Il 4 luglio abbiamo tenuto un grande . Oggi pubblichiamo la trascrizione dell'intervento di Andrey Novikov di Qualys. Spiegherà quali passaggi è necessario seguire per costruire un processo di gestione delle vulnerabilità. Spoiler: arriveremo alla scansione solo a metà percorso.
Passo n. 1: Determinare il livello di maturità dei processi di gestione delle vulnerabilità
All'inizio è fondamentale comprendere a quale livello si trova la vostra organizzazione in termini di maturità dei processi di gestione delle vulnerabilità. Solo dopo averlo capito, potrete determinare la direzione da seguire e quali passi intraprendere. Prima di iniziare con le scansioni e altre attività, le organizzazioni devono svolgere un lavoro interno e comprendere come sono strutturati i vostri attuali processi da una prospettiva IT e di sicurezza informatica.
Cercate di rispondere a domande di base:
- avete dei processi per l'inventario e la classificazione delle risorse;
- con quale frequenza viene eseguita la scansione dell'infrastruttura IT e se l'intera infrastruttura è coperta, se vedete l'intera situazione;
- i vostri risorse IT sono monitorate;
- sono stati implementati KPI nei vostri processi e come comprendete se vengono raggiunti;
- tutti questi processi sono documentati.
Passo n. 2: Assicuratevi di avere una copertura completa dell'infrastruttura
Non potete proteggere ciò di cui non siete a conoscenza. Se non avete un quadro completo di cosa compone la vostra infrastruttura IT, non sarete in grado di proteggerla. L'infrastruttura moderna è complessa e cambia costantemente sia nella quantità che nella qualità.
Ora l'infrastruttura IT non si basa solo su un insieme di tecnologie classiche (postazioni di lavoro, server, macchine virtuali), ma anche su relativamente nuovi – container, microservizi. Il servizio di sicurezza informatica cerca di allontanarsi da questi ultimi, poiché è molto difficile lavorarci con gli strumenti attuali, che consistono principalmente in scanner. Il problema è che nessuno scanner può coprire l'intera infrastruttura. Affinché uno scanner possa raggiungere qualsiasi nodo nell'infrastruttura, devono coincidere diversi fattori. L'attivo deve trovarsi all'interno del perimetro dell'organizzazione al momento della scansione. Lo scanner deve avere accessi di rete agli attivi e ai loro account per raccogliere informazioni complete.
Secondo le nostre statistiche, quando si tratta di organizzazioni di medie o grandi dimensioni, circa il 15-20% dell'infrastruttura non viene catturato dallo scanner per vari motivi: un dispositivo esce dal perimetro o non appare mai in ufficio. Ad esempio, un laptop di un dipendente che lavora da remoto ma ha accesso alla rete aziendale, o un dispositivo che si trova su servizi cloud esterni come Amazon. È probabile che lo scanner non abbia informazioni su questi asset, poiché sono al di fuori della sua visibilità.
Per coprire l'intera infrastruttura, è necessario utilizzare non solo scanner, ma un intero insieme di sensori, comprese le tecnologie di ascolto passivo del traffico per rilevare nuovi dispositivi nella tua infrastruttura, e un metodo di raccolta dati basato su agenti che consente di ottenere informazioni online, senza necessità di scansione, senza la necessità di fornire credenziali.
Passo n. 3: Esegui la categorizzazione degli asset
Non tutti gli asset sono ugualmente utili. Determinare quali asset siano importanti e quali no è compito vostro. Nessuno strumento, neppure uno scanner, potrà farlo per voi. Idealmente, la sicurezza informatica, l'IT e il business analizzano insieme l'infrastruttura per identificare i sistemi critici per il business. Per questi sistemi, determinano metriche accettabili per disponibilità, integrità, riservatezza, RTO/RPO e altro.
Questo aiuterà a definire le priorità nel processo di gestione delle vulnerabilità. Quando i vostri specialisti riceveranno dati sulle vulnerabilità, non si tratterà di un elenco con migliaia di vulnerabilità su tutta l'infrastruttura, ma di informazioni dettagliate in base alla criticità dei sistemi.
Passo n. 4: Effettuare una valutazione dell'infrastruttura
E solo al quarto passo arriviamo alla valutazione dell'infrastruttura in termini di vulnerabilità. In questa fase, vi consigliamo di prestare attenzione non solo alle vulnerabilità del software, ma anche agli errori di configurazione, che possono rappresentare vulnerabilità. Qui raccomandiamo un metodo di raccolta informazioni basato su agenti. Gli scanner possono e devono essere utilizzati per valutare la sicurezza del perimetro. Se utilizzate risorse da fornitori di cloud, è necessario raccogliere informazioni sugli asset e le configurazioni anche da quelle fonti. Prestate particolare attenzione all'analisi delle vulnerabilità nelle infrastrutture che utilizzano contenitori Docker.
Passo n. 5: Impostare i report
Questo è uno degli elementi importanti all'interno del processo di gestione delle vulnerabilità.
