Grundvallaratriði við varnarleysisstjórnun

Varnarleysisstjórnun er sambland af ferlum og vörum sem miða að því að viðhalda skrá yfir stafræna innviði stofnunar, kanna það fyrir veikleikum og bæta úr greindum veikleikum. Þetta er hringlaga venja og andstæðingur hins vel þekkta upplýsingatækniorðatiltækis sem segir: "Ef það er ekki bilað, ekki laga það." Þessi regla virkar einfaldlega ekki í öryggi fyrirtækja þessa dagana. Ef ekki er fylgst með stafrænum eignum og styrkt stöðugt breytast þær í lágt hangandi ávexti.

Skanni er ekki nóg

Ólíkt varnarleysisskanna, meginmarkmið varnarleysisstjórnunar er að herða öryggi innviða og veita neyðarviðbrögð við sumum ofurhættulegum ógnum. Að finna glufu í kerfi er hálf baráttan, en það verður að laga það þannig að ógnaraðilar geti ekki nýtt sér það sem aðgangsstað. Aðferðir við varnarleysismat og forgangsröðun uppgötvaðra atriða út frá innviðum viðskiptavinarins eru jafn mikilvægar. Skannar gera það ekki.

Varnarleysisstjórnun er í meginatriðum viðbót við skönnunarferlið sem metur, forgangsraðar og lagfærir greindar veikleika. Þarfir viðskiptavina eru að breytast en lykilmarkmiðið sem notað var til að sjóða niður í að uppgötva veikleika, snýst nú meira um leiðir til að takast á við vandamálið.

Hvað varðar leyfislíkönin sem notuð eru af varnarleysisstjórnunarkerfum, þá eru þau venjulega byggð á fjölda varinna IP vistfanga. Það skiptir ekki máli hvar þeir eru staðsettir eða hversu margar uppsetningar viðskiptavinurinn þarfnast. Kostnaður við varnarleysisskanna fer aftur á móti eftir fjölda uppsetningar og skönnunarbreytum, svo sem fjölda hýsinga.

Að auki eru mismunandi gerðir af uppsetningum, þar sem sumir seljendur bjóða upp á ótakmarkaða notkun á kerfum sínum. Verðmiðinn getur einnig verið undir áhrifum af eiginleikanum, sem sumir hverjir eru fáanlegir sem greiddir aukahlutir.

Skilyrði fyrir vali á varnarleysisstjórnunarkerfi

Mikilvægustu eiginleikarnir fela í sér stærð stofnunarinnar, fjölda útibúa þess staðsett á mismunandi tímabeltum, svo og staðsetning vöru, sem er hæfni til að greina svæðissértæka og iðnaðarsértæka veikleika.

Áhugaverður þáttur snýr að því hversu vel InfoSec og upplýsingatæknideildir fyrirtækisins geta samið um nauðsynlega eiginleika lausnarinnar. InfoSec sérfræðingar setja venjulega uppgötvun varnarleysis í forgang, en upplýsingatækniteymi einbeita sér aðallega að uppsetningu plástra. Þess vegna mun skörun þessara tveggja svæða skilgreina færibreytur kerfisins.

Það er líka þess virði að skoða heilleika og tíðni uppfærslur sem og stýrikerfin sem skanninn styður. Hin fullkomna varnarleysisstjórnunarkerfi ætti einnig að passa við samhengi atvinnugreinarinnar sem stofnunin stendur fyrir og forritin sem hún notar núna.

Á stigi undirritunar samnings getur söluaðilinn fullvissað viðskiptavininn um að hann sé reiðubúinn til að bæta við nýjum vörum og eiginleikum á leiðinni. Því miður standa sumir veitendur ekki alltaf við slíkar skuldbindingar. Þess vegna er best að einbeita sér að virkni lausnarinnar sem er aðgengileg.

Gagnlegur eiginleiki hvers kyns varnarleysisstjórnunarkerfi er hæfileikinn til að auðga þinn eigin veikleikagagnagrunn með upplýsingum frá þriðja aðila. Það er líka frábært ef lausnin getur veitt dæmi um misnotkun sem snýst um ákveðna varnarleysi.

