માત્ર સ્કેનિંગ જ નહીં, અથવા 9 પગલાંઓમાં નબળાઈ વ્યવસ્થાપન પ્રક્રિયા કેવી રીતે બનાવવી

અમારી પાસે ચોથી જુલાઈનો મોટો દિવસ હતો નબળાઈ વ્યવસ્થાપન વર્કશોપ. આજે અમે ક્વાલિસમાંથી આન્દ્રે નોવિકોવના ભાષણની ટ્રાન્સક્રિપ્ટ પ્રકાશિત કરી રહ્યા છીએ. તે તમને જણાવશે કે નબળાઈ વ્યવસ્થાપન વર્કફ્લો બનાવવા માટે તમારે કયા પગલાઓમાંથી પસાર થવાની જરૂર છે. સ્પોઈલર: અમે સ્કેન કરતા પહેલા માત્ર હાફવે પોઈન્ટ પર પહોંચીશું.

પગલું #1: તમારી નબળાઈ વ્યવસ્થાપન પ્રક્રિયાઓનું પરિપક્વતા સ્તર નક્કી કરો

ખૂબ જ શરૂઆતમાં, તમારે સમજવાની જરૂર છે કે તમારી સંસ્થા તેની નબળાઈ વ્યવસ્થાપન પ્રક્રિયાઓની પરિપક્વતાના સંદર્ભમાં કયા તબક્કે છે. આ પછી જ તમે સમજી શકશો કે ક્યાં ખસેડવું અને કયા પગલાં ભરવાની જરૂર છે. સ્કેન અને અન્ય પ્રવૃત્તિઓ શરૂ કરતા પહેલા, તમારી વર્તમાન પ્રક્રિયાઓ IT અને માહિતી સુરક્ષાના પરિપ્રેક્ષ્યથી કેવી રીતે સંરચિત છે તે સમજવા માટે સંસ્થાઓએ કેટલાક આંતરિક કાર્ય કરવાની જરૂર છે.

મૂળભૂત પ્રશ્નોના જવાબ આપવાનો પ્રયાસ કરો:

• શું તમારી પાસે ઇન્વેન્ટરી અને એસેટ વર્ગીકરણ માટેની પ્રક્રિયાઓ છે; 
• આઇટી ઇન્ફ્રાસ્ટ્રક્ચર કેટલી નિયમિત રીતે સ્કેન કરવામાં આવે છે અને સમગ્ર ઇન્ફ્રાસ્ટ્રક્ચર આવરી લેવામાં આવે છે, શું તમે આખું ચિત્ર જુઓ છો;
• શું તમારા આઇટી સંસાધનોનું નિરીક્ષણ કરવામાં આવે છે?
• શું તમારી પ્રક્રિયાઓમાં કોઈપણ KPIs લાગુ કરવામાં આવ્યા છે અને તમે કેવી રીતે સમજો છો કે તેઓ મળ્યા છે;
• શું આ બધી પ્રક્રિયાઓ દસ્તાવેજીકૃત છે?

પગલું #2: સંપૂર્ણ ઈન્ફ્રાસ્ટ્રક્ચર કવરેજની ખાતરી કરો

તમે જે વિશે જાણતા નથી તે તમે સુરક્ષિત કરી શકતા નથી. જો તમારી પાસે તમારું IT ઇન્ફ્રાસ્ટ્રક્ચર શેનું બનેલું છે તેનું સંપૂર્ણ ચિત્ર ન હોય, તો તમે તેને સુરક્ષિત કરી શકશો નહીં. આધુનિક ઈન્ફ્રાસ્ટ્રક્ચર જટિલ છે અને સતત માત્રાત્મક અને ગુણાત્મક રીતે બદલાતી રહે છે.
હવે આઇટી ઇન્ફ્રાસ્ટ્રક્ચર માત્ર ક્લાસિક ટેક્નોલોજી (વર્કસ્ટેશન, સર્વર્સ, વર્ચ્યુઅલ મશીન) ના સ્ટેક પર આધારિત નથી, પણ પ્રમાણમાં નવી - કન્ટેનર, માઇક્રો સર્વિસિસ પર પણ આધારિત છે. માહિતી સુરક્ષા સેવા દરેક સંભવિત રીતે બાદમાંથી ભાગી રહી છે, કારણ કે તેના માટે હાલના ટૂલ સેટનો ઉપયોગ કરીને તેમની સાથે કામ કરવું ખૂબ મુશ્કેલ છે, જેમાં મુખ્યત્વે સ્કેનર્સનો સમાવેશ થાય છે. સમસ્યા એ છે કે કોઈપણ સ્કેનર સમગ્ર ઈન્ફ્રાસ્ટ્રક્ચરને આવરી શકતું નથી. સ્કેનર ઈન્ફ્રાસ્ટ્રક્ચરમાં કોઈપણ નોડ સુધી પહોંચવા માટે, ઘણા પરિબળો એકરૂપ હોવા જોઈએ. એસેટ સ્કેનિંગ સમયે સંસ્થાની પરિમિતિમાં હોવી આવશ્યક છે. સંપૂર્ણ માહિતી એકત્રિત કરવા માટે સ્કેનર પાસે સંપત્તિઓ અને તેમના એકાઉન્ટ્સની નેટવર્ક ઍક્સેસ હોવી આવશ્યક છે.

