Identifikovanje skrivenih napadnih puteva determinističkim mrežnim grafovima

Hamilton, Kanada – 20. septembar 2025.

Zašto determinističko modeliranje grafova nadmašuje istraživačko pentestiranje

Tradicionalni pentesti otkrivaju samo napadne puteve koji se slučajno pronađu tokom ograničenih angažmana. To ostavlja velike delove površine napada mreže neistražene i neizmerene. SEAS i CypSec-ov deterministički pristup zamenjuje taj model pokušaja i greške potpunim nabrajem napadnih puteva kroz formalne mrežne grafove.

U determinističkom testiranju, mreža je predstavljena kao graf čvorova (domaćini, nalozi, servisi) i grana (odnosi poverenja, kredencijali, dozvoljene komunikacije). Svaka grana je označena uslovima za prelazak, poput potrebnih privilegija ili poznatih eksploa. Ta struktura omogućava izračunavanje svih teorijski validnih puteva od ulazne tačke do visoko-vrednih ciljeva.

Takav pristup pentestiranju zasnovan na segmentaciji pouzdano otkriva skrivene rute koje crveni timovi često previde. SEAS često identifikuje višekoračne puteve koji uključuju nalozi sa niskim privilegijama, ulančane pogrešne konfiguracije ili zaboravljene legaci sisteme koje napadači mogu iskoristiti da potpuno zaobiđu odbrane. To su putevi koji su obično nevidljivi heurističkom pentestiranju.

Determinističko modeliranje takođe otkriva kritične tačke: čvorove ili kredencijale koji se pojavljuju na mnogim napadnim putevima i čiji bi kompromitovanje omogućilo širok pristup. To su ključne tačke za smanjenje rizika. Pojačavanje ili izolacija njih često eliminiše desetine potencijalnih napadnih puteva odjednom, pružajući daleko veći efekat nego zakrpljivanje izolovanih ranjivosti.

Ne možete braniti ono što niste mapirali. Deterministički grafovi napadnih puteva pokazuju svaku rutu koju napadač može preduzeti, ne samo one koje slučajno pronađemo, izjavio je Frederick Roth, glavni direktor bezbednosti informacija u CypSec.

Budući da model nabrajа sve puteve, a ne samo one pronađene pokušajem, pruža potpun pregled potencijala bočnog kretanja. To daje arhitektima bezbednosti i rukovodiocima rizika tvrde podatke za prioritizaciju segmentacije, redizajna privilegija i pokrivanja nadzora sa maksimalnim uticajem.

SEAS i CypSec integrišu ovo modeliranje puteva u CypSec-ovu platformu za upravljanje rizicima, omogućavajući organizacijama da povežu svaki put sa povezanim sredstvima, poslovnim uticajem i postojećim kontrolama. To premosti jaz između sirovih nalaza pentestiranja i strateške uprave rizikom.

Gde konvencionalni pentesti staju na „dokaz kompromitovanja“, determinističko testiranje nastavlja do „dokaz svih mogućih kompromitovanja“. To daje organizacijama odbranjivu osnovu da tvrdi pokrivenost i demonstrira poboljšanje tokom vremena.

O SEAS: SEAS Inc. je kanadska firma za kibernetičku bezbednost specijalizovana za determinističko pentestiranje i formalno modeliranje bezbednosti složenih mrežnih okruženja. Za više informacija posetite seas-inc.com.

O CypSec: CypSec isporučuje upravljanje rizicima, upravu pristupa i rešenja kibernetičke bezbednosti za korporativna i vladina okruženja. Njegova platforma integriše determinističko modeliranje napadnih puteva da podrži strukturne odluke o riziku. Za više informacija posetite cypsec.de.

Kontakt za medije: Daria Fediay, izvršni direktor u CypSec - daria.fediay@cypsec.de.