మాకు జూలై 4 పెద్దది . ఈ రోజు మనం క్వాలిస్ నుండి ఆండ్రీ నోవికోవ్ ప్రసంగం యొక్క ట్రాన్స్క్రిప్ట్ను ప్రచురిస్తున్నాము. వల్నరబిలిటీ మేనేజ్‌మెంట్ వర్క్‌ఫ్లోను నిర్మించడానికి మీరు ఏ దశలను అనుసరించాలో అతను మీకు తెలియజేస్తాడు. స్పాయిలర్: మేము స్కాన్ చేయడానికి ముందు మాత్రమే సగం పాయింట్‌కి చేరుకుంటాము.
దశ #1: మీ దుర్బలత్వ నిర్వహణ ప్రక్రియల మెచ్యూరిటీ స్థాయిని నిర్ణయించండి
ప్రారంభంలోనే, మీ సంస్థ దాని దుర్బలత్వ నిర్వహణ ప్రక్రియల పరిపక్వత పరంగా ఏ దశలో ఉందో మీరు అర్థం చేసుకోవాలి. దీని తర్వాత మాత్రమే మీరు ఎక్కడికి తరలించాలో మరియు ఏ చర్యలు తీసుకోవాలో అర్థం చేసుకోగలరు. స్కాన్‌లు మరియు ఇతర కార్యకలాపాలను ప్రారంభించే ముందు, మీ ప్రస్తుత ప్రక్రియలు IT మరియు సమాచార భద్రతా దృక్కోణం నుండి ఎలా నిర్మితమయ్యాయో అర్థం చేసుకోవడానికి సంస్థలు కొన్ని అంతర్గత పనిని చేయాలి.
ప్రాథమిక ప్రశ్నలకు సమాధానమివ్వడానికి ప్రయత్నించండి:
- మీరు ఇన్వెంటరీ మరియు ఆస్తి వర్గీకరణ కోసం ప్రక్రియలను కలిగి ఉన్నారా;
- IT ఇన్‌ఫ్రాస్ట్రక్చర్ ఎంత క్రమం తప్పకుండా స్కాన్ చేయబడుతుంది మరియు మొత్తం అవస్థాపన కవర్ చేయబడిందా, మీరు మొత్తం చిత్రాన్ని చూస్తున్నారా;
- మీ IT వనరులు పర్యవేక్షించబడుతున్నాయా?
- మీ ప్రాసెస్‌లలో ఏవైనా KPIలు అమలు చేయబడి ఉన్నాయా మరియు అవి నెరవేరుతున్నాయని మీరు ఎలా అర్థం చేసుకున్నారు;
- ఈ ప్రక్రియలన్నీ డాక్యుమెంట్ చేయబడి ఉన్నాయా?
దశ #2: పూర్తి అవస్థాపన కవరేజీని నిర్ధారించుకోండి
మీకు తెలియని వాటిని మీరు రక్షించలేరు. మీ IT ఇన్‌ఫ్రాస్ట్రక్చర్ దేనితో రూపొందించబడిందనే దాని గురించి మీకు పూర్తి చిత్రం లేకపోతే, మీరు దానిని రక్షించలేరు. ఆధునిక మౌలిక సదుపాయాలు సంక్లిష్టంగా ఉంటాయి మరియు పరిమాణాత్మకంగా మరియు గుణాత్మకంగా నిరంతరం మారుతూ ఉంటాయి.
ఇప్పుడు IT మౌలిక సదుపాయాలు క్లాసిక్ టెక్నాలజీల (వర్క్‌స్టేషన్‌లు, సర్వర్లు, వర్చువల్ మెషీన్‌లు) స్టాక్‌పై మాత్రమే కాకుండా, సాపేక్షంగా కొత్త వాటిపై కూడా ఆధారపడి ఉంటాయి - కంటైనర్లు, మైక్రోసర్వీస్‌లు. ప్రధానంగా స్కానర్‌లను కలిగి ఉన్న ఇప్పటికే ఉన్న టూల్ సెట్‌లను ఉపయోగించి వారితో పని చేయడం చాలా కష్టం కాబట్టి, సమాచార భద్రతా సేవ అన్ని విధాలుగా తరువాతి నుండి దూరంగా నడుస్తోంది. సమస్య ఏమిటంటే ఏదైనా స్కానర్ మొత్తం మౌలిక సదుపాయాలను కవర్ చేయదు. అవస్థాపనలో ఏదైనా నోడ్‌కి స్కానర్ చేరుకోవడానికి, అనేక అంశాలు తప్పనిసరిగా ఏకకాలంలో ఉండాలి. స్కానింగ్ సమయంలో ఆస్తి తప్పనిసరిగా సంస్థ చుట్టుకొలతలో ఉండాలి. పూర్తి సమాచారాన్ని సేకరించేందుకు స్కానర్ తప్పనిసరిగా ఆస్తులు మరియు వాటి ఖాతాలకు నెట్‌వర్క్ యాక్సెస్ కలిగి ఉండాలి.
