🥇Не само с сканиране, или как да изградим процеса на управление на уязвимости в 9 стъпки

На 4 юли проведохме голям семинар по управление на уязвимости. Днес публикуваме транскрипцията на изказването на Андрей Новиков от Qualys. Той ще обясни какви стъпки трябва да преминете, за да изградите работен процес за управление на уязвимости. Спойлер: до сканирането ще стигнем едва в средата на пътя.

Стъпка № 1: Определете нивото на зрялост на процесите по управление на уязвимости

В самото начало е нужно да разберете на каква стъпка се намира вашата организация по отношение на зрялостта на процесите по управление на уязвимости. Само след това ще можете да разберете накъде да се движите и какви стъпки да предприемете. Преди да започнете със сканиране и други мероприятия, организациите трябва да проведат вътрешна работа и да разберат как са структурирани вашите текущи процеси от гледна точка на ИТ и информационна сигурност.

Опитайте да отговорите на основни въпроси:

имате ли процеси за инвентаризация и класификация на активите;
на колко редовно се сканира ИТ инфраструктурата и обхваната ли е цялата инфраструктура, виждате ли цялата картина;
следят ли се вашите ИТ ресурси;
внедрени ли са в процесите ви някакви KPI и как разбирате, че те се изпълняват;
документирани ли са всички тези процеси.

Стъпка № 2: Осигурете пълно покритие на инфраструктурата

Не можете да защитите това, за което не знаете. Ако нямате пълна представа за състава на вашата ИТ инфраструктура, не можете да я защитавате. Съвременната инфраструктура е сложна и постоянно се променя както количествено, така и качествено.
Сега ИТ инфраструктурата не се основава само на класически технологии (рабочи станции, сървъри, виртуални машини), но и на относително нови – контейнери, микросервизи. Службата за информационна безопасност всячески избягва последните, тъй като ѝ е много трудно да работи с тях с помощта на съществуващите набори от инструменти, които се състоят предимно от скенери. Проблемът е, че който и да е скенер не може да покрие цялата инфраструктура. За да достигне скенерът до който и да е вузел в инфраструктурата, е необходимо да съвпаднат няколко фактора. Активът трябва да бъде в рамките на периметъра на организацията по време на сканирането. Скенерът трябва да има мрежови достъп до активите и техните потребителски профили, за да събере пълната информация.

Според нашата статистика, когато става въпрос за средни или големи организации, приблизително 15–20% от инфраструктурата не се обхваща от скенера по една или друга причина: активът е излязъл извън периметъра или изобщо никога не се появява в офиса. Например, лаптоп на служител, който работи отдалеч, но все пак има достъп до корпоративната мрежа, или активът се намира в външни облачни услуги, като Amazon. И скенерът, най-вероятно, няма да знае нищо за тези активи, тъй като те са извън обхвата му.

За да обхванете цялата инфраструктура, е необходимо да използвате не само скенери, а цял набор от сензори, включително технологии за пасивно мониториране на трафика за откритие на нови устройства във вашата инфраструктура, агентски метод за събиране на данни, който позволява получаване на информация онлайн, без необходимост от сканиране, без предоставяне на потребителски данни.

Стъпка № 3: Извършете категоризация на активите

Не всички активи са еднакво полезни. Определянето на това кои активи са важни и кои не, е ваша задача. Нито един инструмент, същият скенер, не може да направи това вместо вас. В идеалния случай ИТ, бизнес и ИБ съвместно анализират инфраструктурата, за да определят бизнес-критичните системи. За тях те определят допустимите метрики за наличност, целостност, конфиденциалност, RTO/RPO и т.н.

Това ще помогне за определянето на приоритетите в процеса на управление на уязвимостите. Когато вашите специалисти получават данни за уязвимости, това няма да бъде просто списък с хиляди уязвимости в цялата инфраструктура, а конкретна информация, вземайки предвид критичността на системите.

Стъпка № 4: Проведете оценка на инфраструктурата

И така, едва на четвърта стъпка стигаме до оценката на инфраструктурата с оглед на уязвимостите. Препоръчваме ви на този етап да обърнете внимание не само на уязвимостите в ПО, но и на грешките в конфигурациите, които също могат да бъдат уязвимост. Тук препоръчваме агентски метод за събиране на информация. Сканерите могат и трябва да се използват за оценка на сигурността на периметъра. Ако използвате ресурси от облачни доставчици, то оттам също трябва да събирате информация за активите и конфигурациите. Отделете внимание на анализа на уязвимостите в инфраструктурите с използване на Docker контейнери.

