Come sono diventato vulnerabile: scannerizzare l'infrastruttura IT con Qualys.

Ciao a tutti!

Oggi voglio parlare della soluzione cloud per la ricerca e l'analisi delle vulnerabilità Qualys Vulnerability Management, su cui si basa uno dei nostri servizi.

Qui di seguito vedrò come è organizzata la scansione e quali informazioni sulle vulnerabilità si possono ottenere come risultato.

Cosa si può scansionare

Servizi esterni. Per la scansione dei servizi con accesso a Internet, il cliente ci fornisce i loro indirizzi IP e le credenziali (se è necessaria una scansione con autenticazione). Scansiamo i servizi utilizzando il cloud di Qualys e inviamo un report al termine.

Servizi interni. In questo caso, lo scanner ricerca vulnerabilità sui server interni e sull'infrastruttura di rete. Con questa scansione è possibile effettuare l'inventario delle versioni dei sistemi operativi, delle applicazioni, delle porte aperte e dei servizi dietro di esse.

Per la scansione all'interno dell'infrastruttura del cliente, viene installato lo scanner Qualys. Il cloud di Qualys funge da centro di comando per questo scanner.

Oltre al server interno con Qualys, è possibile installare agenti (Cloud Agent) sugli oggetti da scansionare. Questi raccolgono informazioni sul sistema localmente, creando praticamente pochissimo carico sulla rete e sugli host su cui operano. Le informazioni raccolte vengono inviate al cloud.

Qui ci sono tre aspetti importanti: autenticazione e selezione degli oggetti da scansionare.

1. Utilizzo dell'autenticazione. Alcuni clienti chiedono di eseguire scansioni blackbox, soprattutto per i servizi esterni: ci forniscono un intervallo di indirizzi IP senza specificare il sistema e dicono "comportati come un hacker". Ma gli hacker raramente agiscono alla cieca. Quando si tratta di attacco (non di ricognizione), sanno cosa stanno cercando di compromettere. 

   Alla cieca, Qualys potrebbe imbattersi in banner ingannevoli e scansionarli al posto del sistema target. Inoltre, senza comprendere esattamente cosa verrà scansionato, è facile fare errori nelle impostazioni dello scanner e 'applicare' il servizio che si sta verificando. 

   La scansione porterà maggiori benefici se vengono effettuati controlli con autenticazione prima dei sistemi scansionati (whitebox). In questo modo, lo scanner comprenderà dove si trova e otterrete dati completi sulle vulnerabilità del sistema target.

   
   Qualys offre molte opzioni di autenticazione.

2. Raggruppare le risorse. Se si avvia una scansione su tutto senza alcuna distinzione, ci vorrà molto tempo e sarà un carico eccessivo per i sistemi. È meglio raggruppare host e servizi in base all'importanza, alla posizione, alla versione del sistema operativo, alla criticità dell'infrastruttura e ad altri criteri (in Qualys si chiamano Asset Groups e Asset Tags) e selezionare un gruppo specifico durante la scansione.
3. Selezionare una finestra temporale per la scansione. Anche se hai considerato e preparato tutto, la scansione genera un carico aggiuntivo sul sistema. Non causerà necessariamente una degradazione del servizio, ma è meglio scegliere un orario specifico, così come per i backup o l'implementazione di aggiornamenti.

Cosa si può scoprire dai rapporti?

Alla fine della scansione, il cliente riceve un rapporto che non solo elenca tutte le vulnerabilità trovate, ma fornisce anche raccomandazioni di base per la loro risoluzione: aggiornamenti, patch, ecc. Qualys offre moltissimi rapporti: ci sono modelli predefiniti e si possono creare i propri. Per non confondersi in tutta questa varietà, è meglio chiarire prima alcuni aspetti: 

• Chi sarà a vedere questo report: il manager o il tecnico?
• Quali informazioni desideri ricevere dai risultati della scansione? Ad esempio, se vuoi determinare se tutte le patch necessarie sono installate e come viene gestita la risoluzione delle vulnerabilità precedentemente riscontrate, allora questo è un report. Se hai bisogno solo di effettuare un'inventario di tutti gli host, ne serve un altro.

