Ciao a tutti!
Oggi voglio parlare della soluzione cloud per la ricerca e l'analisi delle vulnerabilità Qualys Vulnerability Management, su cui si basa uno dei nostri .
Di seguito mostrerò come è organizzata la scansione e quali informazioni sulle vulnerabilità è possibile ottenere alla fine.
Cosa si può scansionare
Servizi esterni. Per la scansione dei servizi con accesso a Internet, il cliente ci fornisce i loro indirizzi IP e le credenziali (se è necessaria una scansione con autenticazione). Scansioniamo i servizi tramite il cloud Qualys e alla fine inviamo un report.
Servizi interni. In questo caso, lo scanner cerca vulnerabilità sui server interni e nell'infrastruttura di rete. Con questa scansione è possibile effettuare un inventario delle versioni dei sistemi operativi, delle applicazioni, delle porte aperte e dei servizi che si trovano dietro di esse.
Per la scansione all'interno dell'infrastruttura del cliente, viene installato lo scanner Qualys. Il cloud Qualys funge qui da centro di comando per questo scanner.
In aggiunta al server interno con Qualys, è possibile installare agenti (Cloud Agent) sugli oggetti di scansione. Questi raccolgono informazioni sul sistema localmente, creando praticamente nessun carico sulla rete e sugli host sui quali operano. Le informazioni raccolte vengono inviate al cloud.
Ci sono tre punti importanti: autenticazione e selezione degli oggetti da scansionare.
- Uso dell'autenticazione. Alcuni clienti chiedono di effettuare una scansione blackbox, specialmente per i servizi esterni: ci forniscono un intervallo di indirizzi IP senza specificare il sistema e dicono 'comportati come un hacker'. Ma gli hacker raramente agiscono alla cieca. Quando si tratta di attacco (non di ricognizione), sanno cosa stanno per compromettere.
Alla cieca, Qualys potrebbe imbattersi in banner ingannevoli e scansionarli invece del sistema target. Inoltre, senza comprendere cosa si sta per scansionare, è facile sbagliare le impostazioni dello scanner e 'colpire' il servizio controllato.
La scansione porterà maggiori benefici se si effettuano controlli con autenticazione sui sistemi scansionati (whitebox). In questo modo lo scanner comprenderà dove si trova e otterrai dati completi sulle vulnerabilità del sistema target.
Qualys offre molte opzioni di autenticazione. - Raggruppare le risorse. Se si avvia la scansione tutto insieme e senza distinzione, ci vorrà molto tempo e creerà un carico eccessivo sui sistemi. I host e i servizi dovrebbero essere raggruppati per importanza, posizione, versione del sistema operativo, criticità dell'infrastruttura e altri criteri (in Qualys si chiamano Gruppi di Asset e Tag di Asset) e scegliere una specifica gruppo per la scansione.
- Scegliere una finestra temporale tecnica per la scansione. Anche se hai previsto tutto e ti sei preparato, la scansione crea un carico aggiuntivo sul sistema. Non necessariamente provocherà una degradazione del servizio, ma è meglio scegliere un momento specifico, come per il backup o l'applicazione di aggiornamenti.
Cosa si può scoprire dai report?
Al termine della scansione, il cliente riceve un report che non conterrà solo un elenco di tutte le vulnerabilità trovate, ma anche raccomandazioni di base per la loro risoluzione: aggiornamenti, patch, ecc. Ci sono molti report in Qualys: ci sono modelli predefiniti e si possono creare i propri. Per non confondersi tra tutta la varietà, è meglio prima chiarirsi su alcuni aspetti:
- chi guarderà questo report: un manager o un tecnico?
- quale informazione si desidera ricevere dai risultati della scansione. Ad esempio, se si desidera capire se sono state installate tutte le patch necessarie e come procede il lavoro per risolvere le vulnerabilità trovate in precedenza, allora si tratta di un report. Se invece è necessario semplicemente effettuare un'inventario di tutti i host, allora è un altro.
