktual.
Tujuan manajemen paparan bukan untuk mencegah setiap pelanggaran. Itu untuk mencegah orang -orang itu penting. Dengan menggabungkan prioritas berbasis data dengan validasi berkelanjutan, tim keamanan dapat fokus pada eksposur nyata, bukan ancaman teoretis. Memastikan bahwa ketika penyerang datang mengetuk, tidak ada yang berharga di balik pintu itu.
Untuk mempelajari lebih lanjut tentang bagaimana perusahaan terkemuka menerapkan program manajemen paparan mereka, hadir XposureManajemen Eksposur Nasional Vsummit.
Disponsori dan ditulis oleh PENTER.
