Van Vulnerability Management naar Exposure Management: waarom context het verschil maakt

Vulnerability Management is voor veel organisaties inmiddels een vast onderdeel van het securityprogramma. Assets worden gescand, kwetsbaarheden worden gevonden en op basis van onder andere ernst, exploitability en threat intelligence worden prioriteiten gesteld. En dat blijft belangrijk. Maar het digitale landschap waarin organisaties opereren is de afgelopen jaren fundamenteel veranderd. Applicaties draaien in de cloud, identiteiten bepalen steeds vaker wat iemand of iets kan bereiken, organisaties gebruiken tientallen SaaS-diensten en AI wordt in hoog tempo onderdeel van dagelijkse bedrijfsprocessen.

Daardoor wordt één vraag steeds relevanter: geeft een overzicht van kwetsbaarheden nog voldoende inzicht in het daadwerkelijke risico voor de organisatie?

Het antwoord is steeds vaker: niet volledig.

Dat is precies waar de stap van Vulnerability Management naar Exposure Management begint.

Vulnerability Management blijft de basis

Exposure Management vervangt Vulnerability Management niet. Sterker nog: zonder goed Vulnerability Management ontbreekt een belangrijk deel van de informatie waarop Exposure Management is gebaseerd. Met Vulnerability Management wil je weten welke assets aanwezig zijn, welke kwetsbaarheden daarop voorkomen en welke daarvan prioriteit verdienen. Moderne VM-oplossingen zoals Tenable Vulnerability Management kijken daarbij allang niet meer uitsluitend naar een CVSS-score. Threat intelligence, exploitability en context worden meegenomen om organisaties te helpen de belangrijkste kwetsbaarheden als eerste aan te pakken.

Maar een kwetsbaarheid blijft uiteindelijk één onderdeel van een groter geheel. Een systeem kan bijvoorbeeld een ernstige kwetsbaarheid bevatten, maar alleen intern bereikbaar zijn en nauwelijks toegang hebben tot andere belangrijke systemen. Een andere server heeft misschien een technisch minder ernstige kwetsbaarheid, maar is vanaf internet bereikbaar, draait in een kritieke cloudomgeving en beschikt via zijn identiteit over toegang tot gevoelige informatie.

Welke verdient dan als eerste aandacht? Om die vraag goed te beantwoorden moet je verder kijken dan de individuele vulnerability.

Het risico ontstaat vaak in de combinatie

Cyberincidenten ontstaan zelden doordat één technisch probleem volledig op zichzelf staat. Interessanter zijn combinaties. Een verkeerd geconfigureerde cloudresource. Een te ruime identiteit. Een kwetsbare applicatie. Een publiek bereikbaar systeem. Een API-key die ergens is achtergebleven. Afzonderlijk lijken deze zaken misschien beheersbaar. Samen kunnen ze een route vormen naar iets dat voor de organisatie wél bedrijfskritisch is. Exposure Management probeert juist die samenhang zichtbaar te maken.

Tenable omschrijft die verschuiving zelf als het combineren van vulnerability-data — het what — met aanvullende securitycontext om antwoord te geven op het so what. Binnen Tenable One worden gegevens uit onder andere IT, cloud, identity, webapplicaties, AI en andere databronnen samengebracht om exposures over het bredere aanvalsoppervlak te begrijpen. Het doel daarvan is niet simpelweg om nóg meer findings te verzamelen. Het doel is om beter te begrijpen welke combinatie van findings daadwerkelijk een route naar een belangrijk bedrijfsproces kan vormen.

Niet ieder belangrijk risico heeft een CVE

Een goed voorbeeld daarvan zagen we in 2023 bij Microsoft. Onderzoekers van Wiz ontdekten dat een URL in een openbare GitHub-repository van een Microsoft AI-onderzoeksteam een te ruim ingesteld Azure Shared Access Signature-token bevatte. Daardoor werd toegang mogelijk tot 38 terabyte aan aanvullende interne data, waaronder workstationback-ups, secrets, keys en interne Teams-berichten. Het token beschikte bovendien over rechten waarmee bestanden konden worden gewijzigd of verwijderd.

Microsoft bevestigde het incident, maar benadrukte daarbij een belangrijk detail: er was geen kwetsbaarheid in Azure Storage of in de SAS-functionaliteit zelf. Het probleem zat in de manier waarop de toegang was geconfigureerd. Het token gaf meer toegang dan noodzakelijk. Microsoft trok het token in nadat het probleem was gemeld. Dat onderscheid is belangrijk.

