শুধু স্ক্যানিং নয়, বা কীভাবে 9টি ধাপে একটি দুর্বলতা ব্যবস্থাপনা প্রক্রিয়া তৈরি করা যায়

আমরা একটি বড় 4 জুলাই ছিল দুর্বলতা ব্যবস্থাপনা কর্মশালা. আজ আমরা কোয়ালিস থেকে আন্দ্রে নোভিকভের বক্তৃতার একটি প্রতিলিপি প্রকাশ করছি। তিনি আপনাকে বলবেন যে একটি দুর্বলতা ব্যবস্থাপনা কর্মপ্রবাহ তৈরি করতে আপনাকে কী কী পদক্ষেপ নিতে হবে। স্পয়লার: আমরা স্ক্যান করার আগে অর্ধেক পয়েন্টে পৌঁছাব।

ধাপ #1: আপনার দুর্বলতা ব্যবস্থাপনা প্রক্রিয়ার পরিপক্কতার স্তর নির্ধারণ করুন

একেবারে শুরুতে, আপনাকে বুঝতে হবে যে আপনার সংস্থাটি তার দুর্বলতা ব্যবস্থাপনা প্রক্রিয়াগুলির পরিপক্কতার পরিপ্রেক্ষিতে কোন পর্যায়ে রয়েছে। এর পরেই আপনি বুঝতে পারবেন কোথায় যেতে হবে এবং কী পদক্ষেপ নেওয়া দরকার। স্ক্যান এবং অন্যান্য ক্রিয়াকলাপ শুরু করার আগে, আইটি এবং তথ্য সুরক্ষার দৃষ্টিকোণ থেকে আপনার বর্তমান প্রক্রিয়াগুলি কীভাবে গঠন করা হয়েছে তা বোঝার জন্য সংস্থাগুলিকে কিছু অভ্যন্তরীণ কাজ করতে হবে।

মৌলিক প্রশ্নের উত্তর দেওয়ার চেষ্টা করুন:

• আপনার কি ইনভেন্টরি এবং সম্পদ শ্রেণীবিভাগের প্রক্রিয়া আছে; 
• আইটি অবকাঠামো কতটা নিয়মিত স্ক্যান করা হয় এবং পুরো অবকাঠামো কভার করা হয়, আপনি কি পুরো চিত্রটি দেখেন;
• আপনার আইটি সম্পদ নিরীক্ষণ করা হয়?
• আপনার প্রসেসে কোন KPI প্রয়োগ করা হয়েছে এবং আপনি কিভাবে বুঝবেন যে সেগুলি পূরণ করা হচ্ছে;
• এই সব প্রক্রিয়া নথিভুক্ত?

ধাপ #2: সম্পূর্ণ অবকাঠামো কভারেজ নিশ্চিত করুন

আপনি যা জানেন না তা রক্ষা করতে পারবেন না। আপনার আইটি পরিকাঠামো কী দিয়ে তৈরি তার সম্পূর্ণ ছবি না থাকলে, আপনি এটি রক্ষা করতে পারবেন না। আধুনিক অবকাঠামো জটিল এবং ক্রমাগত পরিমাণগত এবং গুণগতভাবে পরিবর্তিত হয়।
এখন আইটি অবকাঠামো শুধুমাত্র ক্লাসিক প্রযুক্তির (ওয়ার্কস্টেশন, সার্ভার, ভার্চুয়াল মেশিন) এর উপর ভিত্তি করে নয়, বরং তুলনামূলকভাবে নতুন - কন্টেইনার, মাইক্রোসার্ভিসেসের উপর ভিত্তি করে। তথ্য সুরক্ষা পরিষেবাটি প্রতিটি সম্ভাব্য উপায়ে পরেরটি থেকে দূরে চলে যাচ্ছে, যেহেতু এটির পক্ষে বিদ্যমান সরঞ্জাম সেটগুলি ব্যবহার করে তাদের সাথে কাজ করা খুব কঠিন, যা প্রধানত স্ক্যানারগুলি নিয়ে গঠিত। সমস্যা হল যে কোন স্ক্যানার পুরো পরিকাঠামো কভার করতে পারে না। একটি স্ক্যানার পরিকাঠামোর যেকোন নোডে পৌঁছানোর জন্য, বেশ কয়েকটি কারণের সাথে মিলিত হতে হবে। স্ক্যান করার সময় সম্পদ অবশ্যই প্রতিষ্ঠানের পরিধির মধ্যে থাকতে হবে। সম্পূর্ণ তথ্য সংগ্রহ করার জন্য স্ক্যানারের অবশ্যই সম্পদ এবং তাদের অ্যাকাউন্টগুলিতে নেটওয়ার্ক অ্যাক্সেস থাকতে হবে।

