फक्त स्कॅनिंगच नाही किंवा 9 पायऱ्यांमध्ये असुरक्षा व्यवस्थापन प्रक्रिया कशी तयार करायची

आमच्याकडे 4 जुलैचा मोठा दिवस होता असुरक्षा व्यवस्थापन कार्यशाळा. आज आम्ही क्वालिसमधून आंद्रे नोविकोव्हच्या भाषणाचा उतारा प्रकाशित करत आहोत. असुरक्षा व्यवस्थापन कार्यप्रवाह तयार करण्यासाठी तुम्हाला कोणत्या पायऱ्या पार कराव्या लागतील हे तो तुम्हाला सांगेल. स्पॉयलर: स्कॅन करण्यापूर्वी आम्ही फक्त अर्ध्या बिंदूवर पोहोचू.

पायरी #1: तुमच्या भेद्यता व्यवस्थापन प्रक्रियेची परिपक्वता पातळी निश्चित करा

अगदी सुरुवातीला, तुमची संस्था तिच्या असुरक्षा व्यवस्थापन प्रक्रियेच्या परिपक्वतेच्या दृष्टीने कोणत्या टप्प्यावर आहे हे समजून घेणे आवश्यक आहे. यानंतरच तुम्हाला कुठे हलवायचे आणि कोणती पावले उचलण्याची गरज आहे हे समजू शकेल. स्कॅन आणि इतर अॅक्टिव्हिटी सुरू करण्यापूर्वी, आयटी आणि माहिती सुरक्षेच्या दृष्टीकोनातून तुमच्या सध्याच्या प्रक्रियेची रचना कशी केली जाते हे समजून घेण्यासाठी संस्थांना काही अंतर्गत काम करणे आवश्यक आहे.

मूलभूत प्रश्नांची उत्तरे देण्याचा प्रयत्न करा:

• तुमच्याकडे इन्व्हेंटरी आणि मालमत्ता वर्गीकरणासाठी प्रक्रिया आहेत का; 
• आयटी पायाभूत सुविधा किती नियमितपणे स्कॅन केल्या जातात आणि संपूर्ण पायाभूत सुविधा कव्हर केल्या जातात, तुम्हाला संपूर्ण चित्र दिसत आहे का;
• तुमच्या आयटी संसाधनांचे परीक्षण केले जाते का?
• तुमच्या प्रक्रियांमध्ये कोणतेही KPI लागू केले आहेत आणि ते पूर्ण होत आहेत हे तुम्हाला कसे समजते;
• या सर्व प्रक्रिया कागदोपत्री आहेत का?

पायरी #2: संपूर्ण पायाभूत सुविधा कव्हरेजची खात्री करा

आपण ज्याबद्दल आपल्याला माहिती नाही त्याचे संरक्षण करू शकत नाही. तुमची आयटी पायाभूत सुविधा कशापासून बनलेली आहे याचे संपूर्ण चित्र तुमच्याकडे नसल्यास, तुम्ही त्याचे संरक्षण करू शकणार नाही. आधुनिक पायाभूत सुविधा जटिल आहे आणि सतत परिमाणात्मक आणि गुणात्मक बदलत आहे.
आता आयटी इन्फ्रास्ट्रक्चर केवळ क्लासिक तंत्रज्ञानाच्या स्टॅकवर (वर्कस्टेशन्स, सर्व्हर, व्हर्च्युअल मशीन) आधारित नाही तर तुलनेने नवीन - कंटेनर, मायक्रोसर्व्हिसेसवर देखील आधारित आहे. माहिती सुरक्षा सेवा प्रत्येक संभाव्य मार्गाने नंतरच्यापासून दूर पळत आहे, कारण विद्यमान टूल सेट वापरून त्यांच्यासह कार्य करणे खूप कठीण आहे, ज्यात प्रामुख्याने स्कॅनर असतात. समस्या अशी आहे की कोणताही स्कॅनर संपूर्ण पायाभूत सुविधा कव्हर करू शकत नाही. पायाभूत सुविधांमधील कोणत्याही नोडपर्यंत स्कॅनर पोहोचण्यासाठी, अनेक घटक एकसारखे असणे आवश्यक आहे. स्कॅनिंगच्या वेळी मालमत्ता संस्थेच्या परिघात असणे आवश्यक आहे. संपूर्ण माहिती गोळा करण्यासाठी स्कॅनरकडे मालमत्ता आणि त्यांच्या खात्यांमध्ये नेटवर्क प्रवेश असणे आवश्यक आहे.