Se hai il compito di mostrare un quadro sintetico ma chiaro alla direzione, allora puoi formare Executive Report. Tutte le vulnerabilità saranno organizzate in modo chiaro, per livelli di criticità, grafici e diagrammi. Ad esempio, le 10 vulnerabilità più critiche o le vulnerabilità più comuni.
Per il tecnico, c'è Technical Report con tutti i dettagli e le informazioni. Possono essere formati i seguenti report:
Report sui host. Utile quando è necessario effettuare un inventario dell'infrastruttura e ottenere un quadro completo delle vulnerabilità dei host.
Ecco come appare l’elenco dei host analizzati con specificazione dei sistemi operativi in uso.
Apriamo il host di interesse e vediamo un elenco di 219 vulnerabilità trovate, a partire da quelle più critiche, di quinto livello:
Successivamente, è possibile vedere i dettagli di ciascuna vulnerabilità. Qui vediamo:
- quando la vulnerabilità è stata rilevata per la prima e ultima volta,
- numeri di vulnerabilità industriali,
- patch per risolvere la vulnerabilità,
- ci sono problemi di conformità con gli standard PCI DSS, NIST e altro,
- esiste un exploit e malware per questa vulnerabilità,
- la vulnerabilità viene rilevata durante la scansione con/senza autenticazione nel sistema e altro.
Se questa non è la prima scansione – sì, è necessario eseguire scansioni regolari 🙂 – allora utilizzando Trend Report è possibile monitorare la dinamica del lavoro con le vulnerabilità. Lo stato delle vulnerabilità sarà mostrato in confronto alla scansione precedente: le vulnerabilità che sono state trovate in precedenza e chiuse saranno contrassegnate come fixed, quelle non chiuse – active, nuove – new.
Rapporto sulle vulnerabilità. In questo rapporto Qualys costruirà un elenco di vulnerabilità, partendo dalle più critiche, indicando su quale host catturare questa vulnerabilità. Il rapporto sarà utile se si decide di esaminare, ad esempio, tutte le vulnerabilità di livello cinque.
È inoltre possibile creare un rapporto separato solo per le vulnerabilità di quarto e quinto livello.
Rapporto sui patch. Qui verrà fornito un elenco completo dei patch che devono essere installati per risolvere le vulnerabilità trovate. Per ogni patch ci sono spiegazioni su quali vulnerabilità risolve, su quale host/sistema deve essere installato e un link diretto per il download.
Rapporto di conformità con gli standard PCI DSS. Lo standard PCI DSS richiede di eseguire scansioni dei sistemi informativi e delle applicazioni accessibili da Internet ogni 90 giorni. Dopo la scansione è possibile generare un rapporto che mostrerà se ci sono non conformità agli standard.
Rapporti sulla risoluzione delle vulnerabilità. Qualys può essere integrato con il service desk, e in tal modo tutte le vulnerabilità trovate verranno automaticamente convertite in ticket. Con questo rapporto sarà possibile monitorare i progressi sui ticket eseguiti e le vulnerabilità risolte.
Rapporti sulle porte aperte. Qui è possibile ottenere informazioni sulle porte aperte e sui servizi in esecuzione su di esse:
o generare un rapporto sulle vulnerabilità su ogni porta:
Questi sono solo modelli standard di rapporti. È possibile creare i propri per compiti specifici, ad esempio, mostrare solo le vulnerabilità non inferiori al quinto livello di criticità. Tutti i rapporti sono disponibili. Formato dei rapporti: CSV, XML, HTML, PDF e docx.
E ricorda: La sicurezza non è un risultato, ma un processo. Una scansione occasionale aiuta a vedere i problemi nel momento, ma non si tratta di un vero e proprio processo di gestione delle vulnerabilità.
Per facilitare la vostra decisione di intraprendere questo lavoro regolare, abbiamo creato un servizio basato su Qualys Vulnerability Management.
Per tutti i lettori di Habr è attiva un'offerta: ordinando il servizio di scansione per un anno, due mesi di scansioni sono gratuiti. È possibile lasciare le richieste , nel campo «Commento» scrivete Habr.
Fonte: habr.com
