Haavoittuvuuden hallinnan perusteet

Haavoittuvuuden hallinta on joukko prosesseja ja tuotteita, joiden tavoitteena on ylläpitää organisaation digitaalisen infrastruktuurin luetteloa, etsiä haavoittuvuuksia ja korjata havaitut heikkoudet. Se on syklinen käytäntö ja vastakohta tunnetulle IT-sanonnalle, joka sanoo, että “jos se ei ole rikki, älä korjaa sitä.” Tämä periaate ei toimi enää yrityksen turvallisuudessa. Jos digitaalisia varoja ei valvota ja vahvisteta jatkuvasti, ne muuttuvat helposti hyökkäysten kohteiksi.

Skanneri ei ole tarpeeksi

Toisin kuin haavoittuvuusskannerit, haavoittuvuuden hallinnan tärkein tavoite on vahvistaa infrastruktuurin turvallisuutta ja tarjota hätätilannevastusta erittäin vaarallisille uhille. Järjestelmän haavoittuvuuden löytäminen on vain puoli taistelua, mutta se on korjattava, jotta uhkaa ei voida hyödyntää pääsypisteenä. Haavoittuvuuden arvioinnin ja priorisoinnin menetelmät ovat yhtä tärkeitä. Skannerit eivät tee tätä.

Haavoittuvuuden hallinta on itse asiassa skannauksen lisäksi arviointi, joka priorisoi ja korjaa havaittuja haavoittuvuuksia. Asiakkaiden tarpeet muuttuvat, ja kun aiemmin tärkein tavoite oli haavoittuvuuden löytäminen, nyt se on enemmän siinä, miten ongelmaa voidaan ratkaista.

Haavoittuvuuden hallintajärjestelmien lisenssimallit perustuvat yleensä suojattujen IP-osoitteiden määrään. Se ei ole merkitystä, missä ne sijaitsevat tai montako asennusta asiakas tarvitsee. Haavoittuvuusskannerin hinta riippuu asennusmäärästä ja skannausparametreista, kuten isäntien määrästä.

Lisäksi on erilaisia asennuksia, ja jotkut toimittajat tarjoavat järjestelmien rajattoman käytön. Hinta voi myös riippua järjestelmän ominaisuuksista, joista jotkut ovat saatavilla maksullisina lisäksi.

Haavoittuvuuden hallintajärjestelmän valintakriteerit

Tärkeimmät ominaisuudet ovat organisaation koko, sen sijainti eri aikavyöhykkeillä sekä tuotteen lokalisaatio, joka on kyky havaita alue- ja teollisuusspesifisiä haavoittuvuuksia.

Mielenkiintoinen tekijä liittyy siihen, miten hyvin yrityksen InfoSec- ja IT-osastot voivat neuvotella ratkaisun tarvittavista ominaisuuksista. InfoSec-asiantuntijat priorisoivat yleensä haavoittuvuuden havaitsemisen, kun taas IT-tiimit keskittyvät enemmän korjausten asentamiseen. Näiden kahden alueen limitys määrittää järjestelmän parametreja.

On myös syytä tarkastella päivitysten täydellisyyttä ja tiheyttä sekä käyttöjärjestelmiä, joita skanneri tukee. Ihannoinen haavoittuvuuden hallintajärjestelmä tulisi myös soveltua alan kontekstiin, jonka edustaa organisaatio, ja sovelluksiin, joita se käyttää.

Sopimuksen allekirjoittamisvaiheessa toimittaja voi taata asiakkaalleen valmiutta lisätä uusia tuotteita ja ominaisuuksia myöhemmin. Valitettavasti jotkut toimittajat eivät aina toteuta näin. On siis parasta keskittyä ratkaisun valmiiseen toiminnallisuuteen.

Hyödyllinen ominaisuus kaikissa haavoittuvuuden hallintajärjestelmissä on kyky rikastaa omaa haavoittuvuustietokantaa kolmansien osapuolien tietojen avulla. On myös hyvä, jos ratkaisu voi tarjota esimerkin hyökkäyksestä, joka hyödyntää tiettyä haavoittuvuutta.

Useimmat asiakkaat kohtaavat klassisen dilemmansa: käyttääkö ilmaista skanneria vai ostaa kaupallinen ratkaisu alusta alkaen. Haavoittuvuustietokannan ylläpitäminen on vaativa ja kallis prosessi. Ilmaisissa tuotteissa kehitystiimi voi joutua priorisoimaan muita toimintojaan vaihtoehtoisten tulonlähteiden tavoitteluun, mikä selittää, miksi nämä skannerit ovat rajoittuneita.