आमच्या आकडेवारीनुसार, जेव्हा मध्यम किंवा मोठ्या संस्थांचा विचार केला जातो, तेव्हा अंदाजे 15-20% पायाभूत सुविधा स्कॅनरद्वारे एका किंवा दुसर्‍या कारणास्तव कॅप्चर केली जात नाहीत: मालमत्ता परिमितीच्या पलीकडे गेली आहे किंवा कार्यालयात कधीही दिसत नाही. उदाहरणार्थ, एखाद्या कर्मचाऱ्याचा लॅपटॉप जो दूरस्थपणे काम करतो परंतु तरीही कॉर्पोरेट नेटवर्कमध्ये प्रवेश आहे किंवा मालमत्ता Amazon सारख्या बाह्य क्लाउड सेवांमध्ये स्थित आहे. आणि स्कॅनर, बहुधा, या मालमत्तेबद्दल काहीही माहिती नसतील, कारण ते त्याच्या दृश्यमानतेच्या क्षेत्राबाहेर आहेत.

संपूर्ण इन्फ्रास्ट्रक्चर कव्हर करण्यासाठी, तुम्हाला फक्त स्कॅनरच नाही तर तुमच्या इन्फ्रास्ट्रक्चरमधील नवीन डिव्हाइसेस शोधण्यासाठी पॅसिव्ह ट्रॅफिक ऐकण्याच्या तंत्रज्ञानासह सेन्सर्सचा संपूर्ण संच, माहिती प्राप्त करण्यासाठी एजंट डेटा संकलन पद्धत - तुम्हाला ऑनलाइन डेटा प्राप्त करण्याची परवानगी देते. क्रेडेन्शियल हायलाइट न करता स्कॅनिंगची गरज.

पायरी #3: मालमत्तेचे वर्गीकरण करा

सर्व मालमत्ता समान तयार केल्या जात नाहीत. कोणती मालमत्ता महत्त्वाची आहे आणि कोणती नाही हे ठरवणे तुमचे काम आहे. स्कॅनरसारखे कोणतेही साधन तुमच्यासाठी हे करणार नाही. तद्वतच, माहिती सुरक्षा, आयटी आणि व्यवसाय व्यवसाय-गंभीर प्रणाली ओळखण्यासाठी पायाभूत सुविधांचे विश्लेषण करण्यासाठी एकत्रितपणे कार्य करतात. त्यांच्यासाठी, ते उपलब्धता, अखंडता, गोपनीयता, RTO/RPO इत्यादींसाठी स्वीकार्य मेट्रिक्स निर्धारित करतात.

हे तुम्हाला तुमच्या भेद्यता व्यवस्थापन प्रक्रियेला प्राधान्य देण्यास मदत करेल. जेव्हा तुमच्या तज्ञांना असुरक्षांवरील डेटा प्राप्त होतो, तेव्हा ते संपूर्ण पायाभूत सुविधांमध्ये हजारो असुरक्षा असलेले पत्रक नसते, परंतु सिस्टमची गंभीरता लक्षात घेऊन बारीक माहिती असते.

पायरी #4: पायाभूत सुविधांचे मूल्यांकन करा

आणि केवळ चौथ्या टप्प्यावर आपण असुरक्षिततेच्या दृष्टिकोनातून पायाभूत सुविधांचे मूल्यांकन करू शकतो. या टप्प्यावर, आम्ही शिफारस करतो की तुम्ही केवळ सॉफ्टवेअरच्या भेद्यतेकडेच नव्हे तर कॉन्फिगरेशन त्रुटींकडेही लक्ष द्या, जे एक असुरक्षा देखील असू शकते. येथे आम्ही माहिती गोळा करण्याच्या एजंट पद्धतीची शिफारस करतो. परिमितीच्या सुरक्षिततेचे मूल्यांकन करण्यासाठी स्कॅनर वापरले जाऊ शकतात आणि केले पाहिजेत. जर तुम्ही क्लाउड प्रदात्यांची संसाधने वापरत असाल, तर तुम्हाला तेथून मालमत्ता आणि कॉन्फिगरेशनची माहिती देखील गोळा करावी लागेल. डॉकर कंटेनर वापरून पायाभूत सुविधांमधील भेद्यतेचे विश्लेषण करण्यासाठी विशेष लक्ष द्या.