మా గణాంకాల ప్రకారం, మధ్యస్థ లేదా పెద్ద సంస్థల విషయానికి వస్తే, సుమారుగా 15-20% మౌలిక సదుపాయాలు ఒక కారణం లేదా మరొక కారణంగా స్కానర్ ద్వారా సంగ్రహించబడవు: ఆస్తి చుట్టుకొలత దాటి తరలించబడింది లేదా కార్యాలయంలో ఎప్పుడూ కనిపించదు. ఉదాహరణకు, రిమోట్‌గా పని చేసే ఉద్యోగి యొక్క ల్యాప్‌టాప్, కానీ ఇప్పటికీ కార్పొరేట్ నెట్‌వర్క్‌కు యాక్సెస్ కలిగి ఉంది లేదా అసెట్ అమెజాన్ వంటి బాహ్య క్లౌడ్ సేవల్లో ఉంది. మరియు స్కానర్, చాలా మటుకు, ఈ ఆస్తుల గురించి ఏమీ తెలియదు, ఎందుకంటే అవి దాని విజిబిలిటీ జోన్ వెలుపల ఉన్నాయి.
మొత్తం ఇన్‌ఫ్రాస్ట్రక్చర్‌ను కవర్ చేయడానికి, మీరు స్కానర్‌లను మాత్రమే కాకుండా, మీ ఇన్‌ఫ్రాస్ట్రక్చర్‌లోని కొత్త పరికరాలను గుర్తించడానికి నిష్క్రియ ట్రాఫిక్ లిజనింగ్ టెక్నాలజీలతో సహా మొత్తం సెన్సార్‌లను ఉపయోగించాలి, సమాచారాన్ని స్వీకరించడానికి ఏజెంట్ డేటా సేకరణ పద్ధతి - డేటాను ఆన్‌లైన్‌లో స్వీకరించడానికి మిమ్మల్ని అనుమతిస్తుంది. ఆధారాలను హైలైట్ చేయకుండా స్కానింగ్ అవసరం.
దశ #3: ఆస్తులను వర్గీకరించండి
అన్ని ఆస్తులు సమానంగా సృష్టించబడవు. ఏ ఆస్తులు ముఖ్యమైనవి మరియు ఏది కాదో నిర్ణయించడం మీ పని. స్కానర్ వంటి ఏ సాధనం మీ కోసం దీన్ని చేయదు. ఆదర్శవంతంగా, వ్యాపార-క్లిష్టమైన వ్యవస్థలను గుర్తించడానికి మౌలిక సదుపాయాలను విశ్లేషించడానికి సమాచార భద్రత, IT మరియు వ్యాపారం కలిసి పని చేస్తాయి. వారి కోసం, వారు లభ్యత, సమగ్రత, గోప్యత, RTO/RPO మొదలైన వాటి కోసం ఆమోదయోగ్యమైన కొలమానాలను నిర్ణయిస్తారు.
ఇది మీ దుర్బలత్వ నిర్వహణ ప్రక్రియకు ప్రాధాన్యతనివ్వడంలో మీకు సహాయం చేస్తుంది. మీ నిపుణులు దుర్బలత్వాలపై డేటాను స్వీకరించినప్పుడు, అది మొత్తం ఇన్‌ఫ్రాస్ట్రక్చర్‌లో వేలాది దుర్బలత్వాలతో కూడిన షీట్‌గా ఉండదు, కానీ సిస్టమ్‌ల యొక్క క్లిష్టతను పరిగణనలోకి తీసుకునే గ్రాన్యులర్ సమాచారం.
