Il 4 luglio abbiamo tenuto un grande . Oggi pubblichiamo la trascrizione dell'intervento di Andrey Novikov di Qualys. Parlerà delle fasi necessarie per costruire un processo di gestione delle vulnerabilità. Spoiler: ci arriveremo solo a metà strada.
Passo n. 1: Definire il livello di maturità dei processi di gestione delle vulnerabilità
Inizialmente è importante comprendere a quale livello si trova la vostra organizzazione in termini di maturità dei processi di gestione delle vulnerabilità. Solo dopo questo passo potrete capire in quale direzione muovervi e quali azioni intraprendere. Prima di avviare scansioni e altre attività, le organizzazioni devono svolgere un lavoro interno e capire come sono strutturati i vostri processi attuali sia dal punto di vista IT sia dal punto di vista della sicurezza informatica.
Provate a rispondere a domande basilari:
- avete processi di inventario e classificazione degli asset;
- con quale frequenza viene scansionata l'infrastruttura IT e se è coperta tutta l'infrastruttura, se vedete l'intera situazione;
- i vostri asset IT sono monitorati;
- sono stati implementati KPI nei vostri processi e come capite che vengono raggiunti;
- tutti questi processi sono documentati.
Passo n. 2: Garantire una copertura completa dell'infrastruttura
Non potete proteggere ciò che non conoscete. Se non avete una visione completa di cosa sia composta la vostra infrastruttura IT, non sarete in grado di proteggerla. L'infrastruttura moderna è complessa e cambia continuamente sia in quantità che in qualità.
Ora l'infrastruttura IT si basa non solo su un insieme di tecnologie classiche (postazioni di lavoro, servers, macchine virtuali), ma anche su relativamente nuovi – contenitori, microservizi. Il servizio di sicurezza informatica cerca in ogni modo di allontanarsi da questi ultimi, poiché è molto difficile lavorarvi con gli attuali set di strumenti, composti principalmente da scanner. Il problema è che nessuno scanner può coprire l'intera infrastruttura. Affinché uno scanner possa raggiungere un nodo in qualsiasi infrastruttura, devono combaciare diversi fattori. L'attivo deve essere all'interno del perimetro dell'organizzazione al momento della scansione. Lo scanner deve avere accesso di rete agli attivi, ai loro account, per raccogliere informazioni complete.
Secondo le nostre statistiche, quando si parla di organizzazioni di medie o grandi dimensioni, circa il 15-20% dell'infrastruttura non viene catturato dallo scanner per vari motivi: l'attivo è uscito dal perimetro o non si è mai presentato in ufficio. Ad esempio, un laptop di un dipendente che lavora da remoto, ma ha accesso alla rete aziendale, oppure l'attivo si trova in servizi cloud esterni come Amazon. E lo scanner, molto probabilmente, non saprà nulla riguardo a questi attivi, poiché sono al di fuori della sua visibilità.
Per coprire tutta l'infrastruttura, è necessario utilizzare non solo scanner, ma un intero insieme di sensori, comprese le tecnologie di ascolto passivo del traffico per rilevare nuovi dispositivi nella propria infrastruttura, un metodo di raccolta dati basato su agenti, che consente di ottenere dati online, senza la necessità di scansione, senza l'assegnazione di credenziali.
Passo n. 3: Eseguire la categorizzazione degli attivi
Non tutti gli attivi sono ugualmente utili. Stabilire quali attivi siano importanti e quali no è compito vostro. Nessuno strumento, lo stesso scanner, lo farà per voi. In ideale, la sicurezza informatica, l'IT e il business analizzano insieme l'infrastruttura per identificare i sistemi critici per il business. Per questi, determinano le metriche accettabili in termini di disponibilità, integrità, riservatezza, RTO/RPO e così via.
Questo aiuterà a definire le priorità nel processo di gestione delle vulnerabilità. Quando i vostri specialisti riceveranno dati sulle vulnerabilità, non sarà un elenco con migliaia di vulnerabilità su tutta l'infrastruttura, ma informazioni granulari, considerando la criticità dei sistemi.
Passo n. 4: Eseguire una valutazione dell'infrastruttura
E solo al quarto passo arriviamo alla valutazione dell'infrastruttura in termini di vulnerabilità. Ti consigliamo di prestare attenzione non solo alle vulnerabilità nel software, ma anche agli errori nelle configurazioni, che possono anch'essi essere una vulnerabilità. Qui ti consigliamo un metodo agent-based per la raccolta delle informazioni. È possibile e necessario utilizzare scanner per valutare la sicurezza del perimetro. Se utilizzi risorse dai fornitori di cloud, è importante raccogliere informazioni sugli asset e sulle configurazioni anche da lì. Dedica particolare attenzione all'analisi delle vulnerabilità nelle infrastrutture che utilizzano container Docker.
Passo n. 5: Configura la reportistica
Questo è uno dei componenti importanti all'interno del processo di gestione delle vulnerabilità.
