Filigran erweitert OpenAEV um „Attack Chaining“ für autonome Pen-Tests und Red-Teaming
Filigran hat „Attack Chaining“ vorgestellt. Dabei handelt es sich um eine Funktion zur Validierung von Angriffspfaden, die Penetrationstests und Red-Teaming-Aktivitäten mit OpenAEV automatisiert. OpenAEV ist ein Produkt zur Validierung von Sicherheitslücken durch simulierte Angreifer. Die neue Funktionalität ist ab sofort in OpenAEV v3 verfügbar.
Angreifer wenden Techniken nicht isoliert an, sondern sie verketten sie miteinander: Durch Aufklärung wird ein Ziel identifiziert, ein Dump von Anmeldedaten liefert ein Passwort, welches wiederum den nächsten Rechner öffnet. Jeder Schritt hängt somit vom vorherigen ab. Dieses Vorgehen darf nicht mehr überraschen, denn über eben solche verketteten Schwachstellen wird bereits berichtet. Entsprechende Tests und vordefinierte Szenarien identifizieren spezifische Schwachstellen zwar gut, passen sich jedoch nicht an das an, was ein Angreifer im Laufe des kompletten Angriffs entdeckt.
Der „State of Threat Management“-Bericht von Filigran, eine unabhängige, weltweite Studie unter 550 Entscheidungsträgern und Praktikern im Sicherheitsbereich, ergab, dass 97 Prozent der Unternehmen Schwierigkeiten haben festzustellen, ob ihre Schwachstellen tatsächlich ausnutzbar sind. Zudem setzen 88 Prozent bei der Simulation offensiver Angriffe nach wie vor auf manuelle Prozesse.
„Die Sicherheitsvalidierung muss sich entsprechend der Vorgehensweise von Angreifern weiterentwickeln. Es reicht nicht mehr aus, nachzuweisen, dass wir einzelne Techniken blockieren können. Vielmehr müssen wir verstehen, ob sich diese Techniken zu einem Angriffspfad kombinieren lassen, der zu einer tatsächlichen Kompromittierung führt“, sagt Julien Richard, Mitbegründer von Filigran. „Da Angreifer immer anpassungsfähiger werden und zunehmend KI einsetzen, um schneller voranzukommen, brauchen wir eine Validierung, die damit Schritt halten kann. Attack Chaining bringt dieses Maß an Realismus und Anpassungsfähigkeit in die kontinuierliche Schwachstellenvalidierung ein und vermittelt Sicherheitsteams ein klareres Bild davon, über welche Widerstandsfähigkeit sie tatsächlich verfügen.“
Attack Chaining entdeckt jeden Befund – sei es ein Zugangsdatensatz, ein offener Port, eine Dateifreigabe oder eine Reihe von Berechtigungen – und nutzt ihn als Eingabe für die nächste Aktion. Der Prozess wird dabei fortgesetzt, verzweigt oder in dem Moment gestoppt, in dem eine Kontrollmaßnahme ihn blockiert.
Offene, konfigurierbare und bedingte Verkettungslogik
Eine wiederverwendbare Angriffspfadlogik kann von Grund auf selbst erstellt werden und dabei auf beliebige Ereignisse oder Aktionen aus dem eigenen Bedrohungsarsenal zurückgreifen, beispielsweise TTPs, Payloads, benutzerdefinierte Aktionen oder Bibliotheksinhalte. Diese Aktionen können miteinander verknüpft und anhand von Bedingungen verzweigt werden (beispielsweise: Wenn eine Anmeldeinformation gültig ist, hier weiter; wenn eine Kontrolle den Schritt blockiert, anhalten oder umleiten).
Dadurch passen sich Szenarien in Echtzeit an die tatsächlichen Gegebenheiten in der Umgebung an, anstatt ein starres Skript auszuführen. Die Logik bleibt dabei vollständig überprüfbar und konfigurierbar und kann aktualisiert werden, sobald neue Techniken auftauchen. Da OpenAEV Teil der XTM-Plattform von Filigran ist, kann sie auf der Grundlage der für das eigene Unternehmen relevanten Bedrohungsinformationen aufgebaut und priorisiert werden.