અમારા આંકડા અનુસાર, જ્યારે મધ્યમ અથવા મોટી સંસ્થાઓની વાત આવે છે, ત્યારે આશરે 15-20% ઇન્ફ્રાસ્ટ્રક્ચર એક અથવા બીજા કારણસર સ્કેનર દ્વારા કબજે કરવામાં આવતું નથી: સંપત્તિ પરિમિતિથી આગળ વધી ગઈ છે અથવા ઓફિસમાં ક્યારેય દેખાતી નથી. ઉદાહરણ તરીકે, કર્મચારીનું લેપટોપ જે દૂરથી કામ કરે છે પરંતુ હજુ પણ કોર્પોરેટ નેટવર્કની ઍક્સેસ ધરાવે છે અથવા એસેટ એમેઝોન જેવી બાહ્ય ક્લાઉડ સેવાઓમાં સ્થિત છે. અને સ્કેનર, મોટે ભાગે, આ સંપત્તિઓ વિશે કંઈપણ જાણશે નહીં, કારણ કે તે તેના દૃશ્યતા ક્ષેત્રની બહાર છે.

સમગ્ર ઈન્ફ્રાસ્ટ્રક્ચરને આવરી લેવા માટે, તમારે ફક્ત સ્કેનર્સનો જ નહીં, પરંતુ તમારા ઈન્ફ્રાસ્ટ્રક્ચરમાં નવા ઉપકરણોને શોધવા માટે નિષ્ક્રિય ટ્રાફિક સાંભળવાની તકનીકો, માહિતી પ્રાપ્ત કરવા માટે એજન્ટ ડેટા સંગ્રહ પદ્ધતિ સહિત સેન્સર્સનો આખો સેટ ઉપયોગ કરવાની જરૂર છે - તમને માહિતી મેળવવા માટે ઑનલાઇન ડેટા પ્રાપ્ત કરવાની મંજૂરી આપે છે. ઓળખપત્રોને હાઇલાઇટ કર્યા વિના, સ્કેનિંગની જરૂરિયાત.

પગલું #3: સંપત્તિઓનું વર્ગીકરણ કરો

બધી સંપત્તિઓ સમાન બનાવવામાં આવતી નથી. કઈ સંપત્તિ મહત્વપૂર્ણ છે અને કઈ નથી તે નક્કી કરવાનું તમારું કામ છે. સ્કેનર જેવું કોઈ સાધન તમારા માટે આ કરશે નહીં. આદર્શરીતે, માહિતી સુરક્ષા, IT અને બિઝનેસ એકસાથે બિઝનેસ-ક્રિટીકલ સિસ્ટમ્સને ઓળખવા માટે ઈન્ફ્રાસ્ટ્રક્ચરનું વિશ્લેષણ કરવા માટે કામ કરે છે. તેમના માટે, તેઓ ઉપલબ્ધતા, અખંડિતતા, ગોપનીયતા, RTO/RPO વગેરે માટે સ્વીકાર્ય મેટ્રિક્સ નક્કી કરે છે.

