내가 취약해지는 방법: Qualys를 사용하여 IT 인프라 스캔

안녕하십니까!

오늘 저는 우리 회사 중 하나인 Qualys Vulnerability Management의 취약점 검색 및 분석을 위한 클라우드 솔루션에 대해 이야기하고 싶습니다. 서비스.

아래에서는 스캐닝 자체가 어떻게 구성되어 있는지, 그리고 그 결과를 바탕으로 어떤 취약점에 대한 정보를 찾을 수 있는지 보여드리겠습니다.

스캔할 수 있는 것

외부 서비스. 인터넷에 액세스할 수 있는 서비스를 검사하기 위해 클라이언트는 IP 주소와 자격 증명을 제공합니다(인증 검사가 필요한 경우). Qualys 클라우드를 사용하여 서비스를 스캔하고 결과에 따라 보고서를 보냅니다.

내부 서비스. 이 경우 스캐너는 내부 서버와 네트워크 인프라의 취약점을 찾습니다. 이러한 스캔을 사용하면 운영 체제, 애플리케이션, 열려 있는 포트 및 서비스의 버전을 조사할 수 있습니다.

클라이언트 인프라 내에서 스캔하기 위해 Qualys 스캐너가 설치됩니다. Qualys 클라우드는 여기서 이 스캐너의 명령 센터 역할을 합니다.

Qualys가 포함된 내부 서버 외에도 스캔된 개체에 에이전트(Cloud Agent)를 설치할 수 있습니다. 이들은 시스템에 대한 정보를 로컬로 수집하고 네트워크나 작동하는 호스트에 사실상 부하를 생성하지 않습니다. 수신된 정보는 클라우드로 전송됩니다.

여기에는 세 가지 중요한 사항이 있습니다. 인증 및 스캔할 개체 선택입니다.

1. 인증 사용. 일부 클라이언트는 특히 외부 서비스에 대해 블랙박스 검사를 요청합니다. 그들은 시스템을 지정하지 않고 다양한 IP 주소를 제공하고 "해커처럼 되세요"라고 말합니다. 그러나 해커가 맹목적으로 행동하는 경우는 거의 없습니다. 공격(정찰 아님)에 관해서는 자신이 무엇을 해킹하고 있는지 알고 있습니다. 

   맹목적으로 Qualys는 미끼 배너를 우연히 발견하고 대상 시스템 대신 스캔할 수 있습니다. 그리고 정확히 무엇을 스캔할지 이해하지 못하면 스캐너 설정을 놓치고 확인 중인 서비스를 "연결"하기 쉽습니다. 

   스캔되는 시스템(화이트박스) 앞에서 인증 확인을 수행하면 스캔이 더 유리해집니다. 이렇게 하면 스캐너가 해당 정보가 어디서 왔는지 이해하고 대상 시스템의 취약점에 대한 완전한 데이터를 받게 됩니다.

   
   Qualys에는 다양한 인증 옵션이 있습니다.

2. 그룹자산. 모든 것을 한 번에 무분별하게 검사하기 시작하면 시간이 오래 걸리고 시스템에 불필요한 부하가 발생합니다. 중요도, 위치, OS 버전, 인프라 중요도 및 기타 특성(Qualys에서는 자산 그룹 및 자산 태그라고 함)을 기반으로 호스트와 서비스를 그룹으로 그룹화하고 검색할 때 특정 그룹을 선택하는 것이 좋습니다.
3. 스캔할 기술 창을 선택하세요. 생각하고 준비했더라도 스캐닝으로 인해 시스템에 추가적인 스트레스가 발생합니다. 반드시 서비스 성능이 저하되는 것은 아니지만 백업이나 업데이트 롤오버 등 특정 시간을 선택하는 것이 좋습니다.

보고서에서 무엇을 배울 수 있나요?

스캔 결과에 따라 클라이언트는 발견된 모든 취약점 목록뿐만 아니라 이를 제거하기 위한 기본 권장 사항(업데이트, 패치 등)이 포함된 보고서를 받습니다. Qualys에는 많은 보고서가 있습니다. 기본 템플릿이 있으며 당신은 자신의 것을 만들 수 있습니다. 모든 다양성에 혼동하지 않으려면 먼저 다음 사항을 스스로 결정하는 것이 좋습니다. 

• 이 보고서는 누가 볼 수 있습니까? 관리자입니까 아니면 기술 전문가입니까?
• 스캔 결과에서 어떤 정보를 얻고 싶나요? 예를 들어, 필요한 패치가 모두 설치되었는지 여부와 이전에 발견된 취약점을 제거하기 위한 작업이 어떻게 수행되고 있는지 확인하려는 경우 이것이 하나의 보고서입니다. 모든 호스트의 인벤토리를 작성해야 한다면 다른 호스트를 선택하세요.