Flestir viðskiptavinir standa frammi fyrir klassískum vanda: að nota ókeypis skanna eða kaupa viðskiptalausn frá upphafi. Það er leiðinlegt og dýrt ferli að viðhalda uppfærðum gagnagrunni um varnarleysi. Þess vegna, ef um er að ræða ókeypis vöru, gæti þróunarteymið þurft að forgangsraða öðrum sviðum starfseminnar í leit að öðrum tekjustofnum, sem skýrir hvers vegna þessir skannar hafa nokkrar takmarkanir.

Verkfæri undir varnarleysisstjórnunarhlífinni

Samstæðan af lausnum sem þarf til að skipuleggja varnarleysisstjórnunarferlið innan fyrirtækis getur falið í sér:

•       Mismunandi tæki til að safna upplýsingum um varnarleysi, svo sem skannar, verkfæri til að vinna úr gögnum frá þriðja aðila og geymslur upplýsinga sem eru sjálfstætt fengnar af InfoSec sérfræðingum.
•       Forgangsröðunarverkfæri fyrir varnarleysi sem skilgreina CVSS stig og meta verðmæti eignarinnar sem gæti verið fyrir áhrifum af gallanum.
•       Verkfæri fyrir samskipti við ytri gagnagrunna.
•       Kerfi sem höndla varnarleysi í samhengi við stofnunina, innviði þess og alþjóðlegt árásarflöt.

Eignastýring og sjálfvirkir plástrar

Eignastjórnunarferlið ætti að hafa hámarks sjálfvirkni, ná yfir allan innviði stofnunarinnar og eiga sér stað reglulega. Ómögulegt er að forgangsraða veikleikum nema þessum skilyrðum sé fullnægt. Einnig er engin leið til að stjórna upplýsingatækniinnviðum stofnunar án þess að vita nákvæmlega í hverju þau eru. Þess vegna er eignastýring gríðarlega mikilvægur hluti af varnarleysisstjórnun.

Helsta forsenda þess að gera sjálfvirkan stjórnun plástra ferlið er að úthluta ákveðnu auðkenni fyrir hverja varnarleysisundirskrift og ganga úr skugga um að næsta uppfærsla taki á því. Þetta er flókið verkflæði með mörgum gildrum. Afleiðingar þess að sleppa einni uppfærslu geta verið hörmulegar, þannig að uppsetning plástra verður að vera eins vel skipulögð og hægt er.

Það er líka mikilvægt að stilla sjálfvirka plástra að ákveðnu notkunarsvæði. Fyrir vinnustöðvar er ásættanlegt að takmarka uppfærslur á stýrikerfinu og grunnhugbúnaði eins og vöfrum og skrifstofuöppum. Þegar um netþjóna er að ræða eru hlutirnir flóknari vegna þess að það er mikið í húfi og gallauppfærsla getur haft áhrif á framboð á mikilvægum upplýsingatækniauðlindum.

Þegar kemur að því að fylgjast með innviðum fyrirtækisins, kjósa flest fyrirtæki að skanna fram yfir að setja upp umboðsmenn á endapunktum eins og þeir verða oft aðgangsstaðir fyrir malware. Hins vegar, ef ekki er hægt að ná til gestgjafans á annan hátt, verður þú að nota gagnasöfnunarforrit.

Eins og áður hefur komið fram skipta hnökralaus samskipti milli InfoSec og upplýsingatæknideilda sköpum. Liðin tvö verða að koma sér saman um stefnur sem tilgreina hver er ábyrgur fyrir því að setja upp uppfærslur fyrir ákveðnar auðlindir og hversu oft það gerist. Í meginatriðum ætti varnarleysisstjórnunarferlið að snúast um að fylgjast með því að slíkir samningar séu uppfylltir og setja upp brýna plástra.

Hvað ber framtíðin í skauti sér fyrir varnarleysisstjórnunarkerfi?

Á þessum tímapunkti er greinileg þróun í átt að aukinni sjálfvirkni í eftirliti með eignum og dreifingu plástra. Þegar innviðir fyrirtækja halda áfram að flytjast inn í ský, það er innan möguleikans að ferlið við varnarleysisskönnun verði minnkað til að athuga öryggisstillingar skýsins. Annar þróunarfergur snýst um að bæta veikleikamatskerfi. Forgangsröðunartæki fyrir varnarleysi munu innihalda fleiri gögn, sérstaklega varðandi „nýtanlega“ veikleikana.

