Ei ole ainult skaneerimine või kuidas luua nõrkuste haldamise protsess 9 sammus

4. juulil korraldasime suure haavatavuste juhtimise seminari. Täna avaldame Andrei Novikovi esitluse transkriptsiooni Qualys'ist. Ta räägib, millisest protsessist tuleb läbi käia, et luua tõhus haavatavuste haldamise töövoog. Spoiler: skaneerimisega jõuame alles keskpaika.

Samm nr 1: Määrake haavatavuste haldamise protsesside küpsuse tase

Esimene samm on mõista, millisel tasemel teie organisatsioon asub haavatavuste haldamise protsesside küpsuse osas. Ainult pärast seda saate määrata, kuhu liikuda ja milliseid samme astuda. Enne skaneerimise ja muude tegevuste alustamist peavad organisatsioonid läbi viima sisetööd ja mõistma, kuidas teie praegused protsessid on korraldatud IT ja teabe turbe vaatenurgast.

Proovige vastata järgmistele põhiküsimustele:

• kas teil on varade inventeerimise ja klassifitseerimise protsessid; 
• kui sageli skaneeritakse IT infrastruktuuri ja kas kogu infrastruktuur on kaetud, kas teil on täielik ülevaade;
• kas teie IT ressursse jälgitakse;
• kas teie protsessides on rakendatud KPI-sid ja kuidas te mõistate, et need on täidetud;
• kas kõik need protsessid on dokumenteeritud.

Samm nr 2: Tagage infrastruktuuri täielik katmine

Te ei saa kaitsta seda, mida te ei tea. Kui teil pole täielikku pilti, millest teie IT infrastruktuur koosneb, ei saa te seda kaitsta. Kaasaegne infrastruktuur on keeruline ja pidevalt muutuv nii kvantiteedi kui kvaliteedi osas.
Nüüd põhineb IT infrastruktuur mitte ainult klassikaliste tehnoloogiate virnal (tööjaamad, serverid, virtuaalsed masinad), vaid ka suhteliselt uutest – konteineritest, mikroteenustest. Infoturbe teenistus püüab neist viimastest eri viisil kõrvale hoida, kuna nende käsitlemine olemasolevate tööriistade komplektiga, mis koosneb peamiselt skanneritest, on väga keeruline. Probleem seisneb selles, et ükski skanner ei suuda katta kogu infrastruktuuri. Selleks, et skanner jõuaks igale infrastruktuuri elemendile, peavad samaaegselt kokku langema mitu tegurit. Aktiiv peab olema organisatsiooni perimeetri sees skaneerimise hetkel. Skanner peab omama võrguühendust aktiividega ja nende kontodega, et koguda täielikku teavet.

Meie statistika kohaselt, kui rääkida keskmistest või suurtest organisatsioonidest, jääb umbes 15–20% infrastruktuurist skannerist üldse katmata erinevatel põhjustel: aktiiv on lahkunud perimeetri piiridest või ei ilmu kunagi kontorini. Näiteks töötaja sülearvuti, kes töötab eemalt, kuid kellel on juurdepääs ettevõtte võrku, või aktiiv, mis asub välistes pilveteenustes nagu Amazon. Ja skanner ei tea tõenäoliselt nendest aktiividest midagi, kuna need on tema nähtavusest väljas.

Kogu infrastruktuuri katmiseks on vaja kasutada mitte ainult skannereid, vaid ka terve komplekti sensoreid, sealhulgas passiivse liikluse jälgimise tehnoloogiaid, et tuvastada uusi seadmeid teie infrastruktuuris, andmeagendi meetodit, et koguda teavet – see võimaldab saada andmeid reaalajas, ilma skaneerimiseta, ilma kontode eraldamiseta.

Samm nr 3: Tehke aktiivide klassifitseerimine

Kõik aktiivid ei ole võrdselt kasulikud. Määrata, millised aktiivid on olulised ja millised mitte, on teie ülesanne. Ükski tööriist, sealhulgas skanner, ei tee seda teie eest. Ideaalis analüüsivad infosüsteemide, IT ja äri spetsialistid koos infrastruktuuri, et tuvastada ärikriitilised süsteemid. Nende jaoks määravad nad vastuvõetavad mõõdikud kättesaadavuse, terviklikkuse, konfidentsiaalsuse, RTO/RPO jne puhul.

See aitab määratleda prioriteedid haavatavuste haldamise protsessis. Kui teie spetsialistid saavad teavet haavatavuste kohta, ei ole see lihtsalt tuhandete haavatavustega leht tervet infrastruktuuri ulatuses, vaid granuleeritud teave, arvestades süsteemide kriitilisust.

Samm nr 4: Tehke infrastruktuuri hindamine

Ja alles, kui me neljandal sammul jõuame infrastruktuuri haavatavuste hindamiseni. Soovitame teil sel etapil pöörata tähelepanu mitte ainult tarkvara haavatavustele, vaid ka konfiguratsioonivigadele, mis võivad samuti olla haavatavused. Siin soovitame agentide meetodit teabe kogumise jaoks. Skaneerijaid saab ja tuleks kasutada piiri turvalisuse hindamiseks. Kui kasutate pilveteenuse pakkujate ressursse, siis tuleb sealt samuti koguda teavet varade ja konfiguratsioonide kohta. Erilist tähelepanu tuleb pöörata haavatavuste analüüsile Docker-konteinerites.

Samm № 5: Seadistage aruandlus

See on üks tähtsamaid elemente haavatavuste haldamise protsessis.
Esimene punkt: keegi ei hakka tegelema mitmeleheküljeliste aruannetega, kus on segane loetelu haavatavustest ja nende kõrvaldamise kirjeldusest. Tuleb eelkõige suhelda kolleegidega ja selgitada välja, mis peab aruandes olema ja kuidas nad andmeid mugavamalt saada soovivad. Näiteks ei vaja mõni administraator haavatavuse üksikasjalikku kirjeldust, vaid ainult teavet plaastri ja lingi kohta selle kohta. Teisel spetsialistil on olulised ainult võrguinfrastruktuuris leitud haavatavused.

Teine punkt: ma mõistan aruandlust mitte ainult paberaruanne. See on vananenud teabe saamise vorm ja staatiline ajalugu. Inimene saab aruande, kuid ei saa selle aruande andmete esitlemise üle mingit mõju avaldada. Õige andmete esitamise saamiseks peab IT-spetsialist võtma ühendust infoturbe spetsialistiga ja paluda tal aruande ümber struktureerida. Aeg möödub, uusi haavatavusi ilmneb. Selle asemel, et aruandeid osakonnast osakonda edastada, peaksid mõlema suuna spetsialistid saama jälgida andmeid veebis ja nägema ühte ja sama pilti. Seetõttu kasutame oma platvormil dünaamilisi aruandeid kohandatavate armatuurlaudade näol.

Samm № 6: Prioriteetse seadmine

Siin saab teha järgmist:

1. Loodud on süsteemide kuldsete piltide hoidla. Töötkem kuldsete piltidega, kontrollige neid pidevalt haavatavuste ja konfiguratsiooni õigsuse osas. Seda saab teha agentide abil, kes teavitavad automaatselt uue varaga ja pakuvad teavet selle haavatavuste kohta.

2. Keskenduge neile varadele, mis on äri jaoks kriitilised. Ühtegi organisatsiooni maailmas ei suuda eemaldada haavatavusi ühe korraga. Haavatavuste kõrvaldamise protsess on pikk ja isegi vaevarikas.

3. Rünnakupindade vähendamine. Koristage oma infrastruktuur mittevajalikest rakendustest, teenustest, sulgege mittevajalikud sadamad. Meil oli hiljuti juhtum ühes ettevõttes, kus 40 000 seadmes leiti umbes 100 000 haavatavust, mis olid seotud vana Mozilla veebibrauseri versiooniga. Kui hiljem selgus, oli Mozilla paigaldatud kuldproovisse juba mitu aastat tagasi, keegi ei kasutanud seda, kuid see oli suurte haavatavuste allikas. Kui veebibrauser arvutites eemaldati (ta oli isegi mõnel serveril), siis need kümned tuhanded haavatavused kadusid.

4. Hinnake haavatavusi threat intelligence'i andmebaasi alusel. Arvestage mitte ainult haavatavuse kriitilisust, vaid ka avalike eksploitide, pahavara, plaastrite olemasolu, välise juurdepääsu süsteemile, kus haavatavus esineb. Hinnake selle haavatavuse mõju äri kriitilistele süsteemidele: kas see võib põhjustada andmete kadu, teenuse osutamise katkestust jne.

Samm nr 7: KPI-de kokkulepe

Ärge skanneerige lihtsalt skaneerimise nimel. Kui leitud haavatavustega ei tehta midagi, siis muutub see skanneerimine väärtusetuks tegevuseks. Et haavatavuste haldus ei muutuks pelgaks vormiks, mõelge, kuidas te tulemusi hindate. Küberturbe ja IT peavad kokku leppima, kuidas haavatuste kõrvaldamise töö korraldatakse, kui tihti skanneerimisi ja plaastrite rakendamist tehakse jne.
Slaidil näete võimalike KPI-de näiteid. On olemas ka laiendatud nimekiri, mida soovitame oma klientidele. Kui olete huvitatud, võtke ühendust, jagan seda teavet teiega.

Samm nr 8: Automatiseerige

Tulen taas skanneerimise juurde. Me Qualysis usume, et skanneerimine on kõige vähem oluline tegevus tänases haavatavuste haldamise protsessis ja et see tuleks maksimaalselt automatiseerida, et see toimuks ilma küberturbe spetsialisti sekkumiseta. Täna on palju tööriistu, mis võimaldavad seda teha. Piisab, kui neil on avatud API ja vajalik arv ühendusi.

Näide, mida ma meeldib tuua, on DevOps. Kui te rakendate sinna turvaauku skannerit, siis võite DevOpsist lihtsalt unustada. Vanade tehnoloogiate, nagu klassikaline skanner, tõttu ei lubata teid nende protsessidesse. Arendajad ei oota, et te skannite ja annate neile mitmeleheküljelise ebamugava aruande. Arendajad ootavad, et teave turvaaukude kohta jõuaks nende koodi kogumise süsteemidesse veaparandustena. Turvalisus peaks olema sujuvalt integreeritud nendesse protsessidesse ja see peaks olema lihtsalt funktsioon, mis aktiveeritakse automaatselt teie arendajate kasutatavast süsteemist.

Samm nr 9: Keskenduge peamisele

Keskenduge sellele, mis toob teie ettevõttele tõelist väärtust. Skaneerimised võivad olla automaatsed, aruanded võivad samuti automaatselt jõuda sihtkohtadesse.
Keskenduge protsesside parandamisele, et need oleksid paindlikumad ja mugavamad kõigile osalistele. Keskenduge sellele, et turvalisus oleks sisse ehitatud kõikidesse lepingutesse teie partneritega, kes näiteks arendavad teile veebirakendusi.

Kui vajate rohkem teavet selle kohta, kuidas luua ettevõttes turvaaukude haldamise protsess, võtke minuga ja mu kolleegidega ühendust. Olin rõõmus aidata.

Allikas: habr.com