पायरी #5: रिपोर्टिंग सेट करा

असुरक्षा व्यवस्थापन प्रक्रियेतील हा एक महत्त्वाचा घटक आहे.
पहिला मुद्दा: असुरक्षिततेची यादृच्छिक सूची आणि त्या कशा दूर करायच्या याच्या वर्णनासह बहु-पृष्ठ अहवालांसह कोणीही कार्य करणार नाही. सर्वप्रथम, तुम्हाला सहकार्यांशी संवाद साधण्याची आणि अहवालात काय असावे आणि डेटा प्राप्त करणे त्यांच्यासाठी अधिक सोयीचे कसे आहे हे शोधणे आवश्यक आहे. उदाहरणार्थ, काही प्रशासकास असुरक्षिततेच्या तपशीलवार वर्णनाची आवश्यकता नसते आणि त्यांना फक्त पॅचबद्दल माहिती आणि त्याच्या लिंकची आवश्यकता असते. दुसरा तज्ञ फक्त नेटवर्क इन्फ्रास्ट्रक्चरमध्ये आढळलेल्या भेद्यतेबद्दल काळजी घेतो.

दुसरा मुद्दा: रिपोर्टिंग म्हणजे फक्त कागदी अहवाल नाही. माहिती मिळवण्यासाठी हे कालबाह्य स्वरूप आणि स्थिर कथा आहे. एखाद्या व्यक्तीस अहवाल प्राप्त होतो आणि या अहवालात डेटा कसा सादर केला जाईल यावर कोणत्याही प्रकारे प्रभाव टाकू शकत नाही. इच्छित फॉर्ममध्ये अहवाल प्राप्त करण्यासाठी, आयटी तज्ञाने माहिती सुरक्षा तज्ञाशी संपर्क साधला पाहिजे आणि त्याला अहवाल पुन्हा तयार करण्यास सांगितले पाहिजे. जसजसा वेळ जातो तसतसे नवीन असुरक्षा दिसून येतात. विभागाकडून विभागाकडे अहवाल पुढे ढकलण्याऐवजी, दोन्ही विभागातील तज्ञांनी डेटाचे ऑनलाइन निरीक्षण करणे आणि समान चित्र पाहण्यास सक्षम असले पाहिजे. म्हणून, आमच्या प्लॅटफॉर्ममध्ये आम्ही सानुकूल करण्यायोग्य डॅशबोर्डच्या स्वरूपात डायनॅमिक अहवाल वापरतो.

पायरी # 6: प्राधान्य द्या

येथे तुम्ही पुढील गोष्टी करू शकता:

1. सिस्टीमच्या सोनेरी प्रतिमा असलेले भांडार तयार करणे. सोनेरी प्रतिमांसह कार्य करा, असुरक्षा तपासा आणि सतत आधारावर योग्य कॉन्फिगरेशन करा. हे एजंट्सच्या मदतीने केले जाऊ शकते जे स्वयंचलितपणे नवीन मालमत्तेच्या उदयाची तक्रार करतील आणि त्याच्या भेद्यतेबद्दल माहिती प्रदान करतील.

2. व्यवसायासाठी महत्त्वपूर्ण असलेल्या मालमत्तेवर लक्ष केंद्रित करा. जगात अशी एकही संस्था नाही जी एकाच वेळी असुरक्षा दूर करू शकेल. असुरक्षा दूर करण्याची प्रक्रिया लांब आणि त्रासदायक आहे.

3. आक्रमण पृष्ठभाग अरुंद करणे. अनावश्यक सॉफ्टवेअर आणि सेवांची तुमची पायाभूत सुविधा स्वच्छ करा, अनावश्यक पोर्ट बंद करा. आमच्याकडे अलीकडेच एका कंपनीत एक प्रकरण आहे ज्यामध्ये 40 हजार डिव्हाइसेसवर Mozilla ब्राउझरच्या जुन्या आवृत्तीशी संबंधित सुमारे 100 हजार भेद्यता आढळल्या. हे नंतर दिसून आले की, Mozilla ची ओळख अनेक वर्षांपूर्वी सोनेरी प्रतिमेमध्ये करण्यात आली होती, कोणीही त्याचा वापर करत नाही, परंतु ते मोठ्या प्रमाणात भेद्यतेचे स्त्रोत आहे. जेव्हा ब्राउझर संगणकावरून काढला गेला (तो काही सर्व्हरवर देखील होता), तेव्हा या हजारो असुरक्षा अदृश्य झाल्या.

4. धोक्याच्या बुद्धिमत्तेवर आधारित असुरक्षा रँक करा. असुरक्षिततेची केवळ गंभीरताच नाही तर सार्वजनिक शोषण, मालवेअर, पॅच किंवा असुरक्षिततेसह सिस्टममध्ये बाह्य प्रवेशाची उपस्थिती देखील विचारात घ्या. गंभीर व्यवसाय प्रणालींवर या असुरक्षिततेच्या प्रभावाचे मूल्यांकन करा: यामुळे डेटा गमावणे, सेवा नाकारणे इ.