Se il tuo obiettivo è di mostrare un quadro breve ma chiaro alla direzione, puoi preparare un Executive Report. Tutte le vulnerabilità saranno catalogate in base ai livelli di gravità, grafici e diagrammi. Ad esempio, le 10 vulnerabilità più critiche o le vulnerabilità più comuni.

Per il tecnico c'è il Technical Report con tutti i dettagli e le specifiche. Si possono generare i seguenti report:

Report sugli host. Utile quando è necessario effettuare un'inventario dell'infrastruttura e ottenere un quadro completo delle vulnerabilità degli host. 

Ecco come appare l'elenco degli host analizzati con i sistemi operativi che vi girano.

Apriamo l'host di interesse e vediamo un elenco di 219 vulnerabilità trovate, partendo dalle più critiche, di livello cinque:

In seguito puoi vedere i dettagli su ogni vulnerabilità. Qui vediamo:

• quando la vulnerabilità è stata registrata per la prima e per l'ultima volta,
• numeri identificativi delle vulnerabilità,
• la patch per risolvere la vulnerabilità,
• se ci sono problemi di conformità con gli standard PCI DSS, NIST, ecc.,
• se esiste un exploit e malware per questa vulnerabilità,
• se la vulnerabilità viene rilevata durante la scansione con/ senza autenticazione nel sistema, ecc.

Se non è la prima scansione – sì, è necessario effettuare scansioni regolarmente 🙂 – allora con l'ausilio del Trend Report è possibile monitorare l'andamento nella gestione delle vulnerabilità. Lo stato delle vulnerabilità sarà mostrato in confronto alla scansione precedente: le vulnerabilità che sono state trovate in precedenza e risolte saranno contrassegnate come fixed, quelle non risolte – active, le nuove – new.

Rapporto sulle vulnerabilità. In questo rapporto, Qualys costruirà un elenco delle vulnerabilità, partendo dalle più critiche, con indicazione su quale host catturare questa vulnerabilità. Il rapporto sarà utile se hai deciso di affrontare, per esempio, tutte le vulnerabilità di quinto livello.

È possibile anche creare un rapporto separato solo per le vulnerabilità di quarto e quinto livello.

Rapporto sui patch. Qui viene fornito un elenco completo delle patch necessarie per risolvere le vulnerabilità identificate. Per ciascuna patch sono disponibili spiegazioni su quali vulnerabilità risolve, su quale host/sistema deve essere installata e un link diretto per il download.

Rapporto di conformità agli standard PCI DSS. Lo standard PCI DSS richiede che venga eseguita una scansione dei sistemi informativi e delle applicazioni accessibili tramite Internet ogni 90 giorni. Dopo la scansione, è possibile generare un rapporto che mostri che la propria infrastruttura non è conforme ai requisiti dello standard.

Rapporti sulle vulnerabilità risolte. Qualys può essere integrato con il servizio di assistenza, in modo che tutte le vulnerabilità trovate vengano automaticamente convertite in ticket. Con questo rapporto sarà possibile tenere traccia dei progressi relativi ai ticket completati e alle vulnerabilità risolte.

Rapporti sulle porte aperte. Qui è possibile ottenere informazioni sulle porte aperte e sui servizi in esecuzione su di esse:

oppure generare un rapporto sulle vulnerabilità di ciascuna porta:

Questi sono solo modelli di report standard. È possibile creare i propri modelli per compiti specifici, ad esempio, mostrare solo le vulnerabilità di livello di gravità cinque o superiore. Tutti i report sono disponibili. Formati dei report: CSV, XML, HTML, PDF e docx.

E ricorda: la sicurezza non è un risultato, ma un processo. La scansione una tantum aiuta a vedere i problemi nel momento, ma non rappresenta un vero e proprio processo di gestione delle vulnerabilità.
Per facilitarti a intraprendere questo impegno regolare, abbiamo creato un servizio basato su Qualys Vulnerability Management.

Per tutti i lettori di Habr è attiva una promozione: ordinando il servizio di scansione per un anno, due mesi di scansione sono gratuiti. Le richieste possono essere inviate qui, nel campo "Commento" scrivete Habr.

Fonte: habr.com