Не скенирајте сами или Како изградити процес управљања рањивостима у 9 корака

Имали смо велики 4. јул радионица управљања рањивостима. Данас објављујемо транскрипт говора Андреја Новикова из Куалиса. Он ће вам рећи кроз које кораке морате да прођете да бисте изградили ток посла за управљање рањивостима. Спојлер: доћи ћемо само до половине пре скенирања.

Корак #1: Одредите ниво зрелости ваших процеса управљања рањивостима

На самом почетку морате разумети у којој је фази ваша организација у смислу зрелости процеса управљања рањивостима. Тек након тога ћете моћи да разумете где да се крећете и које кораке треба предузети. Пре него што се упусте у скенирање и друге активности, организације треба да ураде неки интерни посао да би разумеле како су ваши тренутни процеси структурисани из перспективе ИТ и информационе безбедности.

Покушајте да одговорите на основна питања:

• Да ли имате процесе за залихе и класификацију имовине; 
• Колико редовно се скенира ИТ инфраструктура и да ли је цела инфраструктура покривена, видите ли целу слику;
• Да ли се ваши ИТ ресурси прате?
• Да ли су неки КПИ имплементирани у ваше процесе и како разумете да се они испуњавају;
• Да ли су сви ови процеси документовани?

Корак #2: Осигурајте потпуну покривеност инфраструктуре

Не можете заштитити оно о чему не знате. Ако немате потпуну слику о томе од чега је направљена ваша ИТ инфраструктура, нећете моћи да је заштитите. Савремена инфраструктура је сложена и стално се квантитативно и квалитативно мења.
Сада се ИТ инфраструктура заснива не само на низу класичних технологија (радне станице, сервери, виртуелне машине), већ и на релативно новим – контејнерима, микросервисима. Служба за безбедност информација бежи од ових последњих на сваки могући начин, јер јој је веома тешко да ради са њима користећи постојеће сетове алата, који се углавном састоје од скенера. Проблем је што ниједан скенер не може да покрије целу инфраструктуру. Да би скенер стигао до било ког чвора у инфраструктури, неколико фактора мора да се поклопи. Имовина мора бити унутар периметра организације у време скенирања. Скенер мора имати приступ мрежи средствима и њиховим налозима да би прикупио потпуне информације.

Према нашој статистици, када је реч о средњим или великим организацијама, око 15–20% инфраструктуре није обухваћено скенером из овог или оног разлога: средство се померило изван периметра или се уопште не појављује у канцеларији. На пример, лаптоп запосленог који ради на даљину, али и даље има приступ корпоративној мрежи, или се средство налази у екстерним услугама у облаку као што је Амазон. А скенер, највероватније, неће знати ништа о овим средствима, јер су изван његовог опсега видљивости.

Да бисте покрили читаву инфраструктуру, потребно је да користите не само скенере, већ и читав скуп сензора, укључујући технологије пасивног слушања саобраћаја за откривање нових уређаја у вашој инфраструктури, метод прикупљања података агента за примање информација – омогућава вам да примате податке онлајн, без потреба за скенирањем, без истицања акредитива.

Корак #3: Категоризирајте имовину

Нису сва средства створена једнака. Ваш је посао да одредите која су средства важна, а која нису. Ниједан алат, попут скенера, неће то учинити за вас. У идеалном случају, информациона безбедност, ИТ и пословање раде заједно како би анализирали инфраструктуру како би идентификовали системе од кључне важности за пословање. За њих одређују прихватљиве метрике за доступност, интегритет, поверљивост, РТО/РПО итд.

Ово ће вам помоћи да дате приоритет процесу управљања рањивостима. Када ваши стручњаци добију податке о рањивости, то неће бити лист са хиљадама рањивости у целој инфраструктури, већ детаљне информације узимајући у обзир критичност система.

Корак #4: Извршите процену инфраструктуре

И тек у четвртом кораку долазимо до процене инфраструктуре са становишта рањивости. У овој фази препоручујемо да обратите пажњу не само на софтверске рањивости, већ и на грешке у конфигурацији, које такође могу бити рањивост. Овде препоручујемо агентски метод прикупљања информација. Скенери могу и треба да се користе за процену безбедности периметра. Ако користите ресурсе провајдера у облаку, тада такође морате да прикупљате информације о средствима и конфигурацијама одатле. Обратите посебну пажњу на анализу рањивости у инфраструктури помоћу Доцкер контејнера.

