अकेले स्कैनिंग नहीं, या 9 चरणों में भेद्यता प्रबंधन प्रक्रिया कैसे बनाएं

हमारे पास 4 जुलाई बहुत बड़ी थी भेद्यता प्रबंधन कार्यशाला. आज हम क्वालिस से एंड्री नोविकोव के भाषण की एक प्रतिलिपि प्रकाशित कर रहे हैं। वह आपको बताएगा कि भेद्यता प्रबंधन वर्कफ़्लो बनाने के लिए आपको किन चरणों से गुज़रना होगा। स्पॉइलर: हम स्कैनिंग से पहले केवल आधे रास्ते तक ही पहुंचेंगे।

चरण #1: अपनी भेद्यता प्रबंधन प्रक्रियाओं का परिपक्वता स्तर निर्धारित करें

शुरुआत में ही, आपको यह समझने की ज़रूरत है कि आपका संगठन अपनी भेद्यता प्रबंधन प्रक्रियाओं की परिपक्वता के संदर्भ में किस स्तर पर है। इसके बाद ही आप समझ पाएंगे कि कहां जाना है और क्या कदम उठाने की जरूरत है। स्कैन और अन्य गतिविधियों को शुरू करने से पहले, संगठनों को यह समझने के लिए कुछ आंतरिक कार्य करने की आवश्यकता है कि आपकी वर्तमान प्रक्रियाएं आईटी और सूचना सुरक्षा परिप्रेक्ष्य से कैसे संरचित हैं।

बुनियादी प्रश्नों के उत्तर देने का प्रयास करें:

• क्या आपके पास इन्वेंट्री और परिसंपत्ति वर्गीकरण की प्रक्रियाएं हैं; 
• आईटी बुनियादी ढांचे को कितनी नियमित रूप से स्कैन किया जाता है और क्या पूरे बुनियादी ढांचे को कवर किया जाता है, क्या आप पूरी तस्वीर देखते हैं;
• क्या आपके आईटी संसाधनों की निगरानी की जाती है?
• क्या आपकी प्रक्रियाओं में कोई KPI लागू किया गया है और आप कैसे समझते हैं कि उन्हें पूरा किया जा रहा है;
• क्या ये सभी प्रक्रियाएँ प्रलेखित हैं?

चरण #2: पूर्ण अवसंरचना कवरेज सुनिश्चित करें

आप उस चीज़ की रक्षा नहीं कर सकते जिसके बारे में आप नहीं जानते। यदि आपके पास इसकी पूरी तस्वीर नहीं है कि आपका आईटी बुनियादी ढांचा किस चीज से बना है, तो आप इसकी सुरक्षा नहीं कर पाएंगे। आधुनिक बुनियादी ढाँचा जटिल है और लगातार मात्रात्मक और गुणात्मक रूप से बदलता रहता है।
अब आईटी बुनियादी ढांचा न केवल क्लासिक प्रौद्योगिकियों (वर्कस्टेशन, सर्वर, वर्चुअल मशीन) के ढेर पर आधारित है, बल्कि अपेक्षाकृत नए - कंटेनर, माइक्रोसर्विसेज पर भी आधारित है। सूचना सुरक्षा सेवा हर संभव तरीके से उत्तरार्द्ध से दूर भाग रही है, क्योंकि मौजूदा टूल सेट का उपयोग करके उनके साथ काम करना बहुत मुश्किल है, जिसमें मुख्य रूप से स्कैनर शामिल हैं। समस्या यह है कि कोई भी स्कैनर पूरे बुनियादी ढांचे को कवर नहीं कर सकता है। बुनियादी ढांचे में किसी भी नोड तक पहुंचने के लिए स्कैनर के लिए, कई कारकों का मेल होना चाहिए। स्कैनिंग के समय संपत्ति संगठन की परिधि के भीतर होनी चाहिए। संपूर्ण जानकारी एकत्र करने के लिए स्कैनर के पास संपत्तियों और उनके खातों तक नेटवर्क पहुंच होनी चाहिए।

