Sophos Advisory Services: eksperckie Security Testing

Dzięki Sophos Advisory Services Sophos rozszerza swoje portfolio usług bezpieczeństwa o proaktywne oceny bezpieczeństwa. Podstawowa idea jest prosta: organizacja nie powinna dopiero podczas ataku dowiadywać się, czy jej środowisko jest naprawdę odporne. Lepszy jest kontrolowany test, w którym doświadczeni testerzy bezpieczeństwa patrzą na środowisko z perspektywy atakującego, potwierdzają słabe punkty i przekazują konkretne rekomendacje usprawnień.

Na początku brzmi to jak klasyczny penetration testing i właśnie od tego Sophos zaczyna. Advisory Services jest jednak szersze niż pojedynczy “scan”. Obejmuje testy techniczne, jasne określenie celów, wiarygodne findings, priorytetyzację, raport dla odbiorców technicznych i nietechnicznych oraz, w przypadku findings krytycznych lub wysokich, walidację remediation w ciągu 90 dni.

Ważne jest właściwe rozróżnienie: Sophos Advisory Services nie zastępuje Sophos MDR, nie zastępuje Sophos Managed Risk i nie jest pomocą awaryjną podczas aktywnego ataku. To proaktywna warstwa doradztwa i testowania pomiędzy nimi: sprawdzić, zrozumieć, nadać priorytety, poprawić.

Czym są Sophos Advisory Services?

Sophos Advisory Services to oceny bezpieczeństwa prowadzone przez ekspertów. Sophos opisuje je jako niezależne, proaktywne usługi Security Testing, w których sieci, systemy, aplikacje oraz, zależnie od zakresu, także organizacyjne aspekty bezpieczeństwa są oceniane wobec realnych metod ataku.

Usługę realizuje Sophos Red Team oraz inni eksperci bezpieczeństwa. Metodyka korzysta z doświadczeń Sophos X-Ops, działań Incident Response, Threat Hunting oraz wielu projektów testowych. Dzięki temu test nie powinien tylko odhaczać znanych checklist, ale uwzględniać aktualne taktyki atakujących.

Praktyczna wartość sprowadza się do czterech pytań:

• Gdzie znajdują się słabe punkty, które atakujący mogliby realnie wykorzystać?
• Jak daleko mógłby dojść atakujący z zewnątrz, wewnętrznie, przez Wi-Fi albo przez aplikację webową?
• Które środki techniczne i organizacyjne najmocniej zmniejszają ryzyko?
• Jakie wyniki można zrozumiale pokazać zarządowi, partnerom, audytorom lub cyberubezpieczycielom?

Wynik nie jest tylko informacją “zaliczone/niezaliczone”. Dobry test pokazuje, co sprawdzono, co znaleziono, jak krytyczny jest finding, jaki jest realistyczny wpływ i co konkretnie trzeba zmienić.

Cztery aktualnie dostępne usługi

Na start Sophos zapowiedział cztery oferty Security Testing. Kolejne Advisory Services mogą pojawić się później, ale te cztery tworzą obecnie rdzeń.

External Penetration Testing

External Penetration Testing ocenia środowisko z perspektywy zewnętrznego atakującego. W centrum są publicznie dostępne systemy, takie jak strony internetowe, portale VPN, zdalny dostęp, infrastruktura e-mail, API, serwery webowe, usługi cloud lub inne usługi wystawione do Internetu.

Test odpowiada przede wszystkim na te pytania:

• Które systemy są widoczne z zewnątrz?
• Czy usługi są błędnie skonfigurowane lub przestarzałe?
• Czy istnieją znane podatności możliwe do wykorzystania?
• Czy da się uzyskać pierwszy dostęp do środowiska?
• Które działania zmniejszają zewnętrzną powierzchnię ataku?