Transparentes und umsetzbares Live-Mapping von Angriffspfadgraphen
Der Verlauf der Simulation kann in Echtzeit auf einem interaktiven Angriffspfad-Diagramm verfolgt werden. Dabei wird alles aufgezeigt, von der ersten Aktion bis zum Endziel, statt lediglich am Ende einen statischen Bericht zu erzeugen. Das Ergebnis jeder Aktion (Anmeldedaten, eine IP-Adresse/ein Port, ein Token, eine Datei usw.) wird als strukturierter Befund erfasst und von der Engine zur Laufzeit ausgewertet, um den nächsten Schritt zu bestimmen. Eine detaillierte Analyse der einzelnen Befunde zeigt genau, wie und warum eine Aktion ausgelöst wurde. Mithilfe des Diagramms lassen sich zudem Engpässe identifizieren – also genau jene Schritte, deren Beseitigung den gesamten Pfad unterbrechen würde. So können Teams eine einzige Kontrollmaßnahme beheben, anstatt jede Schwachstelle in der Kette einzeln zu bewerten.
Operatorgesteuerte vs. agentengesteuerte Orchestrierung
Attack Chaining kann manuell ausgeführt, durch KI-Agenten durchgängig orchestriert oder als Kombination aus beidem mit menschlicher Einbindung erfolgen. Dies ist auf derselben Engine für bedingte Verkettung möglich und umfasst dieselben Umfangskontrollen. Im operatorgesteuerten Modus erstellt man die Logik selbst und steuert die Ausführung Schritt für Schritt. Dieser Prozess ist deterministisch und transparent. Er eignet sich am besten für die Skalierung von Penetrationstests und die präzise Validierung von Angriffspfaden. Im agentengesteuerten Modus hingegen legt man das Ziel und den Umfang in einfacher Sprache fest. Der Agent erstellt, steuert und passt die Kette dann selbstständig an. Er reagiert auf Erkenntnisse, sobald diese zutage treten, und generiert Phishing-E-Mails sowie Landingpages für Social-Engineering-Schritte. Dieser Prozess wiederum ist ideal für automatisierte Penetrationstests und Red-Teaming in großem Maßstab.
„Ein Validierungsergebnis ist nur dann verwertbar, wenn Sicherheitsteams die Logik nachvollziehen können, die dazu geführt hat“, sagt Jean-Philippe Salles, VP of Product Management bei Filigran. „Mit OpenAEV v3 können Teams Angriffsszenarien erstellen oder generieren, den Verlauf von Angriffspfaden verfolgen und die Logik sowie die Belege hinter jedem Schritt überprüfen. Das bedeutet, dass sie häufiger testen, Szenarien an ihre eigene Umgebung anpassen und die spezifischen Kontrollmaßnahmen oder Schwachstellen identifizieren können, ohne jede Validierungsmaßnahme zu einem maßgeschneiderten Projekt machen zu müssen.“
Ebenfalls in OpenAEV v3
Die neue Version führt ein neu gestaltetes Home-Dashboard ein. Das sogenannte „Adversarial Exposure Command Center“ fasst den Sicherheitsstatus, Simulationsergebnisse und die Erfassungsreichweite in einer einzigen Ansicht zusammen. Darüber hinaus bietet die neue Version einen „Adversarial Exposure Score“, der Validierungsergebnisse aus verschiedenen Expositionsquellen zu einer einzigen, nachverfolgbaren Kennzahl zusammenfasst. Zudem sind native KI-Red-Teaming-Injektoren enthalten, die Angreifersimulationen gegen LLM-gestützte Agenten und Chatbots durchführen. Dabei nutzen sie dieselbe Engine, die auch EDR-, SIEM- und E-Mail-Abwehrmaßnahmen validiert. Des Weiteren können mit einem Klick direkt aus den Simulationsergebnissen PDF-Berichte generiert werden.
OpenAEV v3 steht ab heute allen Nutzern zur Verfügung. „Attack Chaining“ ist in der OpenAEV Enterprise Edition verfügbar.
