Как станах уязвим: сканираме ИТ инфраструктурата с Qualys

Здравейте на всички!

Днес искам да разкажа за облачното решение за търсене и анализ на уязвимости Qualys Vulnerability Management, на което е изградена една от нашите услуги.

По-долу ще покажа как е организирано самото сканиране и каква информация за уязвимостите може да се получи на база резултатите.

Какво може да се сканира

Външни услуги. За сканиране на услуги, които имат достъп до интернет, клиентът ни предоставя техните IP адреси и учетни данни (ако е нужно сканиране с удостоверяване). Ние сканираме услугите с помощта на облака на Qualys и след това изпращаме отчет.

Вътрешни услуги. В този случай скенерът търси уязвимости на вътрешни сървъри и мрежова инфраструктура. Чрез такова сканиране може да се проведе инвентаризация на версиите на операционните системи, приложения, отворени портове и услуги, стоящи зад тях.

За сканиране в инфраструктурата на клиента се инсталира скенер на Qualys. Облакът на Qualys изпълнява тук функцията на команден център за този скенер.

В допълнение към вътрешния сървър с Qualys, на обектите за сканиране могат да се инсталират агенти (Cloud Agent). Те събират информация за системата локално, практически не натоварват мрежата и хостовете, на които работят. Получената информация се изпраща в облака.

Тук има три важни момента: удостоверяване и избор на обекти за сканиране.

1. Използване на удостоверяване. Някои клиенти искат да проведат сканиране blackbox, особено за външни услуги: предоставят ни диапазон от IP адреси без указание за системата и казват „бъдете като хакер“. Но хакерите рядко действат наосляпо. Когато дойде време за атака (не разузнаване), те знаят какво точно хакват. 

   Наосляпо Qualys може да се натъкне на заблуждаващи банери и да ги сканира вместо целевата система. Освен това, без яснота какво точно ще се сканира, е лесно да се сбърка в настройките на скенера и да се „приложи“ проверяваната услуга. 

   Сканирането ще донесе повече ползи, ако се извършват проверки с удостоверяване пред сканираните системи (whitebox). Така скенерът ще разбере къде се намира и вие ще получите пълни данни за уязвимостите на целевата система.

   
   Qualys предлага много опции за удостоверяване.

2. Групиране на активи. Ако сканирате всичко наведнъж и без селекция, това ще отнеме много време и ще създаде ненужна натовареност на системите. Хостовете и услугите е по-добре да бъдат обединени в групи според важността, местоположението, версията на ОС, критичността на инфраструктурата и други характеристики (в Qualys те се наричат Asset Groups и Asset Tags) и да избирате конкретна група при сканирането.
3. Избирайте техническо прозорец за сканиране. Дори ако сте предвидили всичко и сте се подготвили, сканирането създава допълнителна натовареност на системата. То не е задължително да предизвика деградация на услугата, но е по-добре да изберете определено време за него, като за архивиране или прилагане на актуализации.

Какво може да се узнае от отчетите?

След сканирането клиентът получава отчет, в който ще има не само списък на всички намерени уязвимости, но и основни препоръки за тяхното отстраняване: актуализации, пачове и др. Qualys предлага много отчети: има стандартни шаблони и можем да създадем свои. За да не се объркате в разнообразието, е по-добре първо да определите следните моменти: 

• Кой ще разгледа този отчет: мениджър или технически специалист?
• Каква информация желаете да получите по резултатите от сканирането. Например, ако искате да установите дали всички необходими пачове са инсталирани и как се извършва работата по отстраняването на предишно открити уязвимости, то това е един отчет. Ако обаче просто искате да направите инвентаризация на всички хостове, то е необходим друг.

Ако вашата задача е да покажете кратък, но ясен, преглед на ръководството, можете да формулирате Executive Report. Всички уязвимости ще бъдат разложени по категории, нива на критичност, графики и диаграми. Например, топ 10 на най-критичните уязвимости или най-често срещаните уязвимости.

За техническия специалист има Technical Report с всички детайли и подробности. Можете да формулирате следните отчети:

Отчет по хостове. Полезен инструмент, когато е необходимо да се извърши инвентаризация на инфраструктурата и да се получи пълен преглед на уязвимостите на хостовете. 

Ето как изглежда списъкът на анализираните хостове с указание на работещите на тях ОС.

Нека отворим интересуващия ни хост и ще видим списък от 219 намерени уязвимости, започвайки от най-критичните, пето ниво:

След това можем да разгледаме подробностите за всяка уязвимост. Тук виждаме:

• когато уязвимостта е била фиксирана за първи и последен път,
• индустриални номера на уязвимости,
• патч за отстраняване на уязвимостта,
• има ли проблеми с предписанията на стандарта PCI DSS, NIST и др.,
• има ли експлойт и malware за тази уязвимост,
• открива ли се уязвимостта при сканиране с/без аутентификация в системата и др.

Ако това вече не е първото сканиране – да, сканирането трябва да се извършва редовно 🙂 – то с помощта на Trend Report може да се проследи динамиката на работа с уязвимостите. Статусът на уязвимостите ще бъде показан в сравнение с предишното сканиране: уязвимости, които са били намерени по-рано и затворени, ще бъдат отбелязани като fixed, незатворените – active, новите – new.

Доклад за уязвимостите. В този доклад Qualys ще изготви списък на уязвимостите, започвайки от най-критичните, с указание на кой хост да се улови тази уязвимост. Докладът ще бъде полезен, ако решите да се справите в момента, например, с всички уязвимости от пето ниво.

Също така можете да направите отделен доклад само за уязвимостите от четвърто и пето ниво.

Доклад за патчовете. Тук се издава веднъж списък на патчовете, които трябва да се инсталират, за да се отстранят намерените уязвимости. За всеки патч има обяснения какви уязвимости лекува, на кой хост/система трябва да се инсталира и директна връзка за изтегляне.

Доклад за съответствие на стандартите PCI DSS. Стандартът PCI DSS изисква да се извършва сканиране на информационните системи и приложенията, достъпни от интернет, на всеки 90 дни. След сканирането може да се генерира доклад, който да покаже какво не отговаря на изискванията на стандарта в инфраструктурата.

Доклади за отстраняване на уязвимости. Qualys може да бъде интегриран с сервисдеска, и тогава всичките намерени уязвимости автоматично ще се превеждат в тикети. С помощта на този доклад точно можете да проследите напредъка по изпълнените тикети и отстранените уязвимости.

Доклади за отворени портове. Тук можете да получите информация за отворените портове и услугите, работещи на тях:

или да генерирате доклад за уязвимостите на всеки порт:

Това са само стандартни шаблони на доклади. Можете да създавате свои за конкретни задачи, например, да покажете само уязвимостите, които не са по-ниски от пето ниво критичност. Всички доклади са налични. Форматът на докладите: CSV, XML, HTML, PDF и docx.

И помнете: безопасността не е резултат, а процес. Еднократното сканиране помага да се видят проблемите в момента, но не е напълноценно решение за управление на уязвимостите.
За да ви е по-лесно да се решите на този редовен труд, направихме услуга на базата на Qualys Vulnerability Management.

За всички читатели на Хабр има акция: при поръчка на услуга за сканиране за година два месеца сканирания са безплатни. Можете да оставяте заявки тук, в полето „Коментар“ пишете Хабр.

Източник: habr.com