External pentesting jest szczególnie sensowny przy publikacji nowych usług, po większych zmianach infrastruktury, przed audytami albo gdy nie wiadomo, jak duża naprawdę jest zewnętrzna powierzchnia ataku. Uzupełnia też ciągłe podejścia exposure management, takie jak Sophos Managed Risk, ale ich nie zastępuje. Managed Risk monitoruje i priorytetyzuje ciągle. Pentest w określonym momencie idzie głębiej i próbuje kontrolowanie wykazać, co mógłby osiągnąć atakujący.

Internal Penetration Testing

Internal Penetration Testing zakłada, że atakujący jest już w sieci albo konto użytkownika zostało przejęte. W praktyce to realistyczny scenariusz: phishing, skradzione dane logowania, niebezpieczny dostęp VPN lub zainfekowany klient często wystarczają, aby uzyskać pierwszy punkt zaczepienia.

Test wewnętrzny sprawdza na przykład:

• czy segmentacja naprawdę działa,
• czy dostęp uprzywilejowany nie jest przyznany zbyt szeroko,
• czy serwery, klienci i systemy zarządzania są rozdzielone,
• czy można nadużyć lokalnych uprawnień administratora,
• czy możliwy jest lateral movement,
• czy dane wrażliwe są dostępne z systemów wewnętrznych.

Właśnie tutaj często widać różnicę między architekturą na diagramie a rzeczywistością. Sieć może wyglądać na dobrze posegmentowaną, ale w codziennej pracy być znacznie bardziej przepuszczalna przez wyjątki, stare systemy, otwarte porty zarządzania lub słabe uprawnienia. Testy wewnętrzne są więc dobrym reality check dla projektów Zero Trust, segmentacji i hardeningu.

Wireless Network Penetration Testing

Wireless Network Penetration Testing sprawdza bezpieczeństwo Wi-Fi. Sophos rozróżnia kontrole pasywne i aktywne.

Ocena pasywna obserwuje ruch radiowy i szuka problemów, takich jak rogue access points, nieoczekiwane SSID, słabe szyfrowanie, błędne konfiguracje lub urządzenia niepasujące do modelu bezpieczeństwa. Ocena aktywna idzie dalej i symuluje próby ataku, na przykład przeciwko uwierzytelnianiu, szyfrowaniu lub kontrolom dostępu.

Typowe pytania to:

• Czy firmowe Wi-Fi, Wi-Fi gościnne i sieci wewnętrzne są czysto rozdzielone?
• Czy używane są silne metody uwierzytelniania?
• Czy istnieją niechciane access points lub błędnie skonfigurowane urządzenia?
• Czy atakujący może obejść mechanizmy ochronne?
• Czy konfiguracja Wi-Fi odpowiada wewnętrznym politykom bezpieczeństwa?

Wi-Fi jest w wielu środowiskach niedoceniane, bo bywa traktowane “tylko” jako warstwa dostępu. W rzeczywistości często jest bezpośrednim mostem do sieci wewnętrznych. Test wireless jest szczególnie przydatny w biurach z obszarami wrażliwymi, zakładach produkcyjnych, instytucjach edukacyjnych, ochronie zdrowia, retailu lub środowiskach z wieloma gośćmi i urządzeniami mobilnymi.

Web Application Security Assessment

Web Application Security Assessment sprawdza aplikacje webowe pod kątem problemów bezpieczeństwa. Należą do nich klasyczne podatności, takie jak SQL Injection, Cross-Site Scripting, błędne uwierzytelnianie, Broken Access Control, Security Misconfiguration, niebezpieczne zarządzanie sesją lub problemy projektowe w aplikacji.

Sophos opisuje dwie możliwe perspektywy:

• Black-box Testing: tester nie ma informacji wewnętrznych i sprawdza aplikację jak zewnętrzny atakujący.
• White-box Testing: tester otrzymuje dostęp do kodu źródłowego, informacji architektonicznych lub dokumentacji technicznej i może testować głębiej.

Właściwy wariant zależy od celu. Jeśli chce się wiedzieć, co może osiągnąć zewnętrzny atakujący bez wiedzy wstępnej, pasuje Black-box Testing. Jeśli nowa aplikacja ma zostać naprawdę głęboko sprawdzona przed go-live, White-box Testing często jest cenniejszy, ponieważ uwidacznia także problemy strukturalne w kodzie lub projekcie.

