Den 4 juli höll vi ett stort . Idag publicerar vi en transkription av Andrei Novikovs presentation frÄn Qualys. Han kommer att berÀtta vilka steg som mÄste vidtas för att bygga en arbetsprocess för sÄrbarhetshantering. Spoiler: vi nÄr skanning först efter att ha kommit halvvÀgs.
Steg 1: BestÀm nivÄn pÄ mognad för sÄrbarhetshanteringsprocesserna
I början behöver man förstÄ vilken nivÄ er organisation befinner sig pÄ nÀr det gÀller mognad i sÄrbarhetshanteringsprocesserna. Endast efter detta kan ni förstÄ vilken vÀg ni ska ta och vilka steg som behöver vidtas. Innan ni ger er ut pÄ skanning och andra aktiviteter behöver organisationer göra ett internt arbete och förstÄ hur era nuvarande processer ser ut bÄde ur IT- och informationssÀkerhetssynpunkt.
Försök att svara pÄ grundlÀggande frÄgor:
- har ni processer för inventering och klassificering av tillgĂ„ngar;Â
- hur ofta skannas IT-infrastrukturen och tÀcker ni hela infrastrukturen, ser ni hela bilden;
- övervakas era IT-resurser;
- har ni implementerat nÄgra KPI:er i era processer och hur vet ni att de uppfylls;
- Àr alla dessa processer dokumenterade.
Steg 2: SÀkerstÀll fullstÀndig tÀckning av infrastrukturen
Ni kan inte skydda det ni inte kÀnner till. Om ni inte har en fullstÀndig bild av vad som utgör er IT-infrastruktur kommer ni inte att kunna skydda den. Modern infrastruktur Àr komplex och förÀndras stÀndigt bÄde kvantitativt och kvalitativt.
Nu bygger IT-infrastrukturen inte bara pĂ„ en klassisk teknologisk stack (arbetsstationer, servrar, virtuella maskiner), men ocksĂ„ pĂ„ relativt nya â containrar, mikrotjĂ€nster. InformationssĂ€kerhetstjĂ€nsten undviker dem sĂ„ mycket den kan, eftersom det Ă€r mycket svĂ„rt att arbeta med dem med hjĂ€lp av de befintliga verktygen, som mestadels bestĂ„r av skannrar. Problemet Ă€r att ingen skanner kan tĂ€cka hela infrastrukturen. För att en skanner ska kunna nĂ„ en nod i infrastrukturen mĂ„ste flera faktorer sammanfalla samtidigt. TillgĂ„ngen mĂ„ste befinna sig inom organisationens perimeter vid skanningstillfĂ€llet. Skannern mĂ„ste ha nĂ€tverksĂ„tkomst till tillgĂ„ngarna, deras konton, för att samla in fullstĂ€ndig information.
Enligt vĂ„r statistik, nĂ€r det gĂ€ller medelstora eller stora organisationer, fĂ„ngas cirka 15â20 % av infrastrukturen inte av skannern av olika skĂ€l: tillgĂ„ngen har lĂ€mnat perimetererna eller dyker överhuvudtaget aldrig upp pĂ„ kontoret. Till exempel en anstĂ€llds bĂ€rbara dator som arbetar pĂ„ distans, men som Ă€ndĂ„ har tillgĂ„ng till det företagsnĂ€tverket, eller sĂ„ finns tillgĂ„ngen pĂ„ externa molntjĂ€nster som Amazon. Och skannern kommer sannolikt inte att veta nĂ„got om dessa tillgĂ„ngar, eftersom de ligger utanför dess synfĂ€lt.
För att tĂ€cka hela infrastrukturen behöver man anvĂ€nda inte bara skannrar, utan en hel uppsĂ€ttning sensorer, inklusive teknologier för passiv trafikavlyssning för att upptĂ€cka nya enheter i din infrastruktur, agentbaserad datainsamlingsmetod för att fĂ„ information â vilket gör att man kan fĂ„ data online, utan att behöva skanna, utan att behöva ange inloggningsuppgifter.
