attackers only need to be right once
expressãosegurança
O dilema do defensor: atacantes podem falhar repetidas vezes sem custo, enquanto a defesa precisa segurar em todo lugar, sempre.
Verdadeiro como economia, e vale o contraponto moderno: o defensor só precisa detectar uma vez, e o invasor precisa ficar invisível em cada passo de uma longa kill chain. O pensamento de assumir a violação existe para transformar essa segunda assimetria em prática.
O atacante precisa acertar uma vez, o defensor precisa acertar sempre, e a assimetria é real e frequentemente exagerada. Vale sustentar as duas metades.
A parte real é que o defensor precisa cobrir todos os caminhos enquanto o atacante escolhe um, o que faz o trabalho defensivo escalar com o tamanho do ambiente e o ofensivo escalar com a dificuldade da entrada mais fácil. Isso é genuinamente desigual, e é por isso que inventário, redução de superfície e consistência importam tanto.
O exagero é supor que um único sucesso encerra a questão, e não encerra. Uma invasão é uma campanha: acesso inicial, depois persistência, escalada, descoberta, movimento lateral e exfiltração, e o atacante precisa evitar detecção em cada uma dessas etapas. O defensor precisa acertar uma vez em qualquer etapa para interrompê-la. Essa é toda a premissa de presumir o comprometimento e do investimento em detecção, e inverte o aforismo de forma útil. A leitura derrotista é má estratégia; a leitura precisa é que a prevenção é assimétrica contra você e a detecção é assimétrica a seu favor.
Também conhecido como: defender's dilemma