एक्लै स्क्यान गर्दैन, वा 9 चरणहरूमा एक जोखिम व्यवस्थापन प्रक्रिया कसरी निर्माण गर्ने

हामीसँग जुलाईको 4 गते ठूलो थियो जोखिम व्यवस्थापन कार्यशाला। आज हामी Qualys बाट Andrey Novikov को भाषण को एक ट्रान्सक्रिप्ट प्रकाशित गर्दैछौं। उसले तपाईलाई भेद्यता व्यवस्थापन कार्यप्रवाह निर्माण गर्न कुन चरणहरू मार्फत जानु आवश्यक छ भनेर बताउनेछ। स्पोइलर: हामी स्क्यान गर्नु अघि आधा बाटो बिन्दुमा मात्र पुग्नेछौं।

चरण #1: तपाईंको जोखिम व्यवस्थापन प्रक्रियाहरूको परिपक्वता स्तर निर्धारण गर्नुहोस्

प्रारम्भमा, तपाईले बुझ्नु आवश्यक छ कि तपाईको संगठन यसको जोखिम व्यवस्थापन प्रक्रियाहरूको परिपक्वताको सन्दर्भमा कुन चरणमा छ। यसपछि मात्रै कहाँ सर्ने र के कदम चाल्नुपर्छ भन्ने कुरा बुझ्न सकिन्छ। स्क्यान र अन्य गतिविधिहरू सुरु गर्नु अघि, संगठनहरूले तपाइँको वर्तमान प्रक्रियाहरू कसरी IT र सूचना सुरक्षा परिप्रेक्ष्यबाट संरचित छन् भनेर बुझ्नको लागि केही आन्तरिक कार्यहरू गर्न आवश्यक छ।

आधारभूत प्रश्नहरूको जवाफ दिने प्रयास गर्नुहोस्:

• के तपाईंसँग सूची र सम्पत्ति वर्गीकरणका लागि प्रक्रियाहरू छन्; 
• कसरी नियमित रूपमा IT पूर्वाधार स्क्यान गरिन्छ र सम्पूर्ण पूर्वाधार कभर गरिएको छ, के तपाइँ सम्पूर्ण तस्वीर देख्नुहुन्छ;
• के तपाइँको आईटी स्रोतहरू निगरानी गरिन्छ?
• के तपाइँको प्रक्रियाहरूमा कुनै KPI हरू लागू गरिएको छ र तपाइँ कसरी बुझ्नुहुन्छ कि तिनीहरू भेटिन्छन्;
• के यी सबै प्रक्रियाहरू दस्तावेज छन्?

चरण #2: पूर्ण पूर्वाधार कवरेज सुनिश्चित गर्नुहोस्

तपाईलाई थाहा नभएको कुराको रक्षा गर्न सक्नुहुन्न। यदि तपाइँसँग तपाइँको IT पूर्वाधार के बनेको छ भन्ने पूर्ण तस्वीर छैन भने, तपाइँ यसलाई सुरक्षित गर्न सक्षम हुनुहुने छैन। आधुनिक पूर्वाधार जटिल छ र निरन्तर मात्रात्मक र गुणात्मक रूपमा परिवर्तन भइरहेको छ।
अब आईटी पूर्वाधार क्लासिक टेक्नोलोजीहरू (वर्कस्टेशनहरू, सर्भरहरू, भर्चुअल मेसिनहरू) को स्ट्याकमा मात्र होइन, तर अपेक्षाकृत नयाँहरू - कन्टेनरहरू, माइक्रोसर्भिसेसहरूमा पनि आधारित छ। सूचना सुरक्षा सेवा पछिल्लाबाट हरेक सम्भावित तरिकामा भागिरहेको छ, किनकि अवस्थित उपकरण सेटहरू प्रयोग गरेर तिनीहरूसँग काम गर्न धेरै गाह्रो छ, जसमा मुख्य रूपमा स्क्यानरहरू हुन्छन्। समस्या यो हो कि कुनै पनि स्क्यानरले सम्पूर्ण पूर्वाधार ढाक्न सक्दैन। पूर्वाधारमा कुनै पनि नोडमा पुग्न स्क्यानरको लागि, धेरै कारकहरू मिल्नुपर्छ। सम्पत्ति स्क्यानिङको समयमा संगठनको परिधि भित्र हुनुपर्छ। पूर्ण जानकारी सङ्कलन गर्न स्क्यानरसँग सम्पत्ति र तिनीहरूको खाताहरूमा नेटवर्क पहुँच हुनुपर्छ।