Haavoittuvuuden hallinnan alla olevat työkalut

Ratkaisujen joukko, jota tarvitaan haavoittuvuuden hallintaprosessin järjestämiseen yrityksessä, voi sisältää:

•       Eri välineitä haavoittuvuuksien tiedonkeruuseen, kuten skannereita, työkaluja kolmansien osapuolien tietojen käsittelyyn ja tietokantoja, jotka on kerätty itsenäisesti InfoSec-asiantuntijoiden toimesta.
•       Haavoittuvuuden priorisointityökaluja, jotka määrittävät CVSS-lukemat ja arvioivat vaarantuneen varan arvon.
•       Työkaluja ulkoisten tietokantojen kanssa vuorovaikuttaessa.
•       Järjestelmiä, jotka käsittelevät haavoittuvuutta organisaation, sen infrastruktuurin ja globaalin hyökkäyspinnan kontekstissa.

Varojen hallinta ja automaattiset korjaukset

Varojen hallintaprosessi tulisi olla mahdollisimman automaattinen, kattaa koko organisaation infrastruktuurin ja tapahtua säännöllisesti. Haavoittuvuuksia ei voida priorisoida, jos nämä ehdot eivät täyty. On myös mahdotonta hallita yrityksen IT-infrastruktuuria, jos ei tiedetä tarkasti, mitä se koostuu. Varojen hallinta on siis erittäin tärkeä osa haavoittuvuuden hallintaa.

Automaattisen korjausprosessin tärkein edellytys on määrittää kullekin haavoittuvuuden allekirjoitukselle tietty tunniste ja varmistaa, että seuraava päivitys korjaa sen. Tämä on monimutkainen työvirka, jossa on paljon ansaittuja vaaroja. Yhden päivityksen väliin jättäminen voi olla kohtalokasta, joten korjausten asentaminen on oltava mahdollisimman hyvin järjestetty.

On myös tärkeää sovittaa automaattisia korjauksia tiettyyn soveltamisalaan. Työasemilla on hyväksyttyvä rajoittaa päivitykset käyttöjärjestelmään ja perusohjelmistoihin, kuten verkkoselaimiin ja toimistosovelluksiin. Palvelimissa asiat ovat monimutkaisempia, koska siinä on paljon panostettua, ja virheellinen päivitys voi vaikuttaa liiketoimintakriittisten IT-resurssien saatavuuteen.

Kun on kyse yrityksen infrastruktuurin valvontaa, useimmat yritykset suosittelevat skannauksen käyttöä agenttien asentamisen sijasta päätepisteisiin, koska ne usein muuttuvat viruspääsypisteiksi. Jos kuitenkin isäntä ei voida tavoittaa millään muulla tavalla, on käytettävä tietojen keräämisen sovelluksia.

Kuten aiemmin mainittiin, InfoSec- ja IT-osastojen välinen vaivaton yhteistyö tekee eroa. Nämä kaksi tiimiä on oltava sopimuksessa siitä, kuka on vastuussa tiettyjen resurssien päivitysten asentamisesta ja kuinka usein se tapahtuu. Itse asiassa haavoittuvuuden hallintaprosessi tulisi laskea yhteen näiden sopimusten mukaisen toiminnan valvontaan ja kiireellisten korjausten asentamiseen.

Mitä tulevaisuus pitää haavoittuvuuden hallintajärjestelmille?

Tällä hetkellä on selvä trendi kohti varojen valvontaa ja korjausten asentamisen automaattista lisäämistä. Kun yritysten infrastruktuurit jatkavat siirtymistään pilveen, on mahdollista, että haavoittuvuuden skannauksen prosessi voidaan vähentää pilviturvallisuuden asetusten tarkasteluun. Toinen evoluutioon suuntautuva vektori liittyy haavoittuvuuden arviointijärjestelmien parantamiseen. Haavoittuvuuden priorisointityökalut sisältävät enemmän tietoa, erityisesti “hyödynnettävistä” haavoittuvuuksista.

On myös hyvä mahdollisuus, että nämä järjestelmät siirtyvät yhden ratkaisun logiikkaan seuraavien vuosien aikana, jossa yksi ratkaisu tarjoaa koko InfoSec-hallintatyökalujen spektrin. Haavoittuvuuden hallintajärjestelmän, varojen hallinnan ja riskien hallinnan kykyjen sekä muiden suojauksen ominaisuuksien kattavan alustan ilmestyminen on todennäköistä. Ehkä tulee olemaan yksi haavoittuvuuden hallintakonsoli kaikille digitaalisen infrastruktuurin osille – palvelimelta tai tulostimelta omistetun isännän säiliöön.