আমাদের পরিসংখ্যান অনুসারে, যখন মাঝারি বা বড় সংস্থাগুলির কথা আসে, তখন প্রায় 15-20% পরিকাঠামো কোনও না কোনও কারণে স্ক্যানার দ্বারা ক্যাপচার করা হয় না: সম্পদটি পরিধির বাইরে চলে গেছে বা কখনই অফিসে উপস্থিত হয় না। উদাহরণস্বরূপ, একজন কর্মচারীর একটি ল্যাপটপ যিনি দূর থেকে কাজ করেন কিন্তু এখনও কর্পোরেট নেটওয়ার্কে অ্যাক্সেস রয়েছে, বা সম্পদটি অ্যামাজনের মতো বাহ্যিক ক্লাউড পরিষেবাগুলিতে অবস্থিত। এবং স্ক্যানার, সম্ভবত, এই সম্পদগুলি সম্পর্কে কিছুই জানবে না, যেহেতু তারা তার দৃশ্যমানতা অঞ্চলের বাইরে।

সমগ্র পরিকাঠামো কভার করার জন্য, আপনাকে শুধুমাত্র স্ক্যানারই ব্যবহার করতে হবে না, আপনার পরিকাঠামোতে নতুন ডিভাইস সনাক্ত করতে প্যাসিভ ট্রাফিক লিসেনিং প্রযুক্তি সহ একটি সম্পূর্ণ সেট সেন্সর ব্যবহার করতে হবে, তথ্য পাওয়ার জন্য এজেন্ট ডেটা সংগ্রহের পদ্ধতি - আপনাকে অনলাইনে ডেটা গ্রহণ করতে দেয়। শংসাপত্রগুলি হাইলাইট না করে স্ক্যান করার প্রয়োজন।

ধাপ #3: সম্পদ শ্রেণীবদ্ধ করুন

সব সম্পদ সমান তৈরি করা হয় না। কোন সম্পদ গুরুত্বপূর্ণ এবং কোনটি নয় তা নির্ধারণ করা আপনার কাজ। স্ক্যানারের মতো কোনো টুল আপনার জন্য এটি করবে না। আদর্শভাবে, তথ্য নিরাপত্তা, আইটি এবং ব্যবসা ব্যবসা-সমালোচনামূলক সিস্টেমগুলি সনাক্ত করার জন্য অবকাঠামো বিশ্লেষণ করতে একসাথে কাজ করে। তাদের জন্য, তারা প্রাপ্যতা, অখণ্ডতা, গোপনীয়তা, RTO/RPO ইত্যাদির জন্য গ্রহণযোগ্য মেট্রিক্স নির্ধারণ করে।

এটি আপনাকে আপনার দুর্বলতা ব্যবস্থাপনা প্রক্রিয়াকে অগ্রাধিকার দিতে সাহায্য করবে। যখন আপনার বিশেষজ্ঞরা দুর্বলতার উপর ডেটা পাবেন, তখন এটি পুরো পরিকাঠামো জুড়ে হাজার হাজার দুর্বলতার সাথে একটি শীট হবে না, তবে সিস্টেমের সমালোচনাকে বিবেচনা করে দানাদার তথ্য হবে।