Корак #5: Подесите извештавање

Ово је један од важних елемената у процесу управљања рањивостима.
Прва тачка: нико неће радити са извештајима на више страница са насумичном листом рањивости и описима како да их елиминише. Пре свега, потребно је да комуницирате са колегама и сазнате шта би требало да буде у извештају и како им је згодније да примају податке. На пример, неком администратору није потребан детаљан опис рањивости и само су му потребне информације о закрпи и линк до ње. Други специјалиста брине само о рањивости која се налази у мрежној инфраструктури.

Друга тачка: под извештавањем не мислим само на папирне извештаје. Ово је застарели формат за добијање информација и статична прича. Особа добија извештај и не може ни на који начин утицати на то како ће подаци бити представљени у овом извештају. Да би добио извештај у жељеној форми, ИТ стручњак мора да контактира стручњака за безбедност информација и замоли га да поново направи извештај. Како време пролази, појављују се нове рањивости. Уместо гурања извештаја од одељења до одељења, стручњаци у обе дисциплине би требало да буду у могућности да прате податке на мрежи и виде исту слику. Због тога у нашој платформи користимо динамичке извештаје у облику прилагодљивих контролних табли.

Корак #6: Одредите приоритете

Овде можете да урадите следеће:

1. Креирање спремишта са златним сликама система. Радите са златним сликама, проверавајте их на рањивости и исправљајте конфигурацију на сталној основи. То се може урадити уз помоћ агената који ће аутоматски пријавити појаву новог средства и пружити информације о његовим рањивостима.

2. Фокусирајте се на она средства која су критична за пословање. Не постоји ниједна организација на свету која може да елиминише рањивости у једном потезу. Процес елиминисања рањивости је дуг и чак досадан.

3. Сужавање површине напада. Очистите своју инфраструктуру од непотребног софтвера и услуга, затворите непотребне портове. Недавно смо имали случај са једном компанијом у којој је на 40 хиљада уређаја пронађено око 100 хиљада рањивости у вези са старом верзијом претраживача Мозила. Како се касније испоставило, Мозилла је уведена у златну слику пре много година, нико је не користи, али је извор великог броја рањивости. Када је претраживач уклоњен са рачунара (чак је био и на неким серверима), ове десетине хиљада рањивости су нестале.

4. рангирајте рањивости на основу обавештајних података о претњама. Узмите у обзир не само критичност рањивости, већ и присуство јавног експлоатације, малвера, закрпе или екстерног приступа систему са рањивости. Процените утицај ове рањивости на критичне пословне системе: да ли може довести до губитка података, ускраћивања услуге итд.

Корак #7: Договорите се о КПИ-овима

Немојте скенирати ради скенирања. Ако се ништа не догоди са пронађеним рањивостима, онда се ово скенирање претвара у бескорисну операцију. Да бисте спречили да рад са рањивостима постане формалност, размислите о томе како ћете проценити његове резултате. Информациона безбедност и ИТ морају да се договоре о томе како ће се структуирати рад на уклањању рањивости, колико често ће се вршити скенирања, инсталирати закрпе итд.
На слајду видите примере могућих КПИ-ја. Постоји и проширена листа коју препоручујемо нашим клијентима. Ако сте заинтересовани, контактирајте ме, поделићу ове информације са вама.

Корак #8: Аутоматизујте

Вратите се поново на скенирање. У Куалису сматрамо да је скенирање најневажнија ствар која се данас може десити у процесу управљања рањивостима и да га пре свега треба што више аутоматизовати како би се обављало без учешћа стручњака за безбедност информација. Данас постоји много алата који вам омогућавају да то урадите. Довољно је да имају отворен АПИ и потребан број конектора.

Пример који волим да дам је ДевОпс. Ако тамо имплементирате скенер рањивости, можете једноставно заборавити на ДевОпс. Са старим технологијама, што је класичан скенер, једноставно нећете бити пуштени у ове процесе. Програмери неће чекати да скенирате и дате им неприкладан извештај на више страница. Програмери очекују да ће информације о рањивости ући у њихове системе састављања кода у облику информација о грешкама. Безбедност би требало да буде неприметно уграђена у ове процесе и требало би да буде само функција коју аутоматски позива систем који користе ваши програмери.

Корак #9: Фокусирајте се на основне ствари

Фокусирајте се на оно што вашој компанији доноси стварну вредност. Скенирања могу бити аутоматска, извештаји се такође могу слати аутоматски.
Фокусирајте се на побољшање процеса како би били флексибилнији и погоднији за све укључене. Усредсредите се на то да сигурност буде уграђена у све уговоре са вашим партнерима, који, на пример, развијају веб апликације за вас.

Ако су вам потребне детаљније информације о томе како да изградите процес управљања рањивостима у вашој компанији, контактирајте мене и моје колеге. Биће ми драго да помогнем.

Извор: ввв.хабр.цом