આ તમને તમારી નબળાઈ વ્યવસ્થાપન પ્રક્રિયાને પ્રાથમિકતા આપવામાં મદદ કરશે. જ્યારે તમારા નિષ્ણાતો નબળાઈઓ પરનો ડેટા મેળવે છે, ત્યારે તે સમગ્ર ઈન્ફ્રાસ્ટ્રક્ચરમાં હજારો નબળાઈઓ સાથેની શીટ નહીં હોય, પરંતુ સિસ્ટમની જટિલતાને ધ્યાનમાં લેતા દાણાદાર માહિતી હશે.

પગલું #4: ઇન્ફ્રાસ્ટ્રક્ચર મૂલ્યાંકન કરો

અને માત્ર ચોથા પગલા પર આપણે નબળાઈઓના દૃષ્ટિકોણથી ઈન્ફ્રાસ્ટ્રક્ચરનું મૂલ્યાંકન કરવા આવીએ છીએ. આ તબક્કે, અમે ભલામણ કરીએ છીએ કે તમે માત્ર સૉફ્ટવેરની નબળાઈઓ પર જ નહીં, પણ રૂપરેખાંકન ભૂલો પર પણ ધ્યાન આપો, જે નબળાઈ પણ હોઈ શકે છે. અહીં અમે માહિતી એકત્રિત કરવાની એજન્ટ પદ્ધતિની ભલામણ કરીએ છીએ. પરિમિતિ સુરક્ષાનું મૂલ્યાંકન કરવા માટે સ્કેનર્સનો ઉપયોગ કરી શકાય છે અને થવો જોઈએ. જો તમે ક્લાઉડ પ્રદાતાઓના સંસાધનોનો ઉપયોગ કરો છો, તો તમારે ત્યાંથી અસ્કયામતો અને ગોઠવણીઓ વિશેની માહિતી પણ એકત્રિત કરવાની જરૂર છે. ડોકર કન્ટેનરનો ઉપયોગ કરીને ઇન્ફ્રાસ્ટ્રક્ચરમાં નબળાઈઓનું વિશ્લેષણ કરવા પર વિશેષ ધ્યાન આપો.

પગલું #5: રિપોર્ટિંગ સેટ કરો

નબળાઈ વ્યવસ્થાપન પ્રક્રિયામાં આ એક મહત્વપૂર્ણ તત્વ છે.
પ્રથમ મુદ્દો: નબળાઈઓની રેન્ડમ સૂચિ અને તેને કેવી રીતે દૂર કરવી તેના વર્ણન સાથે બહુ-પૃષ્ઠ અહેવાલો સાથે કોઈ કામ કરશે નહીં. સૌ પ્રથમ, તમારે સાથીદારો સાથે વાતચીત કરવાની અને રિપોર્ટમાં શું હોવું જોઈએ તે શોધવાની જરૂર છે અને તેમના માટે ડેટા પ્રાપ્ત કરવા માટે તે કેવી રીતે વધુ અનુકૂળ છે. ઉદાહરણ તરીકે, કેટલાક એડમિનિસ્ટ્રેટરને નબળાઈના વિગતવાર વર્ણનની જરૂર નથી અને માત્ર પેચ અને તેની લિંક વિશેની માહિતીની જરૂર છે. અન્ય નિષ્ણાત નેટવર્ક ઈન્ફ્રાસ્ટ્રક્ચરમાં જોવા મળતી નબળાઈઓ વિશે જ ધ્યાન આપે છે.

બીજો મુદ્દો: રિપોર્ટિંગ દ્વારા મારો અર્થ માત્ર કાગળના અહેવાલો જ નથી. માહિતી અને સ્થિર વાર્તા મેળવવા માટે આ એક જૂનું ફોર્મેટ છે. કોઈ વ્યક્તિ રિપોર્ટ મેળવે છે અને આ રિપોર્ટમાં ડેટા કેવી રીતે રજૂ કરવામાં આવશે તે કોઈપણ રીતે પ્રભાવિત કરી શકતો નથી. ઇચ્છિત સ્વરૂપમાં રિપોર્ટ મેળવવા માટે, આઇટી નિષ્ણાતે માહિતી સુરક્ષા નિષ્ણાતનો સંપર્ક કરવો જોઈએ અને તેમને રિપોર્ટ ફરીથી બનાવવા માટે કહેવું પડશે. સમય જતાં, નવી નબળાઈઓ દેખાય છે. વિભાગથી વિભાગમાં અહેવાલોને આગળ ધપાવવાને બદલે, બંને શાખાના નિષ્ણાતો ડેટાને ઓનલાઈન મોનિટર કરવા અને સમાન ચિત્ર જોવા માટે સક્ષમ હોવા જોઈએ. તેથી, અમારા પ્લેટફોર્મમાં અમે કસ્ટમાઇઝ ડેશબોર્ડના રૂપમાં ડાયનેમિક રિપોર્ટ્સનો ઉપયોગ કરીએ છીએ.