Filigran erweitert OpenAEV um „Attack Chaining“ für autonome Pen-Tests und Red-Teaming
Filigran hat „Attack Chaining“ vorgestellt. Dabei handelt es sich um eine Funktion zur Validierung von Angriffspfaden, die Penetrationstests und Red-Teaming-Aktivitäten mit OpenAEV automatisiert. OpenAEV ist ein Produkt zur Validierung von Sicherheitslücken durch simulierte Angreifer. Die neue Funktionalität ist ab sofort in OpenAEV v3 verfügbar.
Angreifer wenden Techniken nicht isoliert an, sondern sie verketten sie miteinander: Durch Aufklärung wird ein Ziel identifiziert, ein Dump von Anmeldedaten liefert ein Passwort, welches wiederum den nächsten Rechner öffnet. Jeder Schritt hängt somit vom vorherigen ab. Dieses Vorgehen darf nicht mehr überraschen, denn über eben solche verketteten Schwachstellen wird bereits berichtet. Entsprechende Tests und vordefinierte Szenarien identifizieren spezifische Schwachstellen zwar gut, passen sich jedoch nicht an das an, was ein Angreifer im Laufe des kompletten Angriffs entdeckt.
Der „State of Threat Management“-Bericht von Filigran, eine unabhängige, weltweite Studie unter 550 Entscheidungsträgern und Praktikern im Sicherheitsbereich, ergab, dass 97 Prozent der Unternehmen Schwierigkeiten haben festzustellen, ob ihre Schwachstellen tatsächlich ausnutzbar sind. Zudem setzen 88 Prozent bei der Simulation offensiver Angriffe nach wie vor auf manuelle Prozesse.
„Die Sicherheitsvalidierung muss sich entsprechend der Vorgehensweise von Angreifern weiterentwickeln. Es reicht nicht mehr aus, nachzuweisen, dass wir einzelne Techniken blockieren können. Vielmehr müssen wir verstehen, ob sich diese Techniken zu einem Angriffspfad kombinieren lassen, der zu einer tatsächlichen Kompromittierung führt“, sagt Julien Richard, Mitbegründer von Filigran. „Da Angreifer immer anpassungsfähiger werden und zunehmend KI einsetzen, um schneller voranzukommen, brauchen wir eine Validierung, die damit Schritt halten kann. Attack Chaining bringt dieses Maß an Realismus und Anpassungsfähigkeit in die kontinuierliche Schwachstellenvalidierung ein und vermittelt Sicherheitsteams ein klareres Bild davon, über welche Widerstandsfähigkeit sie tatsächlich verfügen.“
Attack Chaining entdeckt jeden Befund – sei es ein Zugangsdatensatz, ein offener Port, eine Dateifreigabe oder eine Reihe von Berechtigungen – und nutzt ihn als Eingabe für die nächste Aktion. Der Prozess wird dabei fortgesetzt, verzweigt oder in dem Moment gestoppt, in dem eine Kontrollmaßnahme ihn blockiert.
Offene, konfigurierbare und bedingte Verkettungslogik
Eine wiederverwendbare Angriffspfadlogik kann von Grund auf selbst erstellt werden und dabei auf beliebige Ereignisse oder Aktionen aus dem eigenen Bedrohungsarsenal zurückgreifen, beispielsweise TTPs, Payloads, benutzerdefinierte Aktionen oder Bibliotheksinhalte. Diese Aktionen können miteinander verknüpft und anhand von Bedingungen verzweigt werden (beispielsweise: Wenn eine Anmeldeinformation gültig ist, hier weiter; wenn eine Kontrolle den Schritt blockiert, anhalten oder umleiten).
Dadurch passen sich Szenarien in Echtzeit an die tatsächlichen Gegebenheiten in der Umgebung an, anstatt ein starres Skript auszuführen. Die Logik bleibt dabei vollständig überprüfbar und konfigurierbar und kann aktualisiert werden, sobald neue Techniken auftauchen. Da OpenAEV Teil der XTM-Plattform von Filigran ist, kann sie auf der Grundlage der für das eigene Unternehmen relevanten Bedrohungsinformationen aufgebaut und priorisiert werden.
