Picus Security esittelee uuden lähestymistavan kyberturvallisuuden haavoittuvuuksien arviointiin
Picus Security tarjoaa Adversarial Exposure Validation (AEV) -menetelmää, joka varmistaa kyberhyökkäysten toteutettavuuden yrityksen ympäristössä ja erottuu perinteisistä riskienhallintamalleista.
Kyberturvallisuusyritys Picus Security on esitellyt Adversarial Exposure Validation (AEV) -lähestymistavan, joka pyrkii mullistamaan tavan, jolla organisaatiot arvioivat ja hallitsevat tietoturvauhkiensa todellista toteutettavuutta.
AEV eroaa perinteisistä haavoittuvuuksien hallintamalleista, jotka usein luottavat teoreettisiin riskipisteisiin, kuten CVSS- ja EPSS-pisteisiin. Sen sijaan AEV emuloi ja simuloi todellisia hyökkäystekniikoita varmistaakseen, voivatko ne ohittaa organisaation olemassa olevat suojaus- ja tunnistusmekanismit. Gartnerin mukaan AEV-teknologiat tarjoavat jatkuvaa, automatisoitua todistusaineistoa siitä, onko hyökkäys toteutettavissa tietyssä ympäristössä.
Perinteiset menetelmät, jotka perustuvat haavoittuvuuksien tekniseen vakavuuteen tai ennustettuun todennäköisyyteen, eivät ota huomioon yrityksen omia tietoturvavalvontamekanismeja. Tämä voi johtaa resurssien tuhlaamiseen aikaa sellaisten teoreettisten riskien korjaamiseen, joita hyökkääjät eivät todellisuudessa voisi hyödyntää. Vuonna 2025 julkaistiin yli 49 000 haavoittuvuutta, joista lähes 40 prosenttia luokiteltiin korkeiksi tai kriittisiksi, kuormittaen tietoturvatiimejä.
AEV:n tarve korostuu entisestään, kun huomioidaan nousevat haavoittuvuustyypit ja ympäristöjen jatkuva muutos. Gartner ennustaa, että vuoteen 2028 mennessä yli puolet hyödynnettävissä olevista haavoittuvuuksista johtuu ei-teknisistä heikkouksista, kuten SaaS-konfiguraatioiden virheistä, identiteettien väärinkäytöstä ja inhimillisistä virheistä. Nämä ovat alueita, joita perinteiset CVE-pohjaiset mallit eivät usein kata riittävästi.
Picus Securityn AEV-ratkaisut yhdistävät Breach and Attack Simulation (BAS) -tekniikan ja automatisoidun tunkeutumistestauksen. BAS simuloi jatkuvasti hyökkäystekniikoita turvallisesti, kun taas automatisoitu tunkeutumistestaus ketjuttaa haavoittuvuuksia ja konfiguraatiovirheitä hyökkääjien tavoin. Yhdessä nämä tarjoavat yrityksille hyökkääjän näkökulman, auttaen erottamaan todella hyödynnettävissä olevat uhat teoreettisista riskeistä.