हमारे आंकड़ों के अनुसार, जब मध्यम या बड़े संगठनों की बात आती है, तो लगभग 15-20% बुनियादी ढांचे को किसी न किसी कारण से स्कैनर द्वारा कैप्चर नहीं किया जाता है: संपत्ति परिधि से आगे बढ़ गई है या कभी भी कार्यालय में दिखाई नहीं देती है। उदाहरण के लिए, किसी कर्मचारी का लैपटॉप जो दूर से काम करता है लेकिन फिर भी उसकी कॉर्पोरेट नेटवर्क तक पहुंच है, या संपत्ति अमेज़ॅन जैसी बाहरी क्लाउड सेवाओं में स्थित है। और स्कैनर, सबसे अधिक संभावना है, इन संपत्तियों के बारे में कुछ भी नहीं जान पाएगा, क्योंकि वे इसके दृश्यता क्षेत्र से बाहर हैं।

पूरे बुनियादी ढांचे को कवर करने के लिए, आपको न केवल स्कैनर का उपयोग करने की आवश्यकता है, बल्कि सेंसर के एक पूरे सेट का उपयोग करना होगा, जिसमें आपके बुनियादी ढांचे में नए उपकरणों का पता लगाने के लिए निष्क्रिय ट्रैफ़िक सुनने की तकनीक, जानकारी प्राप्त करने के लिए एजेंट डेटा संग्रह विधि शामिल है - जो आपको ऑनलाइन डेटा प्राप्त करने की अनुमति देता है, बिना क्रेडेंशियल्स को उजागर किए बिना, स्कैनिंग की आवश्यकता।

चरण #3: संपत्तियों को वर्गीकृत करें

सभी संपत्तियाँ समान नहीं बनाई गई हैं। यह निर्धारित करना आपका काम है कि कौन सी संपत्ति महत्वपूर्ण हैं और कौन सी नहीं। स्कैनर जैसा कोई उपकरण आपके लिए यह काम नहीं करेगा। आदर्श रूप से, सूचना सुरक्षा, आईटी और व्यवसाय व्यवसाय-महत्वपूर्ण प्रणालियों की पहचान करने के लिए बुनियादी ढांचे का विश्लेषण करने के लिए मिलकर काम करते हैं। उनके लिए, वे उपलब्धता, अखंडता, गोपनीयता, आरटीओ/आरपीओ, आदि के लिए स्वीकार्य मेट्रिक्स निर्धारित करते हैं।

इससे आपको अपनी भेद्यता प्रबंधन प्रक्रिया को प्राथमिकता देने में मदद मिलेगी। जब आपके विशेषज्ञ कमजोरियों पर डेटा प्राप्त करते हैं, तो यह पूरे बुनियादी ढांचे में हजारों कमजोरियों वाली एक शीट नहीं होगी, बल्कि सिस्टम की गंभीरता को ध्यान में रखते हुए विस्तृत जानकारी होगी।

चरण #4: बुनियादी ढांचे का आकलन करें

और केवल चौथे चरण में हम कमजोरियों के दृष्टिकोण से बुनियादी ढांचे का आकलन करने के लिए आते हैं। इस स्तर पर, हम अनुशंसा करते हैं कि आप न केवल सॉफ़्टवेयर कमजोरियों पर ध्यान दें, बल्कि कॉन्फ़िगरेशन त्रुटियों पर भी ध्यान दें, जो एक भेद्यता भी हो सकती है। यहां हम जानकारी एकत्र करने की एजेंट विधि की अनुशंसा करते हैं। परिधि सुरक्षा का आकलन करने के लिए स्कैनर्स का उपयोग किया जा सकता है और किया जाना चाहिए। यदि आप क्लाउड प्रदाताओं के संसाधनों का उपयोग करते हैं, तो आपको वहां से संपत्तियों और कॉन्फ़िगरेशन के बारे में जानकारी भी एकत्र करने की आवश्यकता है। डॉकर कंटेनरों का उपयोग करके बुनियादी ढांचे में कमजोरियों का विश्लेषण करने पर विशेष ध्यान दें।