Transparentes und umsetzbares Live-Mapping von Angriffspfadgraphen
Der Verlauf der Simulation kann in Echtzeit auf einem interaktiven Angriffspfad-Diagramm verfolgt werden. Dabei wird alles aufgezeigt, von der ersten Aktion bis zum Endziel, statt lediglich am Ende einen statischen Bericht zu erzeugen. Das Ergebnis jeder Aktion (Anmeldedaten, eine IP-Adresse/ein Port, ein Token, eine Datei usw.) wird als strukturierter Befund erfasst und von der Engine zur Laufzeit ausgewertet, um den nächsten Schritt zu bestimmen. Eine detaillierte Analyse der einzelnen Befunde zeigt genau, wie und warum eine Aktion ausgelöst wurde. Mithilfe des Diagramms lassen sich zudem Engpässe identifizieren – also genau jene Schritte, deren Beseitigung den gesamten Pfad unterbrechen würde. So können Teams eine einzige Kontrollmaßnahme beheben, anstatt jede Schwachstelle in der Kette einzeln zu bewerten.
Operatorgesteuerte vs. agentengesteuerte Orchestrierung
Attack Chaining kann manuell ausgeführt, durch KI-Agenten durchgängig orchestriert oder als Kombination aus beidem mit menschlicher Einbindung erfolgen. Dies ist auf derselben Engine für bedingte Verkettung möglich und umfasst dieselben Umfangskontrollen. Im operatorgesteuerten Modus erstellt man die Logik selbst und steuert die Ausführung Schritt für Schritt. Dieser Prozess ist deterministisch und transparent. Er eignet sich am besten für die Skalierung von Penetrationstests und die präzise Validierung von Angriffspfaden. Im agentengesteuerten Modus hingegen legt man das Ziel und den Umfang in einfacher Sprache fest. Der Agent erstellt, steuert und passt die Kette dann selbstständig an. Er reagiert auf Erkenntnisse, sobald diese zutage treten, und generiert Phishing-E-Mails sowie Landingpages für Social-Engineering-Schritte. Dieser Prozess wiederum ist ideal für automatisierte Penetrationstests und Red-Teaming in großem Maßstab.
„Ein Validierungsergebnis ist nur dann verwertbar, wenn Sicherheitsteams die Logik nachvollziehen können, die dazu geführt hat“, sagt Jean-Philippe Salles, VP of Product Management bei Filigran. „Mit OpenAEV v3 können Teams Angriffsszenarien erstellen oder generieren, den Verlauf von Angriffspfaden verfolgen und die Logik sowie die Belege hinter jedem Schritt überprüfen. Das bedeutet, dass sie häufiger testen, Szenarien an ihre eigene Umgebung anpassen und die spezifischen Kontrollmaßnahmen oder Schwachstellen identifizieren können, ohne jede Validierungsmaßnahme zu einem maßgeschneiderten Projekt machen zu müssen.“
Ebenfalls in OpenAEV v3
Die neue Version führt ein neu gestaltetes Home-Dashboard ein. Das sogenannte „Adversarial Exposure Command Center“ fasst den Sicherheitsstatus, Simulationsergebnisse und die Erfassungsreichweite in einer einzigen Ansicht zusammen. Darüber hinaus bietet die neue Version einen „Adversarial Exposure Score“, der Validierungsergebnisse aus verschiedenen Expositionsquellen zu einer einzigen, nachverfolgbaren Kennzahl zusammenfasst. Zudem sind native KI-Red-Teaming-Injektoren enthalten, die Angreifersimulationen gegen LLM-gestützte Agenten und Chatbots durchführen. Dabei nutzen sie dieselbe Engine, die auch EDR-, SIEM- und E-Mail-Abwehrmaßnahmen validiert. Des Weiteren können mit einem Klick direkt aus den Simulationsergebnissen PDF-Berichte generiert werden.
OpenAEV v3 steht ab heute allen Nutzern zur Verfügung. „Attack Chaining“ ist in der OpenAEV Enterprise Edition verfügbar.