Il primo punto è che nessuno lavorerà con report multi-pagina caratterizzati da un elenco caotico di vulnerabilità e descrizioni delle loro risoluzioni. È fondamentale comunicare innanzitutto con i colleghi per chiarire cosa dovrebbe contenere il report e come preferiscono ricevere i dati. Per esempio, un amministratore potrebbe non necessitare di una descrizione dettagliata della vulnerabilità, ma solo delle informazioni sulla patch e un link ad essa. Un altro specialista, invece, potrebbe essere interessato solo alle vulnerabilità rilevate nell'infrastruttura di rete.
Un secondo punto: con rendicontazione intendo non solo i report cartacei. Questo è un formato obsoleto per ottenere informazioni e una storia statica. L'utente riceve un report e non può influire su come i dati vengono presentati. Per ottenere il report nel formato desiderato, il professionista IT deve contattare un esperto di sicurezza informatica e chiedere di ristrutturare il report. Il tempo passa e nuove vulnerabilità emergono. Invece di trasferire rapporti da un dipartimento all'altro, i professionisti di entrambi i settori devono avere la possibilità di monitorare i dati online e visualizzare la stessa situazione. Pertanto, sulla nostra piattaforma utilizziamo report dinamici in forma di cruscotti personalizzabili.
Passo n. 6: Prioritizzare
Qui puoi fare quanto segue:
1. Creare un repository con immagini gold dei sistemi. Lavora con immagini gold, controllale per vulnerabilità e correttezza di configurazione in modo continuativo. Questo può essere fatto tramite agenti che riferiscono automaticamente l'emergere di nuovi asset e forniscono informazioni sulle loro vulnerabilità.
2. Concentrate on assets that are critical to the business. There is not a single organization in the world that can eliminate vulnerabilities in one go. The process of addressing vulnerabilities is long and even tedious.
3. Narrow the attack surface. Clean your infrastructure of unnecessary software and services, and close unused ports. We recently had a case with a company that found around 100,000 vulnerabilities related to an old version of the Mozilla browser on 40,000 devices. It turned out that Mozilla had been incorporated into the gold image many years ago; no one uses it, but it was the source of a large number of vulnerabilities. Once the browser was removed from the computers (it was even installed on some servers), those tens of thousands of vulnerabilities disappeared.
4. Rank vulnerabilities based on threat intelligence data. Take into account not only the severity of the vulnerability but also the presence of public exploits, malware, patches, and external access to the vulnerable system. Assess the impact of this vulnerability on critical business systems: could it lead to data loss, denial of service, etc.?
Step #7: Align KPIs
Non scannerizzare solo per il gusto di farlo. Se non si intraprende nulla riguardo alle vulnerabilità rilevate, lo scannerizzamento diventa un'operazione inutile. Per evitare che la gestione delle vulnerabilità diventi una formalità, pensate a come valuterete i risultati. La sicurezza informatica e l'IT devono concordare come sarà gestita la risoluzione delle vulnerabilità, con quale frequenza verranno effettuate le scansioni, la distribuzione delle patch, ecc.
Nella diapositiva vedete esempi di possibili KPI. Esiste anche un elenco più ampio che consigliamo ai nostri clienti. Se siete interessati, contattatemi e condividerò queste informazioni con voi.
Passo n. 8: Automatizzate
Torno a parlare di scansioni. In Qualys riteniamo che la scansione sia la cosa meno importante nel processo di gestione delle vulnerabilità, e che la cosa più importante sia automatizzarla il più possibile, affinché venga eseguita senza l'intervento di uno specialista in sicurezza informatica. Oggi ci sono molti strumenti che consentono di fare ciò. È sufficiente che abbiano un'API aperta e il numero necessario di connettori.
Un esempio che mi piace fare è DevOps. Se intendi implementare un scanner di vulnerabilità, puoi semplicemente dimenticarti di DevOps. Con le vecchie tecnologie, rappresentate da uno scanner tradizionale, non sarai in grado di accedere a questi processi. Gli sviluppatori non aspetteranno che tu esegua la scansione e fornisca loro un lungo rapporto scomodo. Gli sviluppatori si aspettano che le informazioni sulle vulnerabilità arrivino come segnalazioni di bug nei loro sistemi di build. La sicurezza deve essere integrata in questi processi senza soluzione di continuità e deve essere semplicemente una funzione chiamata automaticamente dal sistema utilizzato dai tuoi sviluppatori.
Passo n. 9: Concentrati sul principale
Concentrati su ciò che porta un reale valore alla tua azienda. Le scansioni possono essere automatiche, i rapporti possono essere inviati automaticamente.
Concentrati sul miglioramento dei processi per renderli più agili e comodi per tutti i partecipanti. Concentrati sull'integrazione della sicurezza in tutti i contratti con i tuoi fornitori, che sviluppano ad esempio applicazioni web per te.
Se hai bisogno di ulteriori informazioni su come costruire un processo di gestione delle vulnerabilità in azienda, contattami e i miei colleghi. Sarò felice di aiutarti.
Fonte: habr.com