हाम्रो तथ्याङ्क अनुसार, जब यो मध्यम वा ठूला संगठनहरूमा आउँछ, लगभग 15-20% पूर्वाधार स्क्यानरद्वारा एक वा अर्को कारणले कब्जा गरिएको छैन: सम्पत्ति परिधिभन्दा बाहिर गएको छ वा कार्यालयमा कहिल्यै देखा पर्दैन। उदाहरणका लागि, टाढाबाट काम गर्ने तर अझै कर्पोरेट नेटवर्कमा पहुँच भएको कर्मचारीको ल्यापटप, वा सम्पत्ति Amazon जस्ता बाह्य क्लाउड सेवाहरूमा अवस्थित छ। र स्क्यानर, सम्भवतः, यी सम्पत्तिहरूको बारेमा केहि थाहा छैन, किनकि तिनीहरू यसको दृश्यता दायरा बाहिर छन्।

सम्पूर्ण पूर्वाधारलाई कभर गर्नको लागि, तपाईंले स्क्यानरहरू मात्र प्रयोग गर्न आवश्यक छैन, तर सेन्सरहरूको सम्पूर्ण सेट, तपाईंको पूर्वाधारमा नयाँ यन्त्रहरू पत्ता लगाउन निष्क्रिय ट्राफिक सुन्ने प्रविधिहरू सहित, जानकारी प्राप्त गर्न एजेन्ट डेटा सङ्कलन विधि - तपाईंलाई अनलाइन डाटा प्राप्त गर्न अनुमति दिन्छ। प्रमाणहरू हाइलाइट नगरी स्क्यानिङको आवश्यकता।

चरण #3: सम्पत्ति वर्गीकरण गर्नुहोस्

सबै सम्पत्तिहरू समान रूपमा सिर्जना गरिएका छैनन्। कुन सम्पत्ति महत्त्वपूर्ण छ र कुन होइन भनेर निर्धारण गर्ने काम तपाईंको हो। कुनै उपकरण, स्क्यानर जस्तै, यो तपाईंको लागि गर्नेछ। आदर्श रूपमा, सूचना सुरक्षा, IT र व्यवसायले व्यापार-महत्वपूर्ण प्रणालीहरू पहिचान गर्न पूर्वाधारको विश्लेषण गर्न सँगै काम गर्दछ। तिनीहरूका लागि, तिनीहरूले उपलब्धता, अखण्डता, गोपनीयता, RTO/RPO, इत्यादिको लागि स्वीकार्य मेट्रिकहरू निर्धारण गर्छन्।

यसले तपाईंलाई तपाईंको जोखिम व्यवस्थापन प्रक्रियालाई प्राथमिकता दिन मद्दत गर्नेछ। जब तपाईंका विशेषज्ञहरूले कमजोरीहरूमा डेटा प्राप्त गर्छन्, यो सम्पूर्ण पूर्वाधारमा हजारौं जोखिमहरू भएको पाना हुनेछैन, तर प्रणालीहरूको आलोचनात्मकतालाई ध्यानमा राखेर विस्तृत जानकारी हुनेछ।

चरण #4: एक पूर्वाधार मूल्याङ्कन सञ्चालन गर्नुहोस्

र चौथो चरणमा मात्र हामी कमजोरीहरूको दृष्टिकोणबाट पूर्वाधारको मूल्याङ्कन गर्न आउँछौं। यस चरणमा, हामी तपाईंलाई सफ्टवेयर कमजोरीहरूमा मात्र ध्यान नदिनुहोस्, तर कन्फिगरेसन त्रुटिहरूमा पनि ध्यान दिन सुझाव दिन्छौं, जुन एक जोखिम पनि हुन सक्छ। यहाँ हामी जानकारी सङ्कलन गर्ने एजेन्ट विधि सिफारिस गर्छौं। स्क्यानरहरू परिधि सुरक्षा मूल्याङ्कन गर्न प्रयोग गर्न सकिन्छ र प्रयोग गर्नुपर्छ। यदि तपाइँ क्लाउड प्रदायकहरूको स्रोतहरू प्रयोग गर्नुहुन्छ भने, तपाइँले त्यहाँबाट सम्पत्ति र कन्फिगरेसनहरूमा जानकारी सङ्कलन गर्न आवश्यक छ। डकर कन्टेनरहरू प्रयोग गरेर पूर्वाधारहरूमा कमजोरीहरूको विश्लेषण गर्न विशेष ध्यान दिनुहोस्।