Er hoefde geen CVE gepatcht te worden om het belangrijkste risico weg te nemen. De relevante securityactie was het beperken en intrekken van toegang. Het voorbeeld laat daarmee goed zien waarom een moderne securityaanpak meer nodig heeft dan alleen inzicht in softwarekwetsbaarheden.

Niet iedere bedrijfskritische exposure heeft een CVE.

Van kwetsbaarheid naar aanvalspad

Zodra verschillende databronnen met elkaar worden verbonden, verandert ook de manier waarop securityteams naar prioriteiten kunnen kijken. Stel dat een kwetsbaarheid wordt gevonden in een applicatie die vanaf internet bereikbaar is. Dat is op zichzelf al relevant. Maar vervolgens blijkt dat de applicatie draait op een cloudworkload met een identiteit die meer rechten heeft dan noodzakelijk. Vanuit die identiteit bestaat toegang tot een omgeving waarin bedrijfskritische data wordt verwerkt. Dan verandert het verhaal. We kijken niet langer uitsluitend naar een kwetsbaarheid op een asset. We kijken naar een mogelijke route: een extern bereikbaar systeem, een kwetsbaarheid, een identiteit met bepaalde rechten en uiteindelijk een bedrijfskritisch doelwit.

Attack Path Analysis is bedoeld om dergelijke relaties zichtbaar te maken. Tenable One gebruikt cross-domain informatie om mogelijke routes door een omgeving te analyseren, zodat teams kunnen onderzoeken welke exposures samen een relevant aanvalspad vormen. Een aanvalspad betekent overigens niet automatisch dat een aanval daadwerkelijk heeft plaatsgevonden. Het is een analyse van de omstandigheden en relaties die een aanvaller mogelijk zou kunnen benutten.

Maar juist dat inzicht kan de prioriteit van een finding fundamenteel veranderen.

Waar kun je het meeste verschil maken?

Een ander belangrijk concept binnen Exposure Management is het zogenaamde choke point. Vergelijk het met een aantal wegen die allemaal over dezelfde brug naar hun bestemming lopen. Je kunt iedere weg afzonderlijk proberen af te sluiten, maar als je de brug beheerst, onderbreek je meerdere routes tegelijkertijd. Hetzelfde principe kan gelden voor een aanvalspad.

Verschillende kwetsbaarheden of toegangsmogelijkheden kunnen uiteindelijk afhankelijk zijn van dezelfde identiteit, permissie of systeemrelatie. Als je die centrale schakel veilig kunt aanpassen, kan één securitymaatregel meerdere mogelijke aanvalsroutes tegelijkertijd onderbreken. Dat verandert de remediationvraag.

In plaats van alleen te vragen welke kwetsbaarheid de hoogste score heeft, kun je ook vragen welke maatregel de grootste reductie van de relevante exposure oplevert. Dat is een fundamenteel andere manier van prioriteren.

Cloud, identity en AI maken die context steeds belangrijker

Die bredere aanpak wordt relevanter naarmate IT-landschappen dynamischer worden. Een traditionele server was relatief overzichtelijk. In moderne omgevingen bestaan bedrijfsprocessen uit cloudworkloads, containers, webapplicaties, API’s, identiteiten, SaaS-diensten en steeds vaker AI-componenten die onderling afhankelijk zijn.

Ook Tenable One is daarom breder opgezet dan Vulnerability Management alleen. De huidige Exposure Management-platformpositionering omvat onder andere vulnerability management, cloud exposure, identity exposure, web application scanning, attack surface management, OT en AI Exposure, waarbij ook gegevens uit third-party securitytools kunnen worden toegevoegd.

Voor AI is dat bijvoorbeeld relevant omdat het risico niet uitsluitend in het model zelf zit. De cloudomgeving waarop het model draait, de identity waarmee een agent acties uitvoert, de data waartoe die omgeving toegang heeft en de manier waarop medewerkers AI gebruiken kunnen allemaal onderdeel zijn van het risicobeeld. Dat maakt het steeds lastiger om securitydomeinen volledig los van elkaar te beoordelen.