Steg â 3: Utför kategorisering av tillgĂ„ngar
Inte alla tillgÄngar Àr lika vÀrdefulla. Att avgöra vilka tillgÄngar som Àr viktiga och vilka som inte Àr det Àr din uppgift. Ingen verktyg, samma skanner, kan göra det Ät dig. I bÀsta fall analyserar informationssÀkerhet, IT och verksamhet tillsammans infrastrukturen för att identifiera affÀrskritiska system. För dem definierar de acceptabla metrikar för tillgÀnglighet, integritet, konfidentialitet, RTO/RPO med mera.
Detta kommer att hjÀlpa till att bestÀmma prioriteter i sÄrbarhetshanteringsprocessen. NÀr era specialister fÄr information om sÄrbarheter kommer det inte vara en lista med tusentals sÄrbarheter över hela infrastrukturen, utan en granulerad information med hÀnsyn till systemens kritikalitet.
Steg â 4: Genomför en bedömning av infrastrukturen
Och först i det fjÀrde steget kommer vi till bedömningen av infrastrukturen utifrÄn sÄrbarheter. Vi rekommenderar att ni pÄ detta stadium uppmÀrksammar inte bara sÄrbarheterna i programvaran, utan Àven konfigurationsfel som ocksÄ kan utgöra sÄrbarheter. HÀr rekommenderar vi en agentbaserad metod för informationsinsamling. Scanners kan och bör anvÀndas för att bedöma sÀkerheten vid perimeterskydd. Om ni anvÀnder resurser frÄn molnleverantörer, behöver ni Àven samla in information om tillgÄngar och konfigurationer dÀrifrÄn. Ge sÀrskild uppmÀrksamhet Ät analysen av sÄrbarheter i infrastrukturer som anvÀnder Docker-containrar.
Steg â 5: StĂ€ll in rapporteringen
Detta Àr en av de viktiga delarna inom processen för sÄrbarhetshantering.
Första punkten: ingen kommer att arbeta med mÄngsidiga rapporter med ett oorganiserat list av sÄrbarheter och beskrivningar för ÄtgÀrder. Man mÄste först och frÀmst kommunicera med kollegor och ta reda pÄ vad som bör ingÄ i rapporten och hur de föredrar att ta emot data. Till exempel behöver en administratör inte en detaljerad beskrivning av en sÄrbarhet, utan endast information om patchen och en lÀnk till den. En annan specialist Àr intresserad av sÄrbarheterna som har hittats i nÀtverksinfrastrukturen.
Andra punkten: med rapportering menar jag inte bara pappersrapporter. Det Àr ett förÄldrat format för informationshÀmtning och en statisk historia. En person fÄr rapporten och kan inte pÄverka hur data presenteras i den. För att fÄ rapporten i önskat format mÄste IT-specialisten kontakta informationssÀkerhetsspecialisten och be honom omformatera rapporten. Tiden gÄr, nya sÄrbarheter dyker upp. IstÀllet för att överföra rapporter mellan avdelningar, bör specialister frÄn bÄda omrÄdena ha möjlighet att övervaka data online och se samma bild. DÀrför anvÀnder vi dynamiska rapporter i vÄr plattform i form av anpassningsbara instrumentpaneler.
Steg â 6: Prioritera
HÀr kan man göra följande:
1. Skapa ett repository med gyllene systembilder. Arbeta med gyllene bilder, kontrollera dem för sÄrbarheter och konfigurationens korrekthet kontinuerligt. Det kan göras med hjÀlp av agenter som automatiskt rapporterar om nya tillgÄngar och tillhandahÄller information om deras sÄrbarheter.
2. Fokusera pÄ de tillgÄngar som Àr kritiska för verksamheten. Det finns ingen organisation i vÀrlden som kan eliminera sÄrbarheter pÄ en gÄng. Processen för att ÄtgÀrda sÄrbarheter Àr lÄngvarig och till och med besvÀrlig.
