Bei der Bewertung, ob eine BAS-Lösung einen Mehrwert bringt oder nicht, möchte ich Ihr Augenmerk auf die Fragen lenken, die Breach and Attack Simulation heute eben nicht beantworten kann. Und das liegt weniger an der Qualität einer speziellen Lösung als an der Technologie an sich: es ist eine Simulation, die lediglich unsere produktive Netzwerk-Infrastruktur mit nutzt, aber die dort befindlichen Systeme gänzlich außen vor lässt.
Ein paar Beispiele:
•Schlägt ein BAS-System vor, zwischen Agent/Segment A und Agent/Segment B eine bestimmte IPS-Signatur zu aktivieren, heißt das nicht, dass dadurch das Sicherheitsniveau steigt. Denn die Breach and Attack Simulation weiß nicht, ob sich überhaupt von dieser Signatur betroffene Systeme in diesen Netzen befinden.
•Ist im Datacenter eine Lösung zur Endpunkt-basierten Micro-Segmentierung (beispielsweise Guardicore) im Einsatz, unterscheiden sich die Ergebnisse eines BAS-Tests signifikant von der Realität, denn hier wird komplett an den (lokalen) Security Controls vorbeisimuliert.
•Das gilt auch für Firewall-Regelwerke, die auf Usern/Gruppen statt IP-Adressen oder Applikationen statt TCP-/UDP-Ports basieren. Die BAS-Agenten authentifizieren sich nicht als (wechselnde!) User am Active Directory.
•Wird eine Attacke auf einen Agenten hinter der WAF (Simulation einer Webapplikation) nicht von der WAF mitigiert, bedeutet das nicht unbedingt, dass die echten Webanwendungen dadurch einem Risiko ausgesetzt sind. Beispielsweise wenn sie völlig anders funktionieren als der Test des Agenten es impliziert oder sich das WAF-Regelwerk für die echte Applikation von dem unterscheidet, der für den Traffic der Angriffs-Simulation anschlägt.