Primo punto: nessuno lavorerà con report multistrato contenenti un elenco disordinato di vulnerabilità e le relative descrizioni di riparazione. È fondamentale prima di tutto comunicare con i colleghi e chiarire cosa deve essere incluso nel report e in che modo preferiscono ricevere i dati. Ad esempio, a un amministratore non interessa una descrizione dettagliata della vulnerabilità, ha bisogno solo dell'informazione sul patch e di un link ad esso. Un altro specialista si interessa solo delle vulnerabilità trovate nell'infrastruttura di rete.
Secondo punto: per reportistica intendo non solo report cartacei. Questo è un formato obsoleto per ottenere informazioni e una storia statica. Una persona riceve un report e non può influenzare il modo in cui i dati sono presentati in esso. Per ottenere il report nella forma desiderata, il professionista IT deve contattare uno specialista in sicurezza informatica e chiedere di ristrutturare il report. Il tempo passa, emergono nuove vulnerabilità. Invece di passare i report da un reparto all'altro, gli specialisti di entrambi i settori devono avere la possibilità di osservare i dati online e vedere lo stesso quadro. Pertanto, nella nostra piattaforma utilizziamo report dinamici sotto forma di dashboard personalizzabili.
Passo n. 6: Dai priorità
Qui puoi fare quanto segue:
1. Creazione di un repository con immagini master dei sistemi. Lavora con le immagini master, controlla costantemente la presenza di vulnerabilità e la correttezza delle configurazioni. Questo può essere fatto tramite agenti che comunicheranno automaticamente l'emergere di nuovi asset e forniranno informazioni sulle loro vulnerabilità.
2. Concentrati sugli attivi critici per il business. Non esiste alcuna organizzazione al mondo che possa eliminare le vulnerabilità in un solo colpo. Il processo di rimozione delle vulnerabilità è lungo e persino noioso.
3. Ridurre la superficie d'attacco. Pulisci la tua infrastruttura da software e servizi non necessari, chiudi le porte non utilizzate. Recentemente abbiamo avuto un caso con un'azienda in cui sono state trovate circa 100.000 vulnerabilità su 40.000 dispositivi, tutte legate a una vecchia versione del browser Mozilla. Come si è poi scoperto, Mozilla era stata installata nell'immagine oro anni fa, non la utilizza nessuno, ma è una fonte di un gran numero di vulnerabilità. Quando il browser è stato rimosso dai computer (era persino presente su alcuni server), quelle decine di migliaia di vulnerabilità sono scomparse.
4. Classifica le vulnerabilità sulla base dei dati di intelligence sulle minacce (threat intelligence). Considera non solo la gravità della vulnerabilità, ma anche la presenza di exploit pubblici, malware, patch e accesso esterno al sistema vulnerabile. Valuta l'impatto di questa vulnerabilità sui sistemi aziendali critici: può causare perdita di dati, interruzione del servizio, ecc.
Passo n. 7: Concorda gli KPI
Non scansionare solo per scansionare. Se non succede nulla con le vulnerabilità trovate, quella scansione si trasforma in un'operazione inutile. Affinché la gestione delle vulnerabilità non diventi una formalità, pensa a come valuterai i suoi risultati. La sicurezza informatica e l'IT devono concordare come sarà organizzato il lavoro per rimuovere le vulnerabilità, con quale frequenza verranno effettuate le scansioni, l'installazione delle patch, ecc.
Nella diapositiva puoi vedere esempi di possibili KPI. Abbiamo anche un elenco ampliato che consigliamo ai nostri clienti. Se sei interessato, contattaci, sarò felice di condividere queste informazioni con te.
Passo n. 8: Automatizza
Torno ancora sulla scansione. Noi di Qualys riteniamo che la scansione sia la cosa meno importante nel processo di gestione delle vulnerabilità e che debba essere massimizzata l'automazione affinché avvenga senza l'intervento di un esperto di sicurezza informatica. Oggi esistono molti strumenti che permettono di farlo. È sufficiente che abbiano un'API aperta e il numero necessario di connettori.
Un esempio che amo portare è DevOps. Se decidi di implementare lì uno scanner delle vulnerabilità, puoi semplicemente dimenticarti di DevOps. Con le vecchie tecnologie, rappresentate dallo scanner classico, non ti faranno entrare in questi processi. Gli sviluppatori non aspetteranno che tu esegua la scansione e consegni loro un report voluminoso e scomodo. Gli sviluppatori si aspettano che le informazioni sulle vulnerabilità vengano inviate come informazioni sui bug nei loro sistemi di integrazione del codice. La sicurezza deve essere integrata senza soluzione di continuità in questi processi e deve essere solo una funzione che viene chiamata automaticamente dal sistema utilizzato dai tuoi sviluppatori.
Passo n. 9: Concentrati sull'essenziale
Concentrati su ciò che porta reale valore alla tua azienda. Le scansioni possono essere automatiche, anche i rapporti possono essere inviati automaticamente.
Concentrati sul miglioramento dei processi affinché siano più flessibili e convenienti per tutti i partecipanti. Concentrati sul garantire che la sicurezza sia integrata in tutti i contratti con i tuoi partner, che ad esempio sviluppano applicazioni web per te.
Se hai bisogno di ulteriori informazioni su come costruire in azienda un processo di gestione delle vulnerabilità, contatta me e i miei colleghi. Sarò felice di aiutarti.
Fonte: habr.com