પગલું #6: પ્રાથમિકતા આપો

અહીં તમે નીચેની બાબતો કરી શકો છો:

1. સિસ્ટમોની સુવર્ણ છબીઓ સાથે રીપોઝીટરી બનાવવી. સુવર્ણ છબીઓ સાથે કામ કરો, તેમને નબળાઈઓ માટે તપાસો અને ચાલુ ધોરણે યોગ્ય ગોઠવણી કરો. આ એજન્ટોની મદદથી કરી શકાય છે જે આપમેળે નવી સંપત્તિના ઉદભવની જાણ કરશે અને તેની નબળાઈઓ વિશે માહિતી આપશે.

2. તે સંપત્તિઓ પર ધ્યાન કેન્દ્રિત કરો જે વ્યવસાય માટે મહત્વપૂર્ણ છે. દુનિયામાં એવી એક પણ સંસ્થા નથી કે જે એક જ વારમાં નબળાઈઓને દૂર કરી શકે. નબળાઈઓને દૂર કરવાની પ્રક્રિયા લાંબી અને કંટાળાજનક પણ છે.

3. હુમલાની સપાટીને સાંકડી કરવી. બિનજરૂરી સોફ્ટવેર અને સેવાઓના તમારા ઈન્ફ્રાસ્ટ્રક્ચરને સાફ કરો, બિનજરૂરી પોર્ટ બંધ કરો. અમારી પાસે તાજેતરમાં એક કંપની સાથે એક કેસ હતો જેમાં 40 હજાર ઉપકરણો પર મોઝિલા બ્રાઉઝરના જૂના સંસ્કરણને લગતી લગભગ 100 હજાર નબળાઈઓ મળી આવી હતી. તે પછીથી બહાર આવ્યું તેમ, મોઝિલાને ઘણા વર્ષો પહેલા સોનેરી ઇમેજમાં રજૂ કરવામાં આવ્યું હતું, કોઈ તેનો ઉપયોગ કરતું નથી, પરંતુ તે મોટી સંખ્યામાં નબળાઈઓનો સ્ત્રોત છે. જ્યારે કમ્પ્યુટર્સમાંથી બ્રાઉઝર દૂર કરવામાં આવ્યું હતું (તે કેટલાક સર્વર પર પણ હતું), ત્યારે આ હજારો નબળાઈઓ અદૃશ્ય થઈ ગઈ હતી.

4. જોખમી બુદ્ધિના આધારે નબળાઈઓને ક્રમ આપો. નબળાઈની નિર્ણાયકતાને જ નહીં, પણ જાહેર શોષણ, માલવેર, પેચ અથવા નબળાઈ સાથે સિસ્ટમની બાહ્ય ઍક્સેસની હાજરીને પણ ધ્યાનમાં લો. નિર્ણાયક વ્યવસાય સિસ્ટમો પર આ નબળાઈની અસરનું મૂલ્યાંકન કરો: શું તે ડેટા ગુમાવવા, સેવાનો ઇનકાર, વગેરે તરફ દોરી શકે છે.