దశ #4: మౌలిక సదుపాయాల అంచనాను నిర్వహించండి
మరియు నాల్గవ దశలో మాత్రమే మేము దుర్బలత్వాల కోణం నుండి మౌలిక సదుపాయాలను అంచనా వేయడానికి వస్తాము. ఈ దశలో, మీరు సాఫ్ట్‌వేర్ దుర్బలత్వాలపై మాత్రమే కాకుండా, కాన్ఫిగరేషన్ లోపాలపై కూడా శ్రద్ధ వహించాలని మేము సిఫార్సు చేస్తున్నాము, ఇది కూడా హాని కావచ్చు. ఇక్కడ మేము సమాచారాన్ని సేకరించే ఏజెంట్ పద్ధతిని సిఫార్సు చేస్తున్నాము. చుట్టుకొలత భద్రతను అంచనా వేయడానికి స్కానర్‌లను ఉపయోగించవచ్చు మరియు ఉపయోగించాలి. మీరు క్లౌడ్ ప్రొవైడర్ల వనరులను ఉపయోగిస్తే, మీరు అక్కడ నుండి ఆస్తులు మరియు కాన్ఫిగరేషన్‌లపై సమాచారాన్ని కూడా సేకరించాలి. డాకర్ కంటైనర్‌లను ఉపయోగించి ఇన్‌ఫ్రాస్ట్రక్చర్‌లలోని దుర్బలత్వాలను విశ్లేషించడంపై ప్రత్యేక శ్రద్ధ వహించండి.
దశ #5: రిపోర్టింగ్‌ని సెటప్ చేయండి
దుర్బలత్వ నిర్వహణ ప్రక్రియలోని ముఖ్యమైన అంశాలలో ఇది ఒకటి.
మొదటి అంశం: దుర్బలత్వాల యాదృచ్ఛిక జాబితా మరియు వాటిని ఎలా తొలగించాలనే వివరణలతో బహుళ-పేజీ నివేదికలతో ఎవరూ పని చేయరు. అన్నింటిలో మొదటిది, మీరు సహోద్యోగులతో కమ్యూనికేట్ చేయాలి మరియు నివేదికలో ఏమి ఉండాలి మరియు డేటాను స్వీకరించడానికి వారికి మరింత సౌకర్యవంతంగా ఎలా ఉంటుందో తెలుసుకోవాలి. ఉదాహరణకు, కొంతమంది నిర్వాహకులకు దుర్బలత్వం గురించి వివరణాత్మక వివరణ అవసరం లేదు మరియు ప్యాచ్ గురించి సమాచారం మరియు దానికి లింక్ మాత్రమే అవసరం. మరొక నిపుణుడు నెట్‌వర్క్ ఇన్‌ఫ్రాస్ట్రక్చర్‌లో కనిపించే దుర్బలత్వాల గురించి మాత్రమే శ్రద్ధ వహిస్తాడు.
రెండవ అంశం: రిపోర్టింగ్ అంటే పేపర్ రిపోర్టులు మాత్రమే కాదు. సమాచారాన్ని పొందడం మరియు స్థిరమైన కథనం కోసం ఇది పాత ఫార్మాట్. ఒక వ్యక్తి నివేదికను స్వీకరిస్తాడు మరియు ఈ నివేదికలో డేటా ఎలా ప్రదర్శించబడుతుందో ఏ విధంగానూ ప్రభావితం చేయలేరు. కావలసిన రూపంలో నివేదికను పొందడానికి, IT నిపుణుడు తప్పనిసరిగా సమాచార భద్రతా నిపుణుడిని సంప్రదించి, నివేదికను పునర్నిర్మించమని అడగాలి. కాలం గడిచేకొద్దీ, కొత్త బలహీనతలు కనిపిస్తాయి. డిపార్ట్‌మెంట్ నుండి డిపార్ట్‌మెంట్‌కు నివేదికలను నెట్టడానికి బదులుగా, రెండు విభాగాలలోని నిపుణులు డేటాను ఆన్‌లైన్‌లో పర్యవేక్షించగలరు మరియు అదే చిత్రాన్ని చూడగలరు. కాబట్టి, మా ప్లాట్‌ఫారమ్‌లో మేము అనుకూలీకరించదగిన డాష్‌బోర్డ్‌ల రూపంలో డైనమిక్ నివేదికలను ఉపయోగిస్తాము.