चरण #5: रिपोर्टिङ सेट अप गर्नुहोस्

यो जोखिम व्यवस्थापन प्रक्रिया भित्र एक महत्वपूर्ण तत्व हो।
पहिलो बिन्दु: कसैले पनि बहु-पृष्ठ रिपोर्टहरूसँग कमजोरीहरूको अनियमित सूची र तिनीहरूलाई कसरी हटाउने वर्णनको साथ काम गर्दैन। सबैभन्दा पहिले, तपाईंले सहकर्मीहरूसँग कुराकानी गर्न आवश्यक छ र रिपोर्टमा के हुनुपर्छ र कसरी डेटा प्राप्त गर्न उनीहरूलाई अझ सुविधाजनक छ भनेर पत्ता लगाउन आवश्यक छ। उदाहरणका लागि, केही प्रशासकलाई जोखिमको विस्तृत विवरण आवश्यक पर्दैन र केवल प्याच र यसको लिङ्कको बारेमा जानकारी चाहिन्छ। अर्को विशेषज्ञले नेटवर्क पूर्वाधारमा पाइने कमजोरीहरूको मात्र ख्याल राख्छ।

दोस्रो बिन्दु: रिपोर्टिङले मेरो मतलब कागजी रिपोर्ट मात्र होइन। यो जानकारी र स्थिर कथा प्राप्त गर्न को लागी एक पुरानो ढाँचा हो। एक व्यक्तिले रिपोर्ट प्राप्त गर्दछ र कुनै पनि हिसाबले यस रिपोर्टमा डेटा कसरी प्रस्तुत गरिनेछ भनेर प्रभाव पार्न सक्दैन। वांछित फारममा रिपोर्ट प्राप्त गर्न, IT विशेषज्ञले सूचना सुरक्षा विशेषज्ञलाई सम्पर्क गर्नुपर्छ र उहाँलाई रिपोर्ट पुन: निर्माण गर्न सोध्नु पर्छ। समय बित्दै जाँदा, नयाँ कमजोरीहरू देखा पर्छन्। विभागबाट विभागमा रिपोर्टहरू धकेल्नुको सट्टा, दुवै विषयहरूमा विशेषज्ञहरूले डाटा अनलाइन निगरानी गर्न र एउटै तस्वीर हेर्न सक्षम हुनुपर्छ। त्यसकारण, हाम्रो प्लेटफर्ममा हामी अनुकूलन योग्य ड्यासबोर्डहरूको रूपमा गतिशील रिपोर्टहरू प्रयोग गर्छौं।

चरण #6: प्राथमिकता दिनुहोस्

यहाँ तपाइँ निम्न गर्न सक्नुहुन्छ:

1. प्रणालीहरूको सुनौलो छविहरूको साथ भण्डार सिर्जना गर्दै। सुनौलो छविहरूसँग काम गर्नुहोस्, तिनीहरूलाई कमजोरीहरूको लागि जाँच गर्नुहोस् र निरन्तर आधारमा सही कन्फिगरेसन गर्नुहोस्। यो एजेन्टहरूको मद्दतले गर्न सकिन्छ जसले स्वचालित रूपमा नयाँ सम्पत्तिको उदयको रिपोर्ट गर्नेछ र यसको कमजोरीहरूको बारेमा जानकारी प्रदान गर्नेछ।

2. ती सम्पत्तिहरूमा फोकस गर्नुहोस् जुन व्यवसायको लागि महत्वपूर्ण छ। संसारमा कुनै पनि संस्था छैन जसले कमजोरीहरूलाई एकै चोटि हटाउन सक्छ। कमजोरीहरू हटाउने प्रक्रिया लामो र कष्टप्रद पनि छ।

3. आक्रमण सतह साँघुरो गर्दै। अनावश्यक सफ्टवेयर र सेवाहरूको पूर्वाधार सफा गर्नुहोस्, अनावश्यक पोर्टहरू बन्द गर्नुहोस्। हामीले भर्खरै एउटा कम्पनीसँग केस गरेका थियौं जसमा मोजिला ब्राउजरको पुरानो संस्करणसँग सम्बन्धित लगभग 40 हजार कमजोरीहरू 100 हजार उपकरणहरूमा फेला परेका थिए। यो पछि गएको रूपमा, मोजिला धेरै वर्ष पहिले सुनौलो छविमा पेश गरिएको थियो, कसैले यसलाई प्रयोग गर्दैन, तर यो ठूलो संख्यामा कमजोरीहरूको स्रोत हो। जब ब्राउजर कम्प्यूटरबाट हटाइयो (यो केहि सर्भरहरूमा पनि थियो), यी दशौं हजार कमजोरीहरू हराए।

4. खतरा खुफियामा आधारित भेद्यताहरूलाई श्रेणीबद्ध गर्नुहोस्। जोखिमको आलोचनात्मकतालाई मात्र विचार गर्नुहोस्, तर सार्वजनिक शोषण, मालवेयर, प्याच, वा जोखिमको साथ प्रणालीमा बाह्य पहुँचको उपस्थितिलाई पनि विचार गर्नुहोस्। महत्वपूर्ण व्यापार प्रणालीहरूमा यस जोखिमको प्रभावको मूल्याङ्कन गर्नुहोस्: यसले डेटा हानि, सेवा अस्वीकार, इत्यादि निम्त्याउन सक्छ।

