איך הפכתי לפגיע: סריקת תשתית IT באמצעות Qualys

שלום לכולם!

היום אני רוצה לדבר על פתרון הענן לחיפוש וניתוח נקודות תורפה של Qualys Vulnerability Management, שעליו אחת הנקודות שלנו של שירותים.

להלן אראה כיצד הסריקה עצמה מאורגנת ואיזה מידע על נקודות תורפה ניתן למצוא בהתבסס על התוצאות.

מה אפשר לסרוק

שירותים חיצוניים. כדי לסרוק שירותים שיש להם גישה לאינטרנט, הלקוח מספק לנו את כתובות ה-IP והאישורים שלו (אם יש צורך בסריקה עם אימות). אנו סורקים שירותים באמצעות ענן Qualys ושולחים דוח על סמך התוצאות.

שירותים פנימיים. במקרה זה, הסורק מחפש נקודות תורפה בשרתים פנימיים ובתשתית רשת. באמצעות סריקה כזו, אתה יכול לעשות מלאי של גרסאות מערכות ההפעלה, האפליקציות, הפורטים הפתוחים והשירותים שמאחוריהם.

סורק Qualys מותקן לסריקה בתוך תשתית הלקוח. ענן Qualys משמש כאן כמרכז הפיקוד של הסורק הזה.

בנוסף לשרת הפנימי עם Qualys, ניתן להתקין סוכנים (Cloud Agent) על אובייקטים סרוקים. הם אוספים מידע על המערכת באופן מקומי ולא יוצרים כמעט עומס על הרשת או המארחים שבהם הם פועלים. המידע המתקבל נשלח לענן.

יש כאן שלוש נקודות חשובות: אימות ובחירת אובייקטים לסריקה.

1. שימוש באימות. חלק מהלקוחות מבקשים סריקת קופסאות שחורות, במיוחד עבור שירותים חיצוניים: הם נותנים לנו מגוון של כתובות IP מבלי לציין את המערכת ואומרים "תהיו כמו האקר". אבל האקרים ממעטים לפעול בצורה עיוורת. כשזה מגיע להתקפה (לא סיור), הם יודעים למה הם פורצים. 

   באופן עיוור, Qualys עשוי להיתקל באנרים מטעים ולסרוק אותם במקום מערכת היעד. ומבלי להבין מה בדיוק ייסרק, קל לפספס את הגדרות הסורק ו"לצרף" את השירות הנבדק. 

   הסריקה תועיל יותר אם תבצע בדיקות אימות מול המערכות הנסרקות (Whitebox). כך הסורק יבין מאיפה הוא הגיע, ותקבלו נתונים מלאים על נקודות התורפה של מערכת היעד.

   
   ל-Qualys יש אפשרויות אימות רבות.

2. נכסי הקבוצה. אם תתחילו לסרוק הכל בבת אחת וללא הבחנה, זה ייקח הרבה זמן ויצור עומס מיותר על המערכות. עדיף לקבץ מארחים ושירותים לקבוצות על סמך חשיבות, מיקום, גרסת מערכת ההפעלה, קריטיות התשתית ומאפיינים נוספים (ב-Qualys הם נקראים Asset Groups ו-Aset Tags) ולבחור קבוצה ספציפית בעת הסריקה.
3. בחר חלון טכני לסריקה. גם אם חשבתם והתכוננתם, הסריקה יוצרת לחץ נוסף על המערכת. זה לא בהכרח יגרום לפגיעה בשירות, אבל עדיף לבחור זמן מסוים עבורו, כמו לגיבוי או גלגול עדכונים.

מה ניתן ללמוד מהדוחות?

על סמך תוצאות הסריקה, הלקוח מקבל דוח שיכיל לא רק רשימה של כל הפגיעויות שנמצאו, אלא גם המלצות בסיסיות לסילוקן: עדכונים, תיקונים וכו'. ל-Qualys יש הרבה דוחות: יש תבניות ברירת מחדל, וכן אתה יכול ליצור משלך. כדי לא להתבלבל בכל המגוון, עדיף קודם כל להחליט בעצמך על הנקודות הבאות: 

• מי יראה את הדוח הזה: מנהל או מומחה טכני?
• איזה מידע אתה רוצה לקבל מתוצאות הסריקה? לדוגמה, אם ברצונך לברר אם כל התיקונים הדרושים מותקנים וכיצד מתבצעת העבודה על מנת לסלק פגיעויות שנמצאו בעבר, זהו דוח אחד. אם אתה רק צריך לעשות מלאי של כל המארחים, אז עוד אחד.