దశ #6: ప్రాధాన్యత ఇవ్వండి
ఇక్కడ మీరు ఈ క్రింది వాటిని చేయవచ్చు:
1. సిస్టమ్స్ గోల్డెన్ ఇమేజ్‌లతో రిపోజిటరీని సృష్టించడం. బంగారు చిత్రాలతో పని చేయండి, దుర్బలత్వాల కోసం వాటిని తనిఖీ చేయండి మరియు కొనసాగుతున్న ప్రాతిపదికన సరైన కాన్ఫిగరేషన్ చేయండి. కొత్త ఆస్తి యొక్క ఆవిర్భావాన్ని స్వయంచాలకంగా నివేదించే మరియు దాని దుర్బలత్వాల గురించి సమాచారాన్ని అందించే ఏజెంట్ల సహాయంతో ఇది చేయవచ్చు.
2. వ్యాపారానికి కీలకమైన ఆస్తులపై దృష్టి పెట్టండి. ఒక్కసారిగా దుర్బలత్వాన్ని తొలగించగల ఏ ఒక్క సంస్థ కూడా ప్రపంచంలో లేదు. దుర్బలత్వాలను తొలగించే ప్రక్రియ సుదీర్ఘమైనది మరియు దుర్భరమైనది కూడా.
3. దాడి ఉపరితలాన్ని తగ్గించడం. అనవసరమైన సాఫ్ట్‌వేర్ మరియు సేవల నుండి మీ అవస్థాపనను శుభ్రపరచండి, అనవసరమైన పోర్ట్‌లను మూసివేయండి. మేము ఇటీవల ఒక కంపెనీతో ఒక కేసును కలిగి ఉన్నాము, దీనిలో 40 వేల పరికరాల్లో మొజిల్లా బ్రౌజర్ యొక్క పాత సంస్కరణకు సంబంధించిన సుమారు 100 వేల దుర్బలత్వాలు కనుగొనబడ్డాయి. ఇది తరువాత తేలింది, మొజిల్లా చాలా సంవత్సరాల క్రితం గోల్డెన్ ఇమేజ్‌లోకి ప్రవేశపెట్టబడింది, ఎవరూ దానిని ఉపయోగించరు, కానీ ఇది పెద్ద సంఖ్యలో దుర్బలత్వాలకు మూలం. కంప్యూటర్‌ల నుండి బ్రౌజర్ తీసివేయబడినప్పుడు (ఇది కొన్ని సర్వర్‌లలో కూడా ఉంది), ఈ పదివేల దుర్బలత్వాలు అదృశ్యమయ్యాయి.
4. ముప్పు తెలివితేటల ఆధారంగా బలహీనతలను ర్యాంక్ చేయండి. దుర్బలత్వం యొక్క క్లిష్టతను మాత్రమే కాకుండా, పబ్లిక్ దోపిడీ, మాల్వేర్, ప్యాచ్ లేదా హానితో కూడిన సిస్టమ్‌కి బాహ్య యాక్సెస్ ఉనికిని కూడా పరిగణించండి. క్లిష్టమైన వ్యాపార వ్యవస్థలపై ఈ దుర్బలత్వం యొక్క ప్రభావాన్ని అంచనా వేయండి: ఇది డేటా నష్టం, సేవ యొక్క తిరస్కరణ మొదలైన వాటికి దారి తీయవచ్చు.
దశ #7: KPIలపై అంగీకరిస్తున్నారు
స్కానింగ్ కోసం స్కాన్ చేయవద్దు. కనుగొనబడిన దుర్బలత్వాలకు ఏమీ జరగకపోతే, ఈ స్కానింగ్ పనికిరాని ఆపరేషన్‌గా మారుతుంది. దుర్బలత్వాలతో పని చేయడం లాంఛనప్రాయంగా మారకుండా నిరోధించడానికి, మీరు దాని ఫలితాలను ఎలా మూల్యాంకనం చేస్తారో ఆలోచించండి. దుర్బలత్వాలను తొలగించే పని ఎలా నిర్మితమవుతుంది, ఎంత తరచుగా స్కాన్‌లు నిర్వహించబడతాయి, ప్యాచ్‌లు ఇన్‌స్టాల్ చేయబడతాయి మొదలైన వాటిపై సమాచార భద్రత మరియు IT తప్పనిసరిగా అంగీకరించాలి.