चरण #5: रिपोर्टिंग सेट करें

यह भेद्यता प्रबंधन प्रक्रिया के महत्वपूर्ण तत्वों में से एक है।
पहला बिंदु: कोई भी कमजोरियों की यादृच्छिक सूची और उन्हें खत्म करने के तरीके के विवरण के साथ बहु-पृष्ठ रिपोर्ट के साथ काम नहीं करेगा। सबसे पहले, आपको सहकर्मियों के साथ संवाद करने और यह पता लगाने की ज़रूरत है कि रिपोर्ट में क्या होना चाहिए और डेटा प्राप्त करना उनके लिए कैसे अधिक सुविधाजनक है। उदाहरण के लिए, कुछ व्यवस्थापक को भेद्यता के विस्तृत विवरण की आवश्यकता नहीं होती है और केवल पैच के बारे में जानकारी और उससे जुड़े लिंक की आवश्यकता होती है। एक अन्य विशेषज्ञ केवल नेटवर्क बुनियादी ढांचे में पाई जाने वाली कमजोरियों की परवाह करता है।

दूसरी बात: रिपोर्टिंग से मेरा मतलब सिर्फ कागजी रिपोर्ट से नहीं है. यह जानकारी प्राप्त करने का एक पुराना प्रारूप और एक स्थिर कहानी है। एक व्यक्ति एक रिपोर्ट प्राप्त करता है और किसी भी तरह से प्रभावित नहीं कर सकता कि इस रिपोर्ट में डेटा कैसे प्रस्तुत किया जाएगा। रिपोर्ट को वांछित रूप में प्राप्त करने के लिए, आईटी विशेषज्ञ को सूचना सुरक्षा विशेषज्ञ से संपर्क करना चाहिए और उससे रिपोर्ट को फिर से बनाने के लिए कहना चाहिए। जैसे-जैसे समय बीतता है, नई कमजोरियाँ सामने आती हैं। एक विभाग से दूसरे विभाग में रिपोर्ट भेजने के बजाय, दोनों विषयों के विशेषज्ञों को डेटा की ऑनलाइन निगरानी करने और एक ही तस्वीर देखने में सक्षम होना चाहिए। इसलिए, हमारे प्लेटफ़ॉर्म में हम अनुकूलन योग्य डैशबोर्ड के रूप में गतिशील रिपोर्ट का उपयोग करते हैं।

चरण #6: प्राथमिकता दें

यहां आप निम्नलिखित कार्य कर सकते हैं:

1. सिस्टम की सुनहरी छवियों के साथ एक भंडार बनाना। सुनहरी छवियों के साथ काम करें, कमजोरियों के लिए उनकी जांच करें और निरंतर आधार पर सही कॉन्फ़िगरेशन करें। यह उन एजेंटों की मदद से किया जा सकता है जो स्वचालित रूप से एक नई संपत्ति के उद्भव की रिपोर्ट करेंगे और इसकी कमजोरियों के बारे में जानकारी प्रदान करेंगे।

2. उन संपत्तियों पर ध्यान दें जो व्यवसाय के लिए महत्वपूर्ण हैं। दुनिया में एक भी ऐसा संगठन नहीं है जो कमजोरियों को एक बार में खत्म कर सके। कमजोरियों को दूर करने की प्रक्रिया लंबी और थकाऊ भी है।

3. आक्रमण की सतह को संकुचित करना। अनावश्यक सॉफ़्टवेयर और सेवाओं के अपने बुनियादी ढांचे को साफ़ करें, अनावश्यक पोर्ट बंद करें। हमारे पास हाल ही में एक कंपनी का मामला आया था जिसमें 40 हजार डिवाइसों पर मोज़िला ब्राउज़र के पुराने संस्करण से संबंधित लगभग 100 हजार कमजोरियां पाई गईं थीं। जैसा कि बाद में पता चला, मोज़िला को कई साल पहले स्वर्णिम छवि में पेश किया गया था, कोई भी इसका उपयोग नहीं करता है, लेकिन यह बड़ी संख्या में कमजोरियों का स्रोत है। जब ब्राउज़र को कंप्यूटर से हटा दिया गया (यह कुछ सर्वरों पर भी था), तो ये हज़ारों कमजोरियाँ गायब हो गईं।

4. खतरे की खुफिया जानकारी के आधार पर कमजोरियों को रैंक करें। न केवल भेद्यता की गंभीरता पर विचार करें, बल्कि भेद्यता वाले सिस्टम में सार्वजनिक शोषण, मैलवेयर, पैच या बाहरी पहुंच की उपस्थिति पर भी विचार करें। महत्वपूर्ण व्यावसायिक प्रणालियों पर इस भेद्यता के प्रभाव का आकलन करें: क्या इससे डेटा हानि, सेवा से इनकार आदि हो सकता है।