चरण #7: KPI मा सहमत

स्क्यानिङको लागि स्क्यान नगर्नुहोस्। यदि भेट्टाइएका कमजोरीहरूमा केही भएन भने, यो स्क्यानिङ बेकार अपरेशनमा परिणत हुन्छ। कमजोरीहरूसँग कामलाई औपचारिकता बन्नबाट रोक्नको लागि, तपाईंले यसको नतिजा कसरी मूल्याङ्कन गर्नुहुन्छ भन्ने बारे सोच्नुहोस्। सूचना सुरक्षा र IT ले कमजोरीहरू हटाउने कार्यलाई कसरी संरचित गरिनेछ, कति पटक स्क्यानहरू गरिनेछ, प्याचहरू स्थापना गरिनेछ, आदिमा सहमत हुनुपर्छ।
स्लाइडमा तपाईले सम्भावित KPIs को उदाहरणहरू देख्नुहुन्छ। त्यहाँ एक विस्तारित सूची पनि छ जुन हामी हाम्रा ग्राहकहरूलाई सिफारिस गर्छौं। यदि तपाइँ इच्छुक हुनुहुन्छ भने, कृपया मलाई सम्पर्क गर्नुहोस्, म तपाइँसँग यो जानकारी साझा गर्नेछु।

चरण #8: स्वचालित

फेरि स्क्यानिङमा फर्कनुहोस्। Qualys मा, हामी विश्वास गर्छौं कि स्क्यानिङ सबैभन्दा महत्त्वपूर्ण कुरा हो जुन आजको जोखिम व्यवस्थापन प्रक्रियामा हुन सक्छ, र सबैभन्दा पहिले यसलाई सकेसम्म धेरै स्वचालित हुन आवश्यक छ ताकि यो सूचना सुरक्षा विशेषज्ञको सहभागिता बिना नै गरिन्छ। आज त्यहाँ धेरै उपकरणहरू छन् जसले तपाईंलाई यो गर्न अनुमति दिन्छ। यो पर्याप्त छ कि तिनीहरूसँग खुला API र जडानकर्ताहरूको आवश्यक संख्या छ।

मलाई दिन मन पर्ने उदाहरण DevOps हो। यदि तपाइँ त्यहाँ एक जोखिम स्क्यानर लागू गर्नुहुन्छ भने, तपाइँ केवल DevOps को बारे मा बिर्सन सक्नुहुन्छ। पुरानो प्रविधिहरूसँग, जुन एक क्लासिक स्क्यानर हो, तपाइँलाई यी प्रक्रियाहरूमा अनुमति दिइने छैन। विकासकर्ताहरूले तपाईंलाई स्क्यान गर्न र तिनीहरूलाई बहु-पृष्ठ, असुविधाजनक रिपोर्ट दिनको लागि पर्खने छैनन्। विकासकर्ताहरूले आशा गर्छन् कि कमजोरीहरूको बारेमा जानकारी बग जानकारीको रूपमा तिनीहरूको कोड असेंबली प्रणालीहरूमा प्रवेश गर्नेछ। सुरक्षा यी प्रक्रियाहरूमा निर्बाध रूपमा निर्मित हुनुपर्छ, र यो केवल एक सुविधा हुनुपर्छ जुन स्वचालित रूपमा तपाइँको विकासकर्ताहरूले प्रयोग गरेको प्रणाली द्वारा बोलाइन्छ।

चरण #9: आवश्यक कुराहरूमा फोकस गर्नुहोस्

तपाईंको कम्पनीमा वास्तविक मूल्य ल्याउँछ भन्ने कुरामा फोकस गर्नुहोस्। स्क्यान स्वचालित हुन सक्छ, रिपोर्टहरू पनि स्वचालित रूपमा पठाउन सकिन्छ।
प्रक्रियाहरूलाई थप लचिलो र संलग्न सबैका लागि सुविधाजनक बनाउन सुधार गर्नमा फोकस गर्नुहोस्। सुरक्षा सुनिश्चित गर्नमा फोकस गर्नुहोस् कि तपाइँको प्रतिपक्षहरु संग सबै सम्झौताहरु मा निर्मित छ, जसले, उदाहरण को लागी, तपाइँ को लागी वेब अनुप्रयोगहरु को विकास गर्दछ।

यदि तपाइँ तपाइँको कम्पनी मा एक जोखिम व्यवस्थापन प्रक्रिया कसरी निर्माण गर्ने बारे थप विस्तृत जानकारी चाहिन्छ भने, कृपया मलाई र मेरो सहकर्मीहरु लाई सम्पर्क गर्नुहोस्। म मद्दत गर्न खुसी हुनेछु।

स्रोत: www.habr.com