Web Application Assessments są szczególnie ważne dla portali klientów, sklepów, wewnętrznych narzędzi webowych, API, portali partnerskich, obszarów logowania oraz aplikacji z danymi osobowymi lub krytycznymi biznesowo.

Jak zwykle przebiega engagement Advisory

Dobry test bezpieczeństwa nie zaczyna się od narzędzi, lecz od scope i celu. Sophos podkreśla to w Advisory Services: testy powinny być goal-based i oceniać systemy w kontekście środowiska.

1. Ustalić cel i scope

Przed testem musi być jasne, co będzie sprawdzane, a co nie. Obejmuje to:

• systemy docelowe, domeny, zakresy IP, aplikacje lub lokalizacje,
• dozwolone typy testów i wykluczone działania,
• okna czasowe i okna serwisowe,
• osoby kontaktowe do pytań technicznych i biznesowych,
• ścieżki eskalacji przy krytycznych findings lub zakłóceniach działania,
• konta testowe i wymagane dostępy,
• sposób obchodzenia się z danymi produkcyjnymi.

Ta faza jest ważna, ponieważ Security Testing zawsze może mieć wpływ. Aktywny test Wi-Fi, aplikacji webowej lub sieci wewnętrznej nie może niekontrolowanie uderzać w działanie produkcyjne. Im lepiej zdefiniowane są scope i reguły, tym bardziej użyteczny i bezpieczny będzie wynik.

2. Przeprowadzić test

W fazie testu eksperci bezpieczeństwa pracują z połączeniem analizy ręcznej, tooling, doświadczenia i aktualnych informacji Threat Intelligence. Różnica wobec czystego skanu podatności polega na tym, że findings nie są tylko zgłaszane, ale też oceniane i, jeśli to możliwe, walidowane.

Skaner może powiedzieć: “Tutaj może istnieć podatność.” Dobry pentest odpowiada dodatkowo: “Czy da się ją wykorzystać? W jakich warunkach? Jak daleko można dzięki niej dojść? Jaki jest realny impact? Które działanie naprawdę pomaga?”

3. Udokumentować wyniki

Po zakończeniu Sophos dostarcza raport. Według Sophos jest on przeznaczony dla odbiorców technicznych i nietechnicznych. To ważne, ponieważ czysto techniczny raport często nie pomaga zarządowi, a sam raport zarządczy jest zbyt mało konkretny dla administratorów.

Użyteczny raport powinien więc zawierać co najmniej:

• podsumowanie dla managementu i właścicieli ryzyka,
• techniczne findings z dowodami,
• poziom istotności i realistyczny wpływ,
• dotknięte systemy i testowany scope,
• priorytetyzowane rekomendacje,
• konkretne kroki remediation,
• wskazówki dotyczące szybkich poprawek i usprawnień strukturalnych.

Priorytetyzacja jest kluczowa. Wiele organizacji ma więcej findings niż czasu. Dobry raport pomaga najpierw naprawić podatności, które są naprawdę możliwe do wykorzystania, wystawione lub krytyczne biznesowo.

4. Zweryfikować krytyczne i wysokie findings

Cennym punktem na stronie Sophos jest Remediation Validation: dla naprawionych findings o poziomie krytycznym lub wysokim wliczona jest walidacja w ciągu 90 dni. To praktyczne, bo tworzy realną pętlę kontrolną, a nie tylko PDF.

Dla operacji oznacza to, że krytyczne i wysokie findings powinny szybko trafić do ticketów, otrzymać ownera i zostać ponownie sprawdzone po remediation. W przeciwnym razie test pozostaje tylko migawką bez trwałego efektu.

Różnice względem MDR, Managed Risk i Incident Response

Sophos ma już kilka usług bezpieczeństwa, których nazwy łatwo pomylić. Różnice są jednak ważne.

Advisory Services vs. Sophos MDR

Sophos MDR to ciągła usługa Managed Detection and Response. Analitycy monitorują sygnały, wykrywają zagrożenia i reagują na aktywne ataki lub podejrzane zachowanie zgodnie z uzgodnionym modelem.