ধাপ #4: একটি পরিকাঠামো মূল্যায়ন পরিচালনা করুন

এবং শুধুমাত্র চতুর্থ ধাপে আমরা দুর্বলতার দৃষ্টিকোণ থেকে পরিকাঠামো মূল্যায়ন করতে আসি। এই পর্যায়ে, আমরা সুপারিশ করছি যে আপনি শুধুমাত্র সফ্টওয়্যার দুর্বলতার দিকেই মনোযোগ দেবেন না, কনফিগারেশন ত্রুটির দিকেও মনোযোগ দিন, যা একটি দুর্বলতাও হতে পারে। এখানে আমরা তথ্য সংগ্রহের এজেন্ট পদ্ধতির সুপারিশ করি। ঘের নিরাপত্তা মূল্যায়ন করতে স্ক্যানার ব্যবহার করা যেতে পারে এবং করা উচিত। আপনি যদি ক্লাউড সরবরাহকারীদের সংস্থানগুলি ব্যবহার করেন তবে আপনাকে সেখান থেকে সম্পদ এবং কনফিগারেশনের তথ্য সংগ্রহ করতে হবে। ডকার কন্টেইনার ব্যবহার করে অবকাঠামোর দুর্বলতা বিশ্লেষণে বিশেষ মনোযোগ দিন।

ধাপ #5: রিপোর্টিং সেট আপ করুন

এটি দুর্বলতা ব্যবস্থাপনা প্রক্রিয়ার মধ্যে একটি গুরুত্বপূর্ণ উপাদান।
প্রথম পয়েন্ট: দুর্বলতার একটি এলোমেলো তালিকা এবং কীভাবে সেগুলি দূর করা যায় তার বর্ণনা সহ বহু-পৃষ্ঠার প্রতিবেদন নিয়ে কেউ কাজ করবে না। প্রথমত, আপনাকে সহকর্মীদের সাথে যোগাযোগ করতে হবে এবং প্রতিবেদনে কী থাকা উচিত এবং কীভাবে ডেটা গ্রহণ করা তাদের পক্ষে আরও সুবিধাজনক তা খুঁজে বের করতে হবে। উদাহরণস্বরূপ, কিছু প্রশাসকের দুর্বলতার বিশদ বিবরণের প্রয়োজন নেই এবং শুধুমাত্র প্যাচ সম্পর্কে তথ্য এবং এটির একটি লিঙ্ক প্রয়োজন। অন্য একজন বিশেষজ্ঞ শুধুমাত্র নেটওয়ার্ক পরিকাঠামোতে পাওয়া দুর্বলতার বিষয়ে যত্নশীল।

দ্বিতীয় পয়েন্ট: রিপোর্টিং বলতে আমি শুধু কাগজের রিপোর্ট বলতে চাচ্ছি না। তথ্য পাওয়ার জন্য এটি একটি পুরানো ফর্ম্যাট এবং একটি স্থির গল্প। একজন ব্যক্তি একটি প্রতিবেদন গ্রহণ করেন এবং এই প্রতিবেদনে ডেটা কীভাবে উপস্থাপন করা হবে তা কোনোভাবেই প্রভাবিত করতে পারে না। কাঙ্খিত আকারে প্রতিবেদনটি পেতে, আইটি বিশেষজ্ঞকে তথ্য সুরক্ষা বিশেষজ্ঞের সাথে যোগাযোগ করতে হবে এবং তাকে প্রতিবেদনটি পুনর্নির্মাণ করতে বলতে হবে। সময়ের সাথে সাথে নতুন দুর্বলতা দেখা দেয়। বিভাগ থেকে বিভাগে প্রতিবেদনগুলি ঠেলে দেওয়ার পরিবর্তে, উভয় শাখার বিশেষজ্ঞদের অনলাইনে ডেটা নিরীক্ষণ করতে এবং একই ছবি দেখতে সক্ষম হওয়া উচিত। অতএব, আমাদের প্ল্যাটফর্মে আমরা কাস্টমাইজযোগ্য ড্যাশবোর্ডের আকারে গতিশীল প্রতিবেদন ব্যবহার করি।