స్లయిడ్‌లో మీరు సాధ్యమయ్యే KPIల ఉదాహరణలను చూస్తారు. మేము మా క్లయింట్‌లకు సిఫార్సు చేసే విస్తారిత జాబితా కూడా ఉంది. మీకు ఆసక్తి ఉంటే, దయచేసి నన్ను సంప్రదించండి, నేను ఈ సమాచారాన్ని మీతో పంచుకుంటాను.
దశ #8: ఆటోమేట్
మళ్లీ స్కానింగ్‌కి తిరిగి వెళ్లండి. క్వాలిస్‌లో, ఈ రోజు వల్నరబిలిటీ మేనేజ్‌మెంట్ ప్రక్రియలో స్కానింగ్ అనేది అత్యంత అప్రధానమైన విషయం అని మేము విశ్వసిస్తున్నాము మరియు అన్నింటికంటే ముందుగా ఇది సమాచార భద్రతా నిపుణుడి భాగస్వామ్యం లేకుండా నిర్వహించబడేలా సాధ్యమైనంత ఎక్కువ ఆటోమేట్ చేయబడాలి. నేడు దీన్ని చేయడానికి మిమ్మల్ని అనుమతించే అనేక సాధనాలు ఉన్నాయి. వారు ఓపెన్ API మరియు అవసరమైన సంఖ్యలో కనెక్టర్లను కలిగి ఉంటే సరిపోతుంది.
నేను ఇవ్వాలనుకుంటున్న ఉదాహరణ DevOps. మీరు అక్కడ దుర్బలత్వ స్కానర్‌ని అమలు చేస్తే, మీరు కేవలం DevOps గురించి మరచిపోవచ్చు. క్లాసిక్ స్కానర్ అయిన పాత సాంకేతికతలతో, మీరు ఈ ప్రక్రియల్లోకి అనుమతించబడరు. డెవలపర్‌లు మీరు స్కాన్ చేసి, వారికి బహుళ పేజీ, అసౌకర్య నివేదికను అందించడానికి వేచి ఉండరు. దుర్బలత్వాల గురించిన సమాచారం బగ్ సమాచారం రూపంలో వారి కోడ్ అసెంబ్లీ సిస్టమ్‌లలోకి ప్రవేశిస్తుందని డెవలపర్‌లు భావిస్తున్నారు. ఈ ప్రక్రియలలో భద్రత సజావుగా నిర్మించబడాలి మరియు ఇది మీ డెవలపర్‌లు ఉపయోగించే సిస్టమ్ ద్వారా స్వయంచాలకంగా పిలువబడే లక్షణం అయి ఉండాలి.
దశ #9: ఎసెన్షియల్స్‌పై దృష్టి పెట్టండి
మీ కంపెనీకి నిజమైన విలువను తెచ్చే వాటిపై దృష్టి పెట్టండి. స్కాన్‌లు స్వయంచాలకంగా ఉండవచ్చు, నివేదికలు కూడా స్వయంచాలకంగా పంపబడతాయి.
ప్రమేయం ఉన్న ప్రతి ఒక్కరికీ మరింత సౌకర్యవంతమైన మరియు సౌకర్యవంతంగా ఉండేలా ప్రక్రియలను మెరుగుపరచడంపై దృష్టి పెట్టండి. ఉదాహరణకు, మీ కోసం వెబ్ అప్లికేషన్‌లను డెవలప్ చేసే మీ కౌంటర్‌పార్టీలతో ఉన్న అన్ని ఒప్పందాల్లో భద్రత ఉండేలా చూసుకోవడంపై దృష్టి పెట్టండి.
మీ కంపెనీలో దుర్బలత్వ నిర్వహణ ప్రక్రియను ఎలా నిర్మించాలనే దానిపై మీకు మరింత వివరణాత్మక సమాచారం అవసరమైతే, దయచేసి నన్ను మరియు నా సహోద్యోగులను సంప్రదించండి. నేను సహాయం చేయడానికి సంతోషిస్తాను.
మూలం: www.habr.com