אם המשימה שלך היא להציג תמונה קצרה אך ברורה להנהלה, אז אתה יכול ליצור דוח מנהלים. כל הפגיעות ימוינו לפי מדפים, רמות קריטיות, גרפים ודיאגרמות. לדוגמה, 10 הפגיעויות הקריטיות ביותר או הפגיעויות הנפוצות ביותר.

לטכנאי יש דו"ח טכני עם כל הפרטים והפרטים. ניתן להפיק את הדוחות הבאים:

מארחים מדווחים. דבר שימושי כאשר אתה צריך לעשות מלאי של התשתית שלך ולקבל תמונה מלאה של פגיעויות המארח. 

כך נראית רשימת המארחים המנותחים, המציינת את מערכת ההפעלה שפועלת עליהם.

בואו נפתח את מארח העניין ונראה רשימה של 219 פגיעויות שנמצאו, החל מהקריטית ביותר, רמה חמש:

לאחר מכן תוכל לראות את הפרטים עבור כל פגיעות. כאן אנו רואים:

• כאשר הפגיעות זוהתה בפעם הראשונה והאחרונה,
• מספרי פגיעות תעשייתיים,
• תיקון כדי לחסל את הפגיעות,
• האם יש בעיות כלשהן בעמידה ב-PCI DSS, NIST וכו',
• האם יש ניצול ותוכנות זדוניות עבור הפגיעות הזו,
• היא פגיעות שזוהתה בעת סריקה עם/ללא אימות במערכת וכו'.

אם זו לא הסריקה הראשונה - כן, אתה צריך לסרוק באופן קבוע 🙂 - אז בעזרת העזרה דוח מגמה אתה יכול לעקוב אחר הדינמיקה של עבודה עם פגיעויות. מצב החולשות יוצג בהשוואה לסריקה הקודמת: נקודות תורפה שנמצאו קודם לכן ונסגרו יסומנו כקבועות, לא סגורות - פעילות, חדשות - חדשות.

דוח פגיעות. בדוח זה, Qualys תבנה רשימה של פגיעויות, החל מהקריטיות ביותר, המציינת באיזה מארח לתפוס את הפגיעות הזו. הדוח יהיה שימושי אם תחליט להבין מיד, למשל, את כל נקודות התורפה של הרמה החמישית.

אתה יכול גם לעשות דוח נפרד רק על נקודות תורפה של הרמה הרביעית והחמישית.

דוח תיקון. כאן אתה יכול לראות רשימה מלאה של תיקונים שצריך להתקין כדי לבטל את הפגיעויות שנמצאו. לכל תיקון יש הסבר אילו פרצות הוא מתקן, באיזה מארח/מערכת צריך להתקין אותו, וקישור להורדה ישירה.

דוח תאימות PCI DSS. תקן PCI DSS מחייב סריקת מערכות מידע ויישומים הנגישים מהאינטרנט כל 90 יום. לאחר הסריקה ניתן להפיק דוח שיראה מה התשתית לא עומדת בדרישות התקן.

דוחות לתיקון פגיעות. ניתן לשלב Qualys עם דלפק השירות, ואז כל נקודות התורפה שנמצאו יתורגמו אוטומטית לכרטיסים. באמצעות דוח זה, תוכל לעקוב אחר התקדמות הכרטיסים שהושלמו ונקודות התורפה שנפתרו.

פתח דוחות נמלים. כאן תוכל לקבל מידע על יציאות פתוחות ושירותים הפועלים בהן:

או הפק דוח על נקודות תורפה בכל יציאה:

אלו רק תבניות דוחות סטנדרטיות. אתה יכול ליצור משלך עבור משימות ספציפיות, למשל, להציג רק נקודות תורפה שאינן נמוכות מהרמה החמישית של קריטיות. כל הדוחות זמינים. פורמט דוח: CSV, XML, HTML, PDF ו-docx.

וזכרו: בטיחות היא לא תוצאה, אלא תהליך. סריקה חד פעמית עוזרת לראות בעיות ברגע זה, אבל לא מדובר בתהליך מלא של ניהול פגיעות.
כדי להקל עליך להחליט על עבודה רגילה זו, יצרנו שירות המבוסס על ניהול פגיעות של Qualys.

יש מבצע לכל קוראי Habr: כאשר אתה מזמין שירות סריקה לשנה, חודשיים של סריקות הם בחינם. ניתן להשאיר יישומים כאן, בשדה "הערה" כתוב Habr.

מקור: www.habr.com