ধাপ #6: অগ্রাধিকার দিন

এখানে আপনি নিম্নলিখিত কাজ করতে পারেন:

1. সিস্টেমের সোনালী ছবি সহ একটি সংগ্রহস্থল তৈরি করা। গোল্ডেন ইমেজ নিয়ে কাজ করুন, তাদের দুর্বলতার জন্য পরীক্ষা করুন এবং চলমান ভিত্তিতে সঠিক কনফিগারেশন করুন। এটি এজেন্টদের সাহায্যে করা যেতে পারে যা স্বয়ংক্রিয়ভাবে একটি নতুন সম্পদের উত্থানের রিপোর্ট করবে এবং এর দুর্বলতা সম্পর্কে তথ্য প্রদান করবে।

2. ব্যবসার জন্য গুরুত্বপূর্ণ সেই সম্পদগুলিতে ফোকাস করুন৷ বিশ্বে এমন একটি সংস্থা নেই যা একযোগে দুর্বলতা দূর করতে পারে। দুর্বলতা দূর করার প্রক্রিয়া দীর্ঘ এবং এমনকি ক্লান্তিকর।

3. আক্রমণ পৃষ্ঠ সংকীর্ণ. আপনার অপ্রয়োজনীয় সফ্টওয়্যার এবং পরিষেবাগুলির পরিকাঠামো পরিষ্কার করুন, অপ্রয়োজনীয় পোর্টগুলি বন্ধ করুন। আমরা সম্প্রতি একটি কোম্পানির সাথে একটি মামলা করেছি যেখানে মোজিলা ব্রাউজারের পুরানো সংস্করণ সম্পর্কিত প্রায় 40 হাজার দুর্বলতা 100 হাজার ডিভাইসে পাওয়া গেছে। এটি পরে পরিণত হয়েছে, Mozilla বহু বছর আগে সোনালী চিত্রে প্রবর্তিত হয়েছিল, কেউ এটি ব্যবহার করে না, তবে এটি প্রচুর সংখ্যক দুর্বলতার উত্স। যখন কম্পিউটার থেকে ব্রাউজারটি সরানো হয়েছিল (এটি এমনকি কিছু সার্ভারেও ছিল), তখন এই কয়েক হাজার দুর্বলতা অদৃশ্য হয়ে গেছে।

4. হুমকি বুদ্ধিমত্তার উপর ভিত্তি করে দুর্বলতাগুলিকে রেঙ্ক করুন। কেবলমাত্র দুর্বলতার সমালোচনাই নয়, দুর্বলতার সাথে একটি পাবলিক শোষণ, ম্যালওয়্যার, প্যাচ বা সিস্টেমে বাহ্যিক অ্যাক্সেসের উপস্থিতিও বিবেচনা করুন। সমালোচনামূলক ব্যবসায়িক সিস্টেমে এই দুর্বলতার প্রভাব মূল্যায়ন করুন: এটি কি ডেটা ক্ষতি, পরিষেবা অস্বীকার ইত্যাদির দিকে নিয়ে যেতে পারে?

ধাপ #7: KPI-তে সম্মত হন

স্ক্যান করার জন্য স্ক্যান করবেন না। যদি পাওয়া দুর্বলতাগুলির কিছুই না ঘটে, তবে এই স্ক্যানিংটি একটি অকেজো অপারেশনে পরিণত হয়। দুর্বলতার সাথে কাজ করাকে একটি আনুষ্ঠানিকতা হতে বাধা দিতে, আপনি কীভাবে এর ফলাফলগুলি মূল্যায়ন করবেন সে সম্পর্কে চিন্তা করুন। তথ্য নিরাপত্তা এবং আইটি-কে অবশ্যই একমত হতে হবে যে কীভাবে দুর্বলতা দূর করার কাজটি গঠন করা হবে, কত ঘন ঘন স্ক্যান করা হবে, প্যাচ ইনস্টল করা হবে ইত্যাদি।
স্লাইডে আপনি সম্ভাব্য কেপিআই-এর উদাহরণ দেখতে পাচ্ছেন। আমরা আমাদের ক্লায়েন্টদের সুপারিশ যে একটি বর্ধিত তালিকা আছে. আপনি আগ্রহী হলে, আমার সাথে যোগাযোগ করুন, আমি আপনার সাথে এই তথ্য শেয়ার করব.