Advisory Services to natomiast projektowe testy i assessments. Sprawdzają, czy kontrole, aplikacje, sieci lub Wi-Fi są możliwe do zaatakowania. MDR stale obserwuje aktywne zagrożenia. Advisory Services ocenia, jak dobrze przygotowana jest obrona.

Advisory Services vs. Sophos Managed Risk

Sophos Managed Risk to ciągła usługa zarządzania podatnościami i powierzchnią ataku. Identyfikuje zewnętrzne assets, ocenia ryzyka, priorytetyzuje podatności i pomaga ciągle zmniejszać otwarte powierzchnie ataku.

Advisory Services działa inaczej: to czasowo ograniczone, manualne albo silnie eksperckie oceny. External pentest może na przykład zweryfikować, jak daleko atakujący naprawdę mógłby dojść. Managed Risk daje ciągły obraz powierzchni ataku. Oba podejścia dobrze się uzupełniają.

Advisory Services vs. Compromise Assessment

Sophos Compromise Assessment odpowiada na inne pytanie: czy środowisko jest już skompromitowane albo czy istnieją ślady trwającego lub przeszłego ataku?

Advisory Services pyta natomiast: gdzie atak mógłby się udać, gdyby ktoś spróbował? Chodzi więc o prewencję i odporność, a nie przede wszystkim o forensyczne szukanie już aktywnych atakujących.

Advisory Services vs. Emergency Incident Response

Jeśli organizacja jest właśnie atakowana, penetration test nie jest właściwym punktem startu. Potrzebne są Incident Response, containment, analiza i odtworzenie. Advisory Services jest przeznaczone na fazę przed albo po: przed atakiem do zmniejszenia ryzyka, po stabilizacji do strukturalnej poprawy.

Kiedy Sophos Advisory Services ma sens

Advisory Services jest szczególnie sensowne, gdy organizacja nie chce tylko “więcej bezpieczeństwa”, ale musi odpowiedzieć na konkretne pytania.

Przed go-live albo po dużych zmianach

Nowe aplikacje webowe, nowa architektura VPN, nowe usługi cloud, nowa koncepcja Wi-Fi albo większa segmentacja sieci nie powinny pokazywać swoich słabości dopiero w produkcji. Celowany assessment przed go-live może zapobiec wielu kosztownym poprawkom.

Przed audytami, certyfikacjami lub cyberubezpieczeniem

Wiele wymagań NIS2, ISO 27001, PCI DSS, SOC 2 albo cyberubezpieczeń dotyczy nie tylko posiadania narzędzi, ale udowodnionych procesów, testów i redukcji ryzyka. Engagement Advisory nie zastępuje certyfikacji, ale może dostarczyć ważne dowody i konkretne usprawnienia. W kontekście regulacji i środków bezpieczeństwa pasuje też artykuł o dyrektywie NIS 2.

Gdy bezpieczeństwo wewnętrzne jest zakładane, ale nieudowodnione

Wiele środowisk wygląda stabilnie, dopóki nie zostaną celowo przetestowane. Testy wewnętrzne często pokazują stare prawa admina, płaskie sieci, otwarte porty zarządzania, niezabezpieczone konta serwisowe lub brak segmentacji. Szczególnie po latach organicznego wzrostu takie zewnętrzne spojrzenie do środka jest wartościowe.

Jako uzupełnienie MDR, XDR, NDR i ochrony firewall

Technologie Detection and Response są mocne, ale nie odpowiadają na każde pytanie prewencyjne. Organizacja może używać Sophos Firewall NDR Active Threat Intelligence, XDR lub MDR i nadal mieć słabości w Wi-Fi, aplikacjach webowych albo segmentacji wewnętrznej. Advisory Services pomaga znaleźć te luki celowo.

Co przygotować przed testem

Security Testing to nie jest “zróbmy to po prostu”. Dobre przygotowanie decyduje, czy test dostarczy użyteczne wyniki, czy tylko stres.