Van meer findings naar betere beslissingen

Daarmee komen we misschien bij het belangrijkste verschil tussen Vulnerability Management en Exposure Management. De waarde van Exposure Management zit niet in een nieuw dashboard met nóg meer gegevens. De waarde ontstaat wanneer aanvullende gegevens leiden tot een betere securitybeslissing. Tenable One is daar expliciet omheen opgebouwd: exposure-informatie uit verschillende domeinen wordt gecorreleerd om attack paths te onderzoeken, risico’s in relatie tot bedrijfscontext te beoordelen en gerichtere remediation mogelijk te maken.

Dat betekent bijvoorbeeld dat een securityteam niet alleen kan zeggen:

“We hebben 500 kritieke kwetsbaarheden.”

Maar steeds beter kan uitleggen:

“Deze combinatie van exposures vormt een relevante route naar dit bedrijfskritische systeem. Door deze permissie te beperken en deze kwetsbaarheid op te lossen, onderbreken we die route.”

Dat is een veel krachtiger gesprek. Niet alleen voor het securityteam, maar ook richting management en bestuur.

Ook het succescriterium verandert

Bij Vulnerability Management wordt succes vaak uitgedrukt in aantallen. Hoeveel vulnerabilities staan nog open? Hoeveel kritieke findings zijn opgelost? Hoe lang duurt het gemiddeld voordat een kwetsbaarheid wordt geremedieerd? Dat blijven relevante KPI’s. Maar Exposure Management voegt daar een aanvullende vraag aan toe:

Is de exposure die we wilden verminderen daadwerkelijk afgenomen?

Dat lijkt misschien een subtiel verschil, maar het verandert de focus aanzienlijk. Het sluiten van twintig findings is niet automatisch waardevoller dan één aanpassing waarmee meerdere relevante aanvalspaden naar een bedrijfskritisch systeem worden onderbroken. Daarmee verschuift het succescriterium van activiteit naar effect.

Niet alleen: wat hebben we opgelost? Maar vooral: wat hebben we daardoor beter beschermd?

De stap van Tenable VM naar Tenable One

Voor organisaties die vandaag al gebruikmaken van Tenable Vulnerability Management is de stap naar Tenable One daarom vooral een verbreding van het perspectief. De bestaande VM-data blijft waardevol en vormt de basis. Tenable zelf positioneert Vulnerability Management ook nadrukkelijk als startpunt van Exposure Management. Door deze informatie vervolgens te verbinden met andere delen van het aanvalsoppervlak ontstaat aanvullende context voor prioritering en remediation. Daarmee wordt een VM-renewal ook een logisch moment om een bredere vraag te stellen.

Niet alleen of het huidige Vulnerability Management-contract moet worden verlengd, maar of de organisatie inmiddels behoefte heeft aan meer context rondom de kwetsbaarheden die worden gevonden. Kunnen we voldoende zien welke exposures samenhangen? Kunnen we aanvalspaden naar belangrijke systemen begrijpen? Kunnen we securityprioriteiten relateren aan bedrijfsbelang? En kunnen we achteraf aantonen dat een actie de relevante exposure daadwerkelijk heeft verminderd? Als die vragen steeds belangrijker worden, is Exposure Management een logische volgende stap.

Van kwetsbaarheden beheren naar exposure reduceren

De ontwikkeling van Vulnerability Management naar Exposure Management betekent uiteindelijk niet dat we minder aandacht moeten besteden aan kwetsbaarheden. Het tegenovergestelde is waar. Goede vulnerability-data wordt juist waardevoller wanneer we die kunnen verbinden met de omgeving waarin de kwetsbaarheid bestaat. Met bereikbaarheid. Met identities en permissies. Met cloudconfiguraties. Met applicaties. Met AI. Met mogelijke aanvalspaden. En uiteindelijk met de bedrijfsprocessen die we proberen te beschermen.

Vulnerability Management vertelt ons veel over wat kwetsbaar is.

Exposure Management voegt daar een belangrijke dimensie aan toe:

wat kan er daadwerkelijk toe doen, welke actie heeft de meeste impact en hebben we daarna aantoonbaar minder exposure?

Dat is de stap van kwetsbaarheden beheren naar risico daadwerkelijk reduceren.

Benieuwd wat de stap van Tenable VM naar Tenable One voor uw organisatie kan betekenen? Neem contact met ons op. We kijken graag samen naar uw huidige Tenable-omgeving en waar Exposure Management aanvullende waarde kan bieden.