Am 4. Juli veranstalteten wir ein großes . Heute veröffentlichen wir die Abschrift der Rede von Andrei Novikov von Qualys. Er wird darlegen, welche Schritte notwendig sind, um einen funktionierenden Prozess im Schwachstellenmanagement aufzubauen. Spoiler: Zum Scannen kommen wir erst in der Mitte des Weges.
Schritt Nr. 1: Bestimmen Sie den Reifegrad der Prozesse im Schwachstellenmanagement
Zunächst muss man verstehen, auf welcher Stufe sich Ihre Organisation in Bezug auf den Reifegrad der Prozesse im Schwachstellenmanagement befindet. Nur dann können Sie erkennen, wohin Sie sich bewegen müssen und welche Schritte nötig sind. Bevor Organisationen mit dem Scannen und anderen Aktivitäten beginnen, sollten sie interne Arbeiten durchführen und verstehen, wie ihre aktuellen Prozesse im Hinblick auf IT und Informationssicherheit strukturiert sind.
Versuchen Sie, grundlegende Fragen zu beantworten:
- Haben Sie Prozesse zur Inventarisierung und Klassifizierung von Assets?
- Wie regelmäßig wird die IT-Infrastruktur gescannt und ist die gesamte Infrastruktur erfasst, sehen Sie das gesamte Bild?
- Werden Ihre IT-Ressourcen überwacht?
- Sind in Ihre Prozesse KPIs integriert und wie wissen Sie, dass diese erfüllt werden?
- Sind all diese Prozesse dokumentiert?
Schritt Nr. 2: Stellen Sie sicher, dass die Infrastruktur vollständig abgedeckt ist
Sie können nicht schützen, was Sie nicht kennen. Wenn Sie kein vollständiges Bild davon haben, aus was Ihre IT-Infrastruktur besteht, können Sie sie nicht schützen. Moderne Infrastrukturen sind komplex und verändern sich ständig sowohl quantitativ als auch qualitativ.
Jetzt basiert die IT-Infrastruktur nicht nur auf einem klassischen Technologiestack (Arbeitsstationen, Server, virtuelle Maschinen), sondern auch auf relativ neuen – Containern, Mikrodiensten. Der Dienst für Informationssicherheit versucht, den neuesten Entwicklungen zu entkommen, da es sehr schwierig ist, mit ihnen unter Verwendung der vorhandenen Toolsets zu arbeiten, die hauptsächlich aus Scannern bestehen. Das Problem ist, dass kein Scanner die gesamte Infrastruktur abdecken kann. Damit ein Scanner auf einen beliebigen Knoten in der Infrastruktur zugreifen kann, müssen mehrere Faktoren gleichzeitig zusammenpassen. Der aktive Punkt muss zum Zeitpunkt des Scannens innerhalb des Perimeters der Organisation liegen. Der Scanner muss Netzwerkzugriffe zu den aktiven Punkten und deren Konten haben, um vollständige Informationen zu sammeln.
Laut unserer Statistik werden bei mittleren oder großen Organisationen etwa 15–20 % der Infrastruktur aus den unterschiedlichsten Gründen vom Scanner nicht erfasst: Der aktive Punkt hat den Perimeter verlassen oder erscheint überhaupt nicht im Büro. Zum Beispiel der Laptop eines Mitarbeiters, der remote arbeitet, aber dennoch Zugriff auf das Unternehmensnetzwerk hat, oder der aktive Punkt befindet sich in externen Cloud-Diensten wie Amazon. Und der Scanner wird wahrscheinlich nichts über diese aktiven Punkte wissen, da sie außerhalb seines Sichtfeldes sind.
Um die gesamte Infrastruktur abzudecken, ist es notwendig, nicht nur Scanner, sondern ein ganzes Set von Sensoren zu verwenden, einschließlich Technologien zur passiven Überwachung des Datenverkehrs, um neue Geräte in Ihrer Infrastruktur zu entdecken, sowie die Agenten-Methode zur Datensammlung, die es ermöglicht, Informationen in Echtzeit zu sammeln, ohne Scans durchführen oder Anmeldeinformationen bereitstellen zu müssen.
Schritt Nr. 3: Kategorisieren Sie die aktiven Punkte.