당신의 임무가 간단하지만 명확한 그림을 경영진에게 보여주는 것이라면, 당신은 다음을 형성할 수 있습니다. 실행 보고서. 모든 취약점은 선반, 중요도 수준, 그래프 및 다이어그램으로 분류됩니다. 예를 들어 가장 심각한 취약점 상위 10개 또는 가장 일반적인 취약점이 있습니다.

기술자의 경우 기술 보고서 모든 세부 사항과 세부 사항이 포함되어 있습니다. 다음 보고서를 생성할 수 있습니다.

호스트 보고서. 인프라 목록을 작성하고 호스트 취약성을 전체적으로 파악해야 할 때 유용합니다. 

이는 분석된 호스트 목록의 모습으로 해당 호스트에서 실행 중인 OS를 나타냅니다.

관심 있는 호스트를 열고 가장 심각한 레벨 219부터 시작하여 발견된 XNUMX개의 취약점 목록을 살펴보겠습니다.

그러면 각 취약점에 대한 세부정보를 볼 수 있습니다. 여기에서 우리는 다음을 볼 수 있습니다:

• 취약점이 처음이자 마지막으로 감지되었을 때
• 산업 취약성 번호,
• 취약점을 제거하기 위한 패치,
• PCI DSS, NIST 등을 준수하는 데 문제가 있나요?
• 이 취약점에 대한 악용 및 악성 코드가 있습니까?
• 시스템 등에서 인증 유무에 관계없이 스캔할 때 발견되는 취약점입니다.

이것이 첫 번째 스캔이 아닌 경우 - 예, 정기적으로 스캔해야 합니다 🙂 - 그런 다음 도움을 받아 트렌드 리포트 취약점 작업의 역학을 추적할 수 있습니다. 취약점 상태는 이전 스캔과 비교하여 표시됩니다. 이전에 발견되어 닫힌 취약점은 수정되고 닫히지 않은 취약점(활성, 새로운 취약점)으로 표시됩니다.

취약점 보고서. 이 보고서에서 Qualys는 가장 중요한 것부터 시작하여 이 취약점을 발견할 호스트를 나타내는 취약점 목록을 작성합니다. 예를 들어 다섯 번째 수준의 모든 취약점을 즉시 이해하기로 결정한 경우 보고서가 유용할 것입니다.

XNUMX레벨과 XNUMX레벨 취약점에 대해서만 별도의 신고를 할 수도 있습니다.

패치 보고서. 여기에서 발견된 취약점을 제거하기 위해 설치해야 하는 전체 패치 목록을 볼 수 있습니다. 각 패치에는 수정되는 취약점, 설치해야 하는 호스트/시스템 및 직접 다운로드 링크에 대한 설명이 있습니다.

PCI DSS 규정 준수 보고서. PCI DSS 표준에서는 90일마다 인터넷에서 액세스할 수 있는 정보 시스템 및 애플리케이션을 검색해야 합니다. 스캔 후 표준 요구 사항을 충족하지 않는 인프라를 보여주는 보고서를 생성할 수 있습니다.

취약점 해결 보고서. Qualys는 서비스 데스크와 통합될 수 있으며, 발견된 모든 취약점은 자동으로 티켓으로 변환됩니다. 이 보고서를 사용하면 완료된 티켓 및 해결된 취약점의 진행 상황을 추적할 수 있습니다.

오픈 포트 보고서. 여기에서 열려 있는 포트와 해당 포트에서 실행되는 서비스에 대한 정보를 얻을 수 있습니다.

또는 각 포트의 취약점에 대한 보고서를 생성합니다.

이것은 단지 표준 보고서 템플릿입니다. 예를 들어, 다섯 번째 수준의 중요도보다 낮지 않은 취약점만 표시하는 등 특정 작업에 대해 고유한 작업을 만들 수 있습니다. 모든 보고서를 사용할 수 있습니다. 보고서 형식: CSV, XML, HTML, PDF 및 docx.

그리고 기억하세요 : 안전은 결과가 아니라 과정입니다. 일회성 검사는 현재 문제를 파악하는 데 도움이 되지만, 이는 본격적인 취약점 관리 프로세스에 관한 것이 아닙니다.
이러한 정규 작업을 보다 쉽게 ​​결정할 수 있도록 Qualys Vulnerability Management를 기반으로 하는 서비스를 만들었습니다.

모든 Habr 독자를 위한 프로모션이 있습니다: XNUMX년 동안 스캔 서비스를 주문하면 XNUMX개월 동안의 스캔이 무료입니다. 신청서를 남길 수 있습니다 여기에, "댓글" 필드에 Habr을 입력합니다.

출처 : habr.com