ধাপ #8: স্বয়ংক্রিয়

আবার স্ক্যানিং এ ফিরে যান। Qualys-এ, আমরা বিশ্বাস করি যে স্ক্যানিং হল সবচেয়ে গুরুত্বহীন জিনিস যা আজ দুর্বলতা ব্যবস্থাপনা প্রক্রিয়ায় ঘটতে পারে, এবং প্রথমত এটি যতটা সম্ভব স্বয়ংক্রিয় হওয়া দরকার যাতে এটি কোনও তথ্য নিরাপত্তা বিশেষজ্ঞের অংশগ্রহণ ছাড়াই সম্পাদিত হয়। আজ এমন অনেক সরঞ্জাম রয়েছে যা আপনাকে এটি করতে দেয়। এটি যথেষ্ট যে তাদের একটি খোলা API এবং প্রয়োজনীয় সংখ্যক সংযোগকারী রয়েছে।

উদাহরণ আমি দিতে চাই DevOps. আপনি যদি সেখানে একটি দুর্বলতা স্ক্যানার প্রয়োগ করেন, আপনি কেবল DevOps সম্পর্কে ভুলে যেতে পারেন। পুরানো প্রযুক্তিগুলির সাথে, যা একটি ক্লাসিক স্ক্যানার, আপনাকে কেবল এই প্রক্রিয়াগুলিতে অনুমতি দেওয়া হবে না। বিকাশকারীরা আপনার স্ক্যান করার জন্য অপেক্ষা করবে না এবং তাদের একটি বহু-পৃষ্ঠা, অসুবিধাজনক প্রতিবেদন দেবে। বিকাশকারীরা আশা করে যে দুর্বলতা সম্পর্কে তথ্য বাগ তথ্য আকারে তাদের কোড সমাবেশ সিস্টেমে প্রবেশ করবে। এই প্রক্রিয়াগুলির মধ্যে সুরক্ষা নির্বিঘ্নে তৈরি করা উচিত এবং এটি এমন একটি বৈশিষ্ট্য হওয়া উচিত যা আপনার বিকাশকারীদের দ্বারা ব্যবহৃত সিস্টেম দ্বারা স্বয়ংক্রিয়ভাবে কল করা হয়৷

ধাপ #9: অপরিহার্য বিষয়গুলিতে ফোকাস করুন

আপনার কোম্পানির জন্য প্রকৃত মূল্য নিয়ে আসে কি ফোকাস. স্ক্যানগুলি স্বয়ংক্রিয় হতে পারে, রিপোর্টগুলিও স্বয়ংক্রিয়ভাবে পাঠানো যেতে পারে।
জড়িত প্রত্যেকের জন্য প্রক্রিয়াগুলিকে আরও নমনীয় এবং সুবিধাজনক করতে তাদের উন্নতিতে ফোকাস করুন। আপনার প্রতিপক্ষের সাথে যে সমস্ত চুক্তিতে নিরাপত্তা তৈরি করা হয়েছে তা নিশ্চিত করার উপর ফোকাস করুন, যারা উদাহরণস্বরূপ, আপনার জন্য ওয়েব অ্যাপ্লিকেশন তৈরি করে।

আপনার কোম্পানিতে কীভাবে একটি দুর্বলতা ব্যবস্থাপনা প্রক্রিয়া তৈরি করতে হয় সে সম্পর্কে আপনার আরও বিস্তারিত তথ্যের প্রয়োজন হলে, অনুগ্রহ করে আমার এবং আমার সহকর্মীদের সাথে যোগাযোগ করুন। আমি সাহায্য করতে খুশি হব.

উত্স: www.habr.com