Nicht alle aktiven Punkte sind gleichwertig. Es liegt an Ihnen zu bestimmen, welche aktiven Punkte wichtig sind und welche nicht. Kein Tool, auch nicht der Scanner, wird dies für Sie tun. Idealerweise analysieren Informationssicherheit, IT und das Geschäft gemeinsam die Infrastruktur, um geschäftskritische Systeme zu identifizieren. Für diese definieren sie zulässige Kennzahlen für Verfügbarkeit, Integrität, Vertraulichkeit, RTO/RPO usw.
Dies hilft, Prioritäten im Management des Schwachstellenprozesses zu bestimmen. Wenn Ihre Experten Informationen zu Schwachstellen erhalten, wird dies nicht zu einer langen Liste mit Tausenden von Schwachstellen über die gesamte Infrastruktur sein, sondern zu granularen Informationen, die die Kritikalität der Systeme berücksichtigen.
Schritt Nr. 4: Führen Sie eine Bewertung der Infrastruktur durch.
Und erst im vierten Schritt kommen wir zu einer Bewertung der Infrastruktur in Bezug auf Schwachstellen. Wir empfehlen Ihnen, in diesem Schritt nicht nur auf Schwachstellen in der Software zu achten, sondern auch auf Fehler in den Konfigurationen, die ebenfalls eine Schwachstelle darstellen können. Hier empfehlen wir die agentenbasierte Methode zur Informationssammlung. Scanner sollten zur Bewertung der Sicherheit des Netzwerkrands eingesetzt werden. Wenn Sie Ressourcen von Cloud-Anbietern nutzen, sollten Sie auch dort Informationen über Aktiva und Konfigurationen sammeln. Achten Sie besonders auf die Analyse von Schwachstellen in Infrastrukturen, die Docker-Container verwenden.
Schritt Nr. 5: Berichterstattung einrichten
Dies ist eines der wichtigen Elemente im Risiko-Management-Prozess.
Erster Punkt: Niemand wird mit mehrseitigen Berichten arbeiten, die eine unordentliche Liste von Schwachstellen und deren Beseitigung beschreiben. Zunächst müssen Sie mit Ihren Kollegen Kommunizieren und klären, was im Bericht enthalten sein sollte und wie es für sie am bequemsten ist, die Daten zu erhalten. Beispielsweise benötigt ein Administrator keine detaillierte Beschreibung der Schwachstelle, sondern nur die Information über den Patch und den Link dazu. Ein anderem Spezialisten sind nur die Schwachstellen wichtig, die in der Netzwerkinfrastruktur gefunden wurden.
Zweiter Punkt: Unter Berichterstattung verstehe ich nicht nur Papierberichte. Das ist ein veraltetes Format, um Informationen zu erhalten, und eine statische Geschichte. Eine Person erhält einen Bericht und kann keinen Einfluss darauf nehmen, wie die Daten in diesem Bericht dargestellt werden. Um den Bericht in der richtigen Form zu erhalten, muss der IT-Spezialist den Informationssicherheitsbeauftragten kontaktieren und ihn bitten, den Bericht umzustrukturieren. Die Zeit vergeht, neue Schwachstellen erscheinen. Anstatt Berichte von Abteilung zu Abteilung zu verschieben, sollten Spezialisten beider Richtungen die Möglichkeit haben, die Daten online zu beobachten und dasselbe Bild zu sehen. Daher verwenden wir in unserer Plattform dynamische Berichte in Form von anpassbaren Dashboards.
Schritt Nr. 6: Priorisieren
Hier können Sie Folgendes tun:
1. Erstellung eines Repositories mit Gold-Images von Systemen. Arbeiten Sie kontinuierlich mit Gold-Images, überprüfen Sie deren Schwachstellen und die Richtigkeit der Konfiguration. Dies kann durch Agenten erfolgen, die automatisch über neue Aktiva berichten und Informationen über deren Schwachstellen bereitstellen.
2. Konzentrieren Sie sich auf die kritischen Vermögenswerte für das Geschäft. Es gibt keine Organisation auf der Welt, die Schwachstellen in einem Rutsch beseitigen kann. Der Prozess zur Behebung von Schwachstellen ist langwierig und sogar mühsam.
