أساسيات إدارة الضعف الأمني

إدارة الضعف الأمني هي مزيج من العمليات والمنتجات التي تهدف إلى الحفاظ على مخزون البنية التحتية الرقمية للمنظمة، والبحث عن الضعف فيها، والتصديق على الضعف المحدد. إنها ممارسة دورية ومقابل للعبارة الشهيرة في مجال تكنولوجيا المعلومات التي تقول “إذا لم يكن هناك مشكلة، فلا تصلحها”. هذا المبدأ ببساطة لا يعمل في أمان المؤسسات هذه الأيام. إذا لم يتم مراقبة الأصول الرقمية وتعزيزها بشكل مستمر، فإنها تصبح فاكهة سهلة المنال.

ماسح لا يكفي

على عكس أدوات فحص الضعف، فإن الهدف الرئيسي لإدارة الضعف الأمني هو تعزيز أمان البنية التحتية وتوفير استجابة طارئة لبعض التهديدات الخطرية. العثور على ثغرة في النظام هو نصف المعركة، ولكن يجب إصلاحها بحيث لا يمكن للمهاجمين استغلالها كنقطة دخول. أساليب تقييم الضعف وتحديد الأولويات للقضايا المكتشفة بناءً على بنية تحتية العملاء هي مهمة بنفس القدر من الأهمية. لا تقوم أدوات الفحص بذلك.

إدارة الضعف الأمني، في الأساس، هي إضافة إلى عملية الفحص التي تقييم وتحديد الأولويات والتصديق على الضعف المكتشف. تتغير احتياجات العملاء، بينما كان الهدف الرئيسي يتركز على اكتشاف الضعف، الآن هو أكثر حول كيفية معالجة المشكلة.

فيما يتعلق بنماذج الترخيص المستخدمة في أنظمة إدارة الضعف الأمني، فهي عادة ما تكون قائمة على عدد العناوين الرقمية المحمية. لا يهم أين تقع أو كم عدد التثبيتات التي يتطلبها العميل. تختلف تكلفة ماسح الضعف، من ناحية أخرى، على عدد التثبيتات ومتغيرات الفحص، مثل عدد المضيفين.

بالإضافة إلى ذلك، هناك أنواع مختلفة من التثبيتات، حيث يقدم بعض البائعين استخدامًا غير محدود لأنظمتهم. يمكن أن يتأثر سعر العلامة التجارية أيضًا بمجموعة الميزات، بعضها متاح كإضافات مدفوعة.

معايير اختيار نظام إدارة الضعف الأمني

تتضمن أكثر السمات أهمية حجم المنظمة، وعدد فروعها الموجودة في مناطق زمنية مختلفة، بالإضافة إلى تعميم المنتج، وهو القدرة على اكتشاف الضعف المحدد للمنطقة والصناعة.

هناك عامل مثير للاهتمام يتعلق بكيفية تفاوض قسم أمن المعلومات وفرق تكنولوجيا المعلومات على الميزات اللازمة لل حل. عادة ما يركز أخصائيي أمن المعلومات على اكتشاف الضعف، بينما تركز فرق تكنولوجيا المعلومات بشكل رئيسي على تطبيق التصحيحات. لذلك، سوف تحدد перекрытие هذه المنطقتين معايير النظام.

من الجيد أيضًا النظر إلى اكتمال وتواتر التحديثات، بالإضافة إلى أنظمة التشغيل التي يدعمها الماسح. يجب أن يتوافق نظام إدارة الضعف الأمني المثالي مع سياق الصناعة التي تمثلها المنظمة والتطبيقات التي تستخدمها حاليًا.

في مرحلة التوقيع على العقد، قد يؤكد البائع للعميل استعداده لإضافة منتجات وميزات جديدة في المستقبل. للأسف، لا يلتزم بعض الموردين دائمًا بهذه الالتزامات. لذلك، من الأفضل التركيز على الوظائف المتاحة لل حل.

ميزة مفيدة لأي نظام إدارة الضعف الأمني هي القدرة على تعزيز قاعدة بيانات الضعف الخاصة بك بمعلومات من مصادر خارجية. من الجيد أيضًا إذا كان الحل يمكنه تقديم مثال على استغلال يعتمد على ضعف معين.

يเผچ nhiều العملاء مع معضلة كلاسيكية: استخدام ماسح مجاني أو شراء حل تجاري من البداية. الحفاظ على قاعدة بيانات الضعف محدثة هو عملية متعبة ومكلفة. لذلك، في حالة المنتج المجاني، قد يضطر فريق التطوير إلى تحديد الأولويات لمناطق أخرى من نشاطهم في سبيل مصادر دخل بديلة، مما يفسر سبب وجود بعض القيود على هذه الماسحات.

أدوات تحت مظلة إدارة الضعف الأمني

يمكن أن يتضمن مجموعة الحلول اللازمة لتنظيم عملية إدارة الضعف الأمني داخل الشركة:

•       أدوات مختلفة لجمع المعلومات حول الضعف، مثل الماسحات وأدوات معالجة البيانات من مصادر خارجية ومستودعات المعلومات التي حصل عليها أخصائيي أمن المعلومات بشكل مستقل.
•       أدوات تحديد الأولويات للضعف التي تعرف درجات CVSS وتقييم قيمة الأصول التي قد تتأثر بالثغرة.
•       أدوات للتفاعل مع قواعد البيانات الخارجية.
•       أنظمة تعامل مع الضعف في سياق المنظمة وبنيتها التحتية والسطح الهجومي العالمي.

إدارة الأصول وتطبيق التصحيحات التلقائي

يجب أن يكون عملية إدارة الأصول بأعلى درجة من التلقائية، وتغطية البنية التحتية للمنظمة بالكامل، وتحدث بانتظام. لا يمكن تحديد الأولويات للضعف إلا إذا تمت هذه الشروط. كما لا يمكن السيطرة على البنية التحتية للمنظمة بدون معرفة دقيقة بما تتألف منه. لذلك، تعتبر إدارة الأصول جزءًا مهمًا من إدارة الضعف الأمني.

المطلب الأساسي لتطبيق التصحيحات التلقائي هو تعيين معرّف محدد لكل توقيع ضعف وضمان أن التحديث التالي يعالجها.这是 عملية متعددة التعقيدات مع العديد من الفخاخ. يمكن أن يكون لاستخدام تحديث واحد عواقب كارثية، لذلك يجب أن يكون تطبيق التصحيحات مدروسًا قدر الإمكان.

من المهم أيضًا ضبط التصحيحات التلقائية على منطقة تطبيق محددة. بالنسبة لمحطات العمل، يمكن تقييد التحديثات إلى نظام التشغيل والبرامج الأساسية مثل المتصفحات وتطبيقات المكتب. في حالة الخوادم، تكون الأمور أكثر تعقيدًا لأن هناك الكثير على المحك، ويمكن أن يؤثر تحديث معيب على توافر الموارد الحاسوبية الحيوية للأعمال.

عندما يتعلق الأمر بمراقبة البنية التحتية للمؤسسة، يفضل معظم الشركات الفحص على تثبيت الوكلاء على النقاط النهائية لأنهم غالبًا ما يصبحون نقاط دخول للمالوير. ومع ذلك، إذا لم يكن من الممكن الوصول إلى المضيف بوسيلة أخرى، يجب استخدام تطبيقات جمع البيانات.

كما ذكرنا سابقًا، فإن التفاعل السلس بين أفرق أمن المعلومات وتكنولوجيا المعلومات يحدث فرقًا. يجب أن توافق الفرقتان على السياسات التي تحدد من هو المسؤول عن تثبيت التحديثات للموارد المعينة وكيف سيحدث ذلك. في الأساس، يجب أن تنحصر عملية إدارة الضعف الأمني في مراقبة الامتثال لتلك الاتفاقات وتطبيق التصحيحات العاجلة.

ما الذي يخبئه المستقبل لأنظمة إدارة الضعف الأمني؟

في هذه النقطة، هناك اتجاه واضح نحو زيادة تلقائية مراقبة الأصول وتطبيق التصحيحات. مع استمرار بنية تحتية المؤسسات في النمو إلى السحابة، فمن المحتمل أن يتم تقليل عملية فحص الضعف إلى التحقق من إعدادات أمان السحابة. هناك اتجاه تطوري آخر يركز على تحسين أنظمة تقييم الضعف. سوف تتضمن أدوات تحديد الأولويات للضعف المزيد من البيانات، خاصة بشأن الضعف الأكثر “استغلالًا”.

هناك أيضًا فرصة جيدة لأن تتحرك هذه الأنظمة نحو منطق كل في واحد في السنوات القليلة القادمة، حيث سوف يوفر حل واحد طيفًا كاملاً من أدوات إدارة أمن المعلومات. من المحتمل أن تظهر منصة شاملة توفر إدارة الضعف الأمني وإدارة الأصول وإدارة المخاطر جنبًا إلى جنب مع ميزات الحماية الأخرى. ربما سوف يكون هناك لوحة تحكم واحدة لإدارة الضعف الأمني لجميع عناصر البنية التحتية الرقمية – من خادم أو طابعة إلى حاوية على مضيف مخصص.