3. Minska attackytan. Rensa din infrastruktur frÄn onödig mjukvara, stÀng av onödiga portar. Vi hade nyligen ett fall med ett företag dÀr cirka 100 000 sÄrbarheter relaterade till en gammal version av webblÀsaren Mozilla hittades pÄ 40 000 enheter. Som senare visade sig hade Mozilla implementerats i en guldbild för mÄnga Är sedan, ingen anvÀnder den, men den Àr en kÀlla till mÄnga sÄrbarheter. NÀr webblÀsaren togs bort frÄn datorerna (den befann sig Àven pÄ nÄgra servrar), försvann dessa tiotusentals sÄrbarheter.
4. Rangordna sÄrbarheterna utifrÄn hotdatabaser. TÀnk pÄ inte bara hur kritisk sÄrbarheten Àr, utan ocksÄ pÄ förekomsten av offentlig exploatering, skadlig kod, patchar, extern Ätkomst till systemet med sÄrbarheten. UtvÀrdera pÄverkan av denna sÄrbarhet pÄ kritiska affÀrssystem: kan den leda till dataloss, avbrott i servicen m.m.
Steg 7: Koordinera KPI:er
Skanna inte bara för att skanna. Om det inte görs nÄgot med de upptÀckta sÄrbarheterna blir skanningen en meningslös operation. För att arbetet med sÄrbarheter inte ska bli en formalitet, tÀnk pÄ hur ni kommer att utvÀrdera dess resultat. InformationssÀkerhet och IT mÄste enas om hur arbetet med att ÄtgÀrda sÄrbarheter ska genomföras, hur ofta skanningar, patchinstallationer osv. ska utföras.
I bilden ser du exempel pÄ möjliga KPI:er. Det finns ocksÄ en utökad lista som vi rekommenderar till vÄra kunder. Om det Àr av intresse, hör av dig sÄ delar jag gÀrna med mig av denna information.
Steg 8: Automatisera
Jag Äterkommer till skanningen. Vi pÄ Qualys anser att skanning Àr det minst viktiga som kan göras idag i hanteringen av sÄrbarheter, och att det i första hand bör automatiseras sÄ mycket som möjligt, sÄ att det kan utföras utan inblandning av en IT-sÀkerhetsspecialist. Idag finns det mÄnga verktyg som möjliggör detta. Det rÀcker med att de har ett öppet API och nödvÀndigt antal kopplingspunkter.
Ett exempel som jag gÀrna tar upp Àr DevOps. Om du ska implementera en sÄrbarhetsskanner dÀr, kan du helt och hÄllet glömma DevOps. Med gamla teknologier, som en klassisk skanner, kommer du helt enkelt inte att slÀppas in i dessa processer. Utvecklarna kommer inte att vÀnta pÄ att du skannar och ger dem en obekvÀm fler-sidig rapport. Utvecklarna förvÀntar sig att sÄrbarhetsinformation ska komma in som buggrapporter i deras kodbyggnadssystem. SÀkerhet mÄste sömlöst integreras i dessa processer och den mÄste vara en funktion som automatiskt anropas av systemet som anvÀnds av dina utvecklare.
Steg nr 9: Fokusera pÄ det viktigaste
Fokusera pÄ vad som verkligen gynnar ditt företag. Skanningar kan vara automatiska, rapporter kan ocksÄ skickas automatiskt.
Fokusera pÄ att förbÀttra processerna sÄ att de blir mer flexibla och anvÀndarvÀnliga för alla deltagare. Fokusera pÄ att sÀkerhet integreras i alla avtal med dina partner som, till exempel, utvecklar webbapplikationer Ät dig.
Om du behöver mer detaljerad information om hur man bygger en sÄrbarhetshanteringsprocess inom företaget, tveka inte att kontakta mig och mina kollegor. Jag hjÀlper gÀrna till.
KĂ€lla: habr.com
