Sårbarhedsstyring Grundlæggende

Sårbarhedsstyring er en kombination af processer og produkter, der har til formål at opretholde en oversigt over en organisations digitale infrastruktur, at afprøve den for sårbarheder og at afhjælpe de identificerede svagheder. Det er en cyklisk praksis og modsætningen til den velkendte IT-advarsel, der siger, “Hvis det ikke er brudt, skal du ikke reparere det.” Denne princip virker ikke i virksomhedssikkerhed i disse dage. Hvis digitale aktiver ikke overvåges og styrkes kontinuerligt, bliver de til lette mål.

En scanner er ikke nok

I modsætning til sårbarhedsscannere, er det primære mål for sårbarhedsstyring at styrke infrastruktursikkerheden og give en nødrespons til visse superfarlige trusler. At finde en løkke i et system er kun halvdelen af kampen, men det skal også løses, så truselaktører ikke kan udnytte det som et indgangspunkt. Metoderne til sårbarhedsbedømmelse og prioritering af identificerede problemer baseret på kundens infrastruktur er lige så vigtige. Scannere gør det ikke.

Sårbarhedsstyring er i virkeligheden en tilføjelse til scan-processen, der vurderer, prioriterer og afhjælper identificerede sårbarheder. Kundens behov ændrer sig, og det primære mål var tidligere at opdage en sårbarhed, men nu handler det mere om, hvordan man løser problemet.

Vedrørende licensmodellerne, der bruges af sårbarhedsstyringssystemer, er de typisk baseret på antallet af beskyttede IP-adresser. Det er ikke vigtigt, hvor de er placeret eller hvor mange installationer kunden kræver. Omkostningerne for en sårbarhedsscanner afhænger derimod af installationsantallet og scanningparametre, såsom antallet af værter.

Derudover er der forskellige typer installationer, og nogle leverandører tilbyder ubegrænset brug af deres systemer. Prisskiltet kan også påvirkes af sættet af funktioner, hvoraf nogle er tilgængelige som betalte ekstrafunktioner.

Kriterier for valg af sårbarhedsstyringssystem

De vigtigste karakteristika omfatter organisationsstørrelsen, antallet af afdelinger placeret i forskellige tidszoner samt produktlokalisering, der er evnen til at opdage regionspecifikke og branchespecifikke sårbarheder.

En interessant faktor relaterer til, hvor godt virksomhedens InfoSec- og IT-afdelinger kan forhandle de nødvendige funktioner i løsningen. InfoSec-specialister prioriterer normalt sårbarhedsopdaging, mens IT-holdene primært fokuserer på patchinstallation. Derfor vil overlapningen af disse to områder definere systemets parametre.

Det er også værd at se på fuldstændigheden og hyppigheden af opdateringer samt på de operativsystemer, som scanneren understøtter. Det ideelle sårbarhedsstyringssystem skal også være tilpasset branchen, som organisationen repræsenterer, og de applikationer, den bruger i øjeblikket.

Ved kontraktunderskrivning kan leverandøren forsikre kunden om, at de er parat til at tilføje nye produkter og funktioner senere. Desværre holder nogle leverandører ikke altid disse løfter. Derfor er det bedst at fokusere på løsningens allerede tilgængelige funktioner.

En nyttig funktion i ethvert sårbarhedsstyringssystem er evnen til at berige din egen sårbarhedsdatabase med informationer fra tredjeparts-kilder. Det er også godt, hvis løsningen kan give et eksempel på en udnyttelse, der udnytter en bestemt sårbarhed.

De fleste kunder står over for en klassisk dilemma: at bruge en gratis scanner eller købe en kommerciel løsning fra starten. At opretholde en opdateret sårbarhedsdatabase er en kedelig og dyrekøbt proces. Derfor kan udviklingsteamet i tilfælde af et gratis produkt være nødt til at prioritere andre områder af deres aktivitet for at finde alternative indtægtskilder, hvilket forklarer, hvorfor disse scannere har visse begrænsninger.