चरण #7: KPI पर सहमत हों

स्कैनिंग के लिए स्कैन न करें. यदि पाई गई कमजोरियों पर कुछ नहीं होता है, तो यह स्कैनिंग एक बेकार ऑपरेशन में बदल जाती है। कमजोरियों के साथ काम करने को औपचारिकता बनने से रोकने के लिए, इस बारे में सोचें कि आप इसके परिणामों का मूल्यांकन कैसे करेंगे। सूचना सुरक्षा और आईटी को इस बात पर सहमत होना चाहिए कि कमजोरियों को खत्म करने का काम कैसे संरचित किया जाएगा, कितनी बार स्कैन किया जाएगा, पैच स्थापित किए जाएंगे, आदि।
स्लाइड पर आप संभावित KPI के उदाहरण देखते हैं। एक विस्तृत सूची भी है जिसकी अनुशंसा हम अपने ग्राहकों को करते हैं। यदि आप रुचि रखते हैं, तो कृपया मुझसे संपर्क करें, मैं यह जानकारी आपके साथ साझा करूंगा।

चरण #8: स्वचालित करें

फिर से स्कैनिंग पर वापस जाएँ। क्वालिस में, हम मानते हैं कि स्कैनिंग सबसे महत्वहीन चीज है जो आज भेद्यता प्रबंधन प्रक्रिया में हो सकती है, और सबसे पहले इसे जितना संभव हो सके स्वचालित करने की आवश्यकता है ताकि यह सूचना सुरक्षा विशेषज्ञ की भागीदारी के बिना किया जा सके। आज ऐसे कई उपकरण हैं जो आपको ऐसा करने की अनुमति देते हैं। यह पर्याप्त है कि उनके पास एक खुली एपीआई और आवश्यक संख्या में कनेक्टर हों।

मैं जो उदाहरण देना चाहता हूं वह DevOps है। यदि आप वहां भेद्यता स्कैनर लागू करते हैं, तो आप आसानी से DevOps के बारे में भूल सकते हैं। पुरानी प्रौद्योगिकियों के साथ, जो कि एक क्लासिक स्कैनर है, आपको इन प्रक्रियाओं में अनुमति नहीं दी जाएगी। डेवलपर्स आपके स्कैन करने और उन्हें एक बहु-पृष्ठ, असुविधाजनक रिपोर्ट देने का इंतजार नहीं करेंगे। डेवलपर्स को उम्मीद है कि कमजोरियों के बारे में जानकारी बग जानकारी के रूप में उनके कोड असेंबली सिस्टम में प्रवेश करेगी। इन प्रक्रियाओं में सुरक्षा को निर्बाध रूप से शामिल किया जाना चाहिए, और यह केवल एक ऐसी सुविधा होनी चाहिए जो आपके डेवलपर्स द्वारा उपयोग किए जाने वाले सिस्टम द्वारा स्वचालित रूप से कॉल की जाती है।

चरण #9: आवश्यक चीज़ों पर ध्यान दें

इस पर ध्यान केंद्रित करें कि आपकी कंपनी को वास्तविक मूल्य क्या मिलता है। स्कैन स्वचालित हो सकते हैं, रिपोर्ट भी स्वचालित रूप से भेजी जा सकती हैं।
प्रक्रियाओं को बेहतर बनाने पर ध्यान केंद्रित करें ताकि उन्हें इसमें शामिल सभी लोगों के लिए अधिक लचीला और सुविधाजनक बनाया जा सके। यह सुनिश्चित करने पर ध्यान केंद्रित करें कि सुरक्षा आपके समकक्षों के साथ सभी अनुबंधों में अंतर्निहित है, जो, उदाहरण के लिए, आपके लिए वेब एप्लिकेशन विकसित करते हैं।

यदि आपको अपनी कंपनी में भेद्यता प्रबंधन प्रक्रिया बनाने के बारे में अधिक विस्तृत जानकारी चाहिए, तो कृपया मुझसे और मेरे सहयोगियों से संपर्क करें। मुझे मदद करने में ख़ुशी होगी.

स्रोत: www.habr.com