पायरी #7: KPIs वर सहमत

स्कॅनिंगसाठी स्कॅन करू नका. आढळलेल्या असुरक्षांबद्दल काहीही न झाल्यास, हे स्कॅनिंग निरुपयोगी ऑपरेशनमध्ये बदलते. असुरक्षिततेसह कार्य करणे ही औपचारिकता होण्यापासून रोखण्यासाठी, आपण त्याचे परिणाम कसे मूल्यांकन कराल याचा विचार करा. माहिती सुरक्षा आणि आयटीने असुरक्षा दूर करण्याचे काम कसे संरचित केले जाईल, किती वेळा स्कॅन केले जातील, पॅचेस स्थापित केले जातील इत्यादींवर सहमत असणे आवश्यक आहे.
स्लाईडवर तुम्ही संभाव्य KPI ची उदाहरणे पहा. आम्ही आमच्या ग्राहकांना शिफारस केलेली एक विस्तारित यादी देखील आहे. तुम्हाला स्वारस्य असल्यास, कृपया माझ्याशी संपर्क साधा, मी ही माहिती तुमच्यासोबत शेअर करेन.

पायरी #8: स्वयंचलित

पुन्हा स्कॅनिंगकडे परत. Qualys येथे, आमचा विश्वास आहे की स्कॅनिंग ही सर्वात महत्वाची गोष्ट नाही जी आज भेद्यता व्यवस्थापन प्रक्रियेत घडू शकते आणि सर्व प्रथम ती शक्य तितकी स्वयंचलित करणे आवश्यक आहे जेणेकरून ते माहिती सुरक्षा तज्ञाच्या सहभागाशिवाय केले जाईल. आज अशी अनेक साधने आहेत जी आपल्याला हे करण्याची परवानगी देतात. त्यांच्याकडे ओपन एपीआय आणि आवश्यक कनेक्टर असणे पुरेसे आहे.

मला देवऑप्सचे उदाहरण द्यायचे आहे. तुम्ही तेथे असुरक्षा स्कॅनर लागू केल्यास, तुम्ही DevOps बद्दल विसरू शकता. जुन्या तंत्रज्ञानासह, जे एक क्लासिक स्कॅनर आहे, तुम्हाला या प्रक्रियेत परवानगी दिली जाणार नाही. विकसक तुमची स्कॅन करण्याची आणि त्यांना एक बहु-पृष्ठ, गैरसोयीचा अहवाल देण्याची प्रतीक्षा करणार नाहीत. विकासक अपेक्षा करतात की असुरक्षांबद्दलची माहिती त्यांच्या कोड असेंबली सिस्टममध्ये बग माहितीच्या स्वरूपात प्रविष्ट करेल. या प्रक्रियांमध्ये सुरक्षितता अखंडपणे तयार केली गेली पाहिजे आणि ती फक्त एक वैशिष्ट्य असावी जी तुमच्या डेव्हलपरद्वारे वापरलेल्या सिस्टमद्वारे आपोआप कॉल केली जाते.

पायरी #9: आवश्यक गोष्टींवर लक्ष केंद्रित करा

तुमच्या कंपनीला वास्तविक मूल्य काय आणते यावर लक्ष केंद्रित करा. स्कॅन स्वयंचलित असू शकतात, अहवाल देखील स्वयंचलितपणे पाठवले जाऊ शकतात.
त्या गुंतलेल्या प्रत्येकासाठी अधिक लवचिक आणि सोयीस्कर बनवण्यासाठी प्रक्रिया सुधारण्यावर लक्ष केंद्रित करा. तुमच्या प्रतिपक्षांसोबत सर्व करारांमध्ये सुरक्षितता अंतर्भूत आहे याची खात्री करण्यावर लक्ष केंद्रित करा, जे, उदाहरणार्थ, तुमच्यासाठी वेब अनुप्रयोग विकसित करतात.

तुमच्या कंपनीमध्ये भेद्यता व्यवस्थापन प्रक्रिया कशी तयार करावी याबद्दल तुम्हाला अधिक तपशीलवार माहिती हवी असल्यास, कृपया माझ्याशी आणि माझ्या सहकाऱ्यांशी संपर्क साधा. मला मदत करण्यात आनंद होईल.

स्त्रोत: www.habr.com