Wyjaśnić od razu

• Które systemy i aplikacje należą do scope?
• Których systemów wyraźnie nie wolno testować?
• Czy są systemy produkcyjne o szczególnym ryzyku?
• Jakie okna serwisowe są możliwe?
• Kto jest kontaktem technicznym?
• Kto może podejmować decyzje ryzyka?
• Które źródła logów są monitorowane podczas testu?

Przygotować przed testem

• Udokumentować zgodę na test i upoważnienie prawne.
• Utworzyć listę kontaktów z numerami awaryjnymi.
• Sprawdzić backupy i możliwość odtworzenia.
• Poinformować monitoring, SIEM, MDR lub SOC o teście.
• Przygotować konta testowe z określonymi uprawnieniami.
• Udokumentować systemy docelowe i wersje.
• Włączyć business ownerów testowanych aplikacji.
• Sprawdzić potrzebę change freeze dla krytycznych systemów.

Uoperacyjnić po teście

• Przenieść findings do ticketów.
• Nadać priorytet findings krytycznym i wysokim.
• Zdefiniować ownera i termin dla każdego findingu.
• Oddzielić quick wins od tematów architektonicznych.
• Udokumentować remediation.
• Zaplanować walidację w terminie 90 dni.
• Wpisać cykliczne oceny do security roadmap.

Ograniczenia i realistyczne oczekiwania

Sophos Advisory Services może być bardzo wartościowe, ale nie jest magicznym dowodem bezpieczeństwa.

Test zawsze zależy od scope i czasu. To, czego nie ma w scope, nie jest oceniane. To, co zostanie opublikowane lub zmienione po teście, może stworzyć nowe ryzyka. Czysty raport nie dowodzi więc, że środowisko jest “bezpieczne”. Pokazuje, co sprawdzono w uzgodnionym zakresie i jakie ryzyka znaleziono.

Ważne także: usługa nie naprawia podatności automatycznie. Dostarcza findings, priorytetyzację i rekomendacje. Wdrożenie pozostaje zadaniem IT, developmentu, zespołu sieci, zespołu security, dostawców lub właścicieli aplikacji. Właśnie dlatego model ownership po teście jest tak ważny.

Trzeba też odróżniać testy pasywne i aktywne. Test aktywny może obciążyć systemy, wywołać alarmy lub spowodować nieoczekiwane skutki uboczne, jeśli scope i okna czasowe są źle zdefiniowane. To nie jest argument przeciwko testingowi, ale argument za dobrym przygotowaniem.

Moja ocena

Sophos Advisory Services jest interesujące przede wszystkim dlatego, że Sophos rozszerza portfolio w sensownym kierunku. Wiele organizacji ma dziś dobre produkty ochronne, ale zbyt mało przetestowanej rzeczywistości. Jest Endpoint, Firewall, MDR, backupy, policies i może kilka dokumentów compliance. Trudne pytanie pozostaje: czy to wytrzyma, gdy ktoś naprawdę przetestuje?

Właśnie tam pasuje Advisory Services. Usługa nie jest codziennym monitoringiem jak MDR i nie jest ciągłym vulnerability management jak Managed Risk. To zaplanowany reality check. Szczególnie wartościowa staje się wtedy, gdy wyniki nie trafiają do szuflady, lecz zamieniają się w tickety, decyzje architektoniczne, projekty segmentacji i cykliczne reviews.

Moja rekomendacja: nie traktować Advisory Services jako jednorazowej pieczątki audytowej. Lepszy jest mały program: najpierw sprawdzić zewnętrzną powierzchnię ataku, potem krytyczne aplikacje webowe, następnie ruch wewnętrzny i Wi-Fi. Równolegle Managed Risk, MDR, logging i przeglądy firewall powinny zapewniać ciągłą widoczność. Wtedy powstaje proces ciągłego doskonalenia, a nie pojedynczy raport.

FAQ

Więcej informacji

• Strona produktu Sophos Advisory Services
• Blog Sophos: Introducing Sophos Advisory Services