3. Verkleinern Sie die Angriffsfläche. Reinigen Sie Ihre Infrastruktur von unnötiger Software und Diensten, schließen Sie nicht benötigte Ports. Kürzlich hatten wir einen Fall mit einem Unternehmen, bei dem auf 40.000 Geräten etwa 100.000 Schwachstellen in Verbindung mit einer alten Version des Browsers Mozilla gefunden wurden. Wie sich später herausstellte, war Mozilla vor vielen Jahren in das Gold-Image integriert worden, und niemand benutzt ihn, aber er ist die Quelle einer großen Anzahl von Schwachstellen. Als der Browser von den Computern entfernt wurde (er war sogar auf einigen Servern installiert), verschwanden diese zehntausend Schwachstellen.
4. Rangieren Sie Schwachstellen anhand von Bedrohungsdaten (Threat Intelligence). Berücksichtigen Sie nicht nur die Kritikalität der Schwachstelle, sondern auch das Vorhandensein eines öffentlichen Exploits, Malware, Patches und externem Zugang zum System mit der Schwachstelle. Bewerten Sie die Auswirkungen dieser Schwachstelle auf kritische Geschäftssysteme: Kann es zu Datenverlusten, Dienstunterbrechungen etc. führen?
Schritt Nr. 7: KPI abstimmen
Scannen Sie nicht nur um des Scannens willen. Wenn mit den gefundenen Schwachstellen nichts geschieht, wird das Scannen zu einer nutzlosen Operation. Um zu verhindern, dass die Arbeit mit Schwachstellen zur Formsache wird, denken Sie daran, wie Sie die Ergebnisse bewerten werden. IT und Sicherheit sollten sich darüber einig sein, wie die Arbeit zur Behebung von Schwachstellen strukturiert wird, wie oft Scans und Patch-Installationen usw. durchgeführt werden.
Auf der Folie sehen Sie Beispiele möglicher KPIs. Es gibt auch eine erweiterte Liste, die wir unseren Kunden empfehlen. Wenn Sie interessiert sind, kontaktieren Sie mich, ich teile diese Informationen gerne mit Ihnen.
Schritt Nr. 8: Automatisieren Sie
Ich werde wieder auf das Scannen zurückkommen. Wir bei Qualys sind der Meinung, dass das Scannen das unwichtigste ist, was im heutigen Schwachstellenmanagementprozess sein kann, und dass es zuerst maximal automatisiert werden muss, damit es ohne Beteiligung eines Sicherheitsspezialisten durchgeführt wird. Heute gibt es viele Tools, die dies ermöglichen. Es reicht aus, wenn sie eine offene API und eine angemessene Anzahl von Connectors haben.
Ein Beispiel, das ich gerne anführe, ist DevOps. Wenn Sie dort einen Schwachstellenscanner integrieren, können Sie DevOps einfach vergessen. Mit den alten Technologien, die ein klassischer Scanner darstellt, werden Sie einfach nicht in diese Prozesse eingelassen. Entwickler werden nicht darauf warten, dass Sie scannen und ihnen einen mehrseitigen, unhandlichen Bericht übergeben. Entwickler erwarten, dass Informationen über Schwachstellen als Bug-Informationen in ihre Code-Bausysteme gelangen. Sicherheit muss nahtlos in diese Prozesse integriert werden und sie muss lediglich eine Funktion sein, die automatisch von dem System aufgerufen wird, das von Ihren Entwicklern verwendet wird.
Schritt Nr. 9: Konzentrieren Sie sich auf das Wesentliche
Konzentrieren Sie sich auf das, was Ihrem Unternehmen echten Nutzen bringt. Scans können automatisiert sein, Berichte können ebenfalls automatisch versendet werden.
Konzentrieren Sie sich darauf, die Prozesse zu verbessern, damit sie flexibler und benutzerfreundlicher für alle Beteiligten werden. Konzentrieren Sie sich darauf, dass Sicherheit in alle Verträge mit Ihren Geschäftspartnern integriert wird, die beispielsweise Webanwendungen für Sie entwickeln.
Wenn Sie detailliertere Informationen dazu benötigen, wie Sie einen Prozess zur Verwaltung von Schwachstellen in Ihrem Unternehmen aufbauen können, wenden Sie sich bitte an mich und meine Kollegen. Ich helfe Ihnen gerne weiter.
Quelle: habr.com