Стъпка № 5: Настройте отчетността

Това е един от важните елементи в процеса на управление на уязвимостите.
Първият момент: никой не би искал да работи с многостранични отчети, които имат безпорядъчен списък с уязвимости и описание за тяхното поправяне. Нужно е първо да комуникирате с колегите и да изясните какво трябва да съдържа отчета и как им е удобно да получават данните. Например, на един администратор не му е нужно подробно описание на уязвимостта, а само информация за пача и линк към него. На друг специалист му интересуват само уязвимостите, открити в мрежовата инфраструктура.

Вторият момент: под отчетността разбирам не само печатни отчети. Това е остарял формат за получаване на информация и статична история. Човекът получава отчет и не може да влияе на начина, по който данните в него са представени. За да получи отчет в желания вид, ИТ специалистът трябва да се свърже със специалиста по информационна сигурност и да поиска от него да преработи отчета. Времето тече, появяват се нови уязвимости. Вместо да прехвърлят отчетите от отдел в отдел, специалистите от двете направления трябва да имат възможност да наблюдават данните онлайн и да видят една и съща картина. Затова в нашата платформа използваме динамични отчети под формата на настраиваеми дашбордове.

Стъпка № 6: Приоритизирайте

Тук можете да направите следното:

1. Създаване на репозиторий с златни образи на системи. Работете с златни образи, проверявайте ги постоянно за уязвимости и точност на конфигурацията. Това може да се направи с помощта на агенти, които автоматично ще съобщават за появата на нов актив и ще предоставят информация за неговите уязвимости.

2. Фокусирайте се върху активите, които са критични за бизнеса. Няма нито една организация в света, която да може да премахне уязвимостите наведнъж. Процесът на отстраняване на уязвимости е дълъг и дори отнемащ време.

3. Свиване на атакуващата повърхност. Премахнете ненужния софтуер и услуги от инфраструктурата си, затворете ненужни портове. НRecently имаше случай с една компания, която на 40 хиляди устройства откри около 100 хиляди уязвимости, свързани със стара версия на браузъра Mozilla. Както по-късно се оказа, Mozilla беше внедрена в златния образ преди много години, никой не я използва, но тя е източник на голямо количество уязвимости. Когато браузърът беше премахнат от компютрите (той дори беше инсталиран на някои сървъри), тези десетки хиляди уязвимости изчезнаха.

4. Ранжирайте уязвимостите на основата на данни за разузнаване (threat intelligence). Вземете предвид не само критичността на уязвимостта, но и наличието на публичен експлойт, зловреден софтуер, патч, външен достъп до системата с уязвимостта. Оценявайте влиянието на тази уязвимост върху критичните бизнес системи: може ли да доведе до загуба на данни, отказ на обслужването и др.

Стъпка № 7: Съгласувайте KPI

Не сканирайте просто за да сканирате. Ако с откритите уязвимости не се предприемат действия, това сканиране става безполезна операция. За да не се превърне работата с уязвимостите в формалност, помислете как ще оценявате резултатите. ИБ и ИТ трябва да се споразумеят за начина, по който ще се организира работата по отстраняването на уязвимостите, колко често ще се провеждат сканирания, инсталиране на пачове и т.н.
На слайда виждате примери за възможни KPI. Има и разширен списък, който препоръчваме на нашите клиенти. Ако ви е интересно, свържете се, ще споделя тази информация с вас.

Стъпка № 8: Автоматизирайте

Отново ще се върна на сканирането. В Qualys смятаме, че сканирането е най-маловажно на днешния ден в процеса на управление на уязвимостите и че на първо място трябва да се максимално автоматизира, за да се извършва без участието на специалист по ИБ. Днес съществуват много инструменти, които позволяват това. Достатъчно е да имат отворен API и необходимо количество конектори.

Пример, който обичам да давам, е DevOps. Ако внедрите скенер за уязвимости, можете да забравите за DevOps. Със старите технологии, какъвто е класическият скенер, просто няма да бъдете допуснати в тези процеси. Разработчиците няма да чакат, докато сканирате и им предоставите многостраничен неудобен отчет. Те очакват информацията за уязвимостите да постъпва под формата на информация за бъгове в техните системи за компилация на код. Безопасността трябва да бъде безшевно интегрирана в тези процеси и тя трябва да бъде просто функция, която се извиква автоматично от системата, която използват вашите разработчици.

Стъпка № 9: Фокусирайте се върху основното

Фокусирайте се върху това, което носи реална полза за вашата компания. Сканиранията могат да бъдат автоматични, а отчетите също могат да се изпращат автоматично.
Фокусирайте се върху подобряване на процесите, така че да бъдат по-гъвкави и удобни за всички участници. Фокусирайте се върху това, да бъде внедрена безопасността във всички договори с вашите контрагенти, които, например, разработват уеб приложения за вас.

Ако ви е нужна по-подробна информация как да изградите процеса на управление на уязвимости в компанията, свържете се с мен и колегите ми. Ще се радва да помогна.

Източник: habr.com