પગલું #7: KPIs પર સંમત થાઓ

સ્કેનિંગ ખાતર સ્કેન કરશો નહીં. જો મળેલી નબળાઈઓ માટે કંઈ ન થાય, તો આ સ્કેનિંગ નકામી કામગીરીમાં ફેરવાય છે. નબળાઈઓ સાથે કામને ઔપચારિકતા બનવાથી રોકવા માટે, તમે તેના પરિણામોનું મૂલ્યાંકન કેવી રીતે કરશો તે વિશે વિચારો. માહિતી સુરક્ષા અને IT એ નબળાઈઓને દૂર કરવાના કાર્યની રચના કેવી રીતે કરવામાં આવશે, કેટલી વાર સ્કેન કરવામાં આવશે, પેચ ઇન્સ્ટોલ કરવામાં આવશે વગેરે પર સંમત થવું જોઈએ.
સ્લાઇડ પર તમે સંભવિત KPI ના ઉદાહરણો જુઓ છો. ત્યાં એક વિસ્તૃત સૂચિ પણ છે જે અમે અમારા ગ્રાહકોને ભલામણ કરીએ છીએ. જો તમને રસ હોય, તો કૃપા કરીને મારો સંપર્ક કરો, હું આ માહિતી તમારી સાથે શેર કરીશ.

પગલું #8: સ્વચાલિત કરો

ફરીથી સ્કેનિંગ પર પાછા જાઓ. Qualys ખાતે, અમે માનીએ છીએ કે સ્કેનીંગ એ સૌથી બિનમહત્વની બાબત છે જે આજે નબળાઈ વ્યવસ્થાપન પ્રક્રિયામાં થઈ શકે છે, અને સૌ પ્રથમ તેને શક્ય તેટલું સ્વચાલિત કરવાની જરૂર છે જેથી તે માહિતી સુરક્ષા નિષ્ણાતની ભાગીદારી વિના કરવામાં આવે. આજે એવા ઘણા સાધનો છે જે તમને આ કરવા દે છે. તે પૂરતું છે કે તેમની પાસે ઓપન API અને કનેક્ટર્સની આવશ્યક સંખ્યા છે.

હું જે ઉદાહરણ આપવાનું પસંદ કરું છું તે છે DevOps. જો તમે ત્યાં નબળાઈ સ્કેનર લાગુ કરો, તો તમે DevOps વિશે ભૂલી શકો છો. જૂની તકનીકો સાથે, જે ક્લાસિક સ્કેનર છે, તમને આ પ્રક્રિયાઓમાં પ્રવેશ આપવામાં આવશે નહીં. વિકાસકર્તાઓ તમને સ્કેન કરવા અને તેમને બહુ-પૃષ્ઠ, અસુવિધાજનક રિપોર્ટ આપવા માટે રાહ જોશે નહીં. વિકાસકર્તાઓ અપેક્ષા રાખે છે કે નબળાઈઓ વિશેની માહિતી તેમની કોડ એસેમ્બલી સિસ્ટમમાં બગ માહિતીના સ્વરૂપમાં દાખલ થશે. સુરક્ષા આ પ્રક્રિયાઓમાં એકીકૃત રીતે બાંધવામાં આવવી જોઈએ, અને તે ફક્ત એક વિશેષતા હોવી જોઈએ જે તમારા વિકાસકર્તાઓ દ્વારા ઉપયોગમાં લેવાતી સિસ્ટમ દ્વારા આપમેળે બોલાવવામાં આવે છે.

પગલું #9: આવશ્યકતાઓ પર ધ્યાન કેન્દ્રિત કરો

તમારી કંપની માટે વાસ્તવિક મૂલ્ય શું લાવે છે તેના પર ધ્યાન કેન્દ્રિત કરો. સ્કેન ઓટોમેટિક થઈ શકે છે, રિપોર્ટ્સ પણ ઓટોમેટિક મોકલી શકાય છે.
તેમાં સામેલ દરેક માટે પ્રક્રિયાઓને વધુ લવચીક અને અનુકૂળ બનાવવા પર ધ્યાન કેન્દ્રિત કરો. એ સુનિશ્ચિત કરવા પર ધ્યાન કેન્દ્રિત કરો કે સુરક્ષા તમારા સમકક્ષ પક્ષો સાથેના તમામ કરારોમાં બનેલી છે, જેઓ, ઉદાહરણ તરીકે, તમારા માટે વેબ એપ્લિકેશન્સ વિકસાવે છે.

જો તમને તમારી કંપનીમાં નબળાઈ વ્યવસ્થાપન પ્રક્રિયા કેવી રીતે બનાવવી તે વિશે વધુ વિગતવાર માહિતીની જરૂર હોય, તો કૃપા કરીને મારો અને મારા સહકાર્યકરોનો સંપર્ક કરો. મને મદદ કરવામાં આનંદ થશે.

સોર્સ: www.habr.com