Værktøjer under sårbarhedsstyrings-paraplyen

Sættet af løsninger, der er nødvendige for at organisere sårbarhedsstyringsprocessen i en virksomhed, kan omfatte:

•       Forskellige instrumenter til indsamling af oplysninger om sårbarheder, såsom scannere, værktøjer til behandling af data fra tredjeparts-kilder og repositorier af oplysninger, som InfoSec-specialister selv har indsamlet.
•       Sårbarheds-prioriteringsværktøjer, der definerer CVSS-scores og vurderer værdien af den påvirkede aktiv, der kan være berørt af fejlen.
•       Værktøjer til interaktion med eksterne databaser.
•       Systemer, der håndterer en sårbarhed i sammenhæng med virksomhedens infrastruktur og det globale angrebs-overflade.

Aktivstyring og automatiske patches

Aktivstyringsprocessen skal have en maksimal grad af automatisering, dække hele virksomhedens infrastruktur og finde sted på regelmæssig basis. Det er umuligt at prioritere sårbarheder, hvis disse betingelser ikke er opfyldt. Derudover er der ingen mulighed for at kontrollere virksomhedens IT-infrastruktur uden at kende dens sammensætning nøjagtigt. Derfor er aktivstyring en meget vigtig del af sårbarhedsstyring.

Den primære forudsætning for at automatisere patch-installationsprocessen er at tildele et specifikt identifikationsnummer til hver sårbarheds-signatur og sikre, at den næste opdatering løser det. Dette er en kompleks arbejdsgang med mange faldgruber. Konsekvenserne af at springe en enkelt opdatering over kan være katastrofale, så patch-installationen skal være så velkoordineret som muligt.

Det er også vigtigt at tilpasse automatiske patches til et bestemt anvendelsesområde. For arbejdsstationer er det acceptabelt at begrænse opdateringerne til operativsystemet og grundlæggende software som browsere og kontorapplikationer. I tilfælde af servere er tingene mere komplicerede, da der er meget på spil, og en fejlbehæftet opdatering kan påvirke tilgængeligheden af virksomhedskritiske IT-resourcer.

Når det kommer til overvågning af virksomhedens infrastruktur, foretrer de fleste virksomheder scanning over installation af agenter på slutpunkter, da de ofte bliver malware-indgangspunkter. Dog, hvis værten ikke kan nås på anden måde, skal man bruge dataindsamling-applikationer.

Som tidligere nævnt, gør en ubrudt interaktion mellem InfoSec- og IT-afdelinger en forskel. De to hold skal være enige om politikker, der specificerer, hvem der er ansvarlig for at installere opdateringer for bestemte ressourcer og hvor ofte dette skal ske. I virkeligheden skal sårbarhedsstyringsprocessen komme til at handle om at overvåge overholdelsen af disse aftaler og installere nødvendige patches.

Hvad har fremtiden i vente for sårbarhedsstyringssystemer?

På dette tidspunkt er der en tydelig tendens mod en øget automatisering af aktivovervågning og patch-installation. Da virksomhedens infrastrukturer fortsætter med at migrere til skyen, er det inden for mulighedernes grænser, at processen med sårbarheds-scanning reduceres til at kontrollere sky-sikkerhedsindstillinger. En anden udviklingsvektor handler om at forbedre sårbarheds-vurderingssystemer. Sårbarheds-prioriteringsværktøjer vil inkludere mere data, især om de mest “udnyttelige” sårbarheder.

Der er også en god chance for, at disse systemer vil skifte til en alt-i-én-logik i de næste få år, hvor en enkelt løsning vil tilbyde et fuldt spektrum af InfoSec-styringsinstrumenter. Opkomsten af en omfattende platform, der inkluderer sårbarhedsstyring, aktivstyring og risikostyring samt andre beskyttelsesfunktioner, er ret sandsynlig. Måske vil der være en enkelt sårbarhedsstyrings-konsol for alle elementer af digital infrastruktur – fra en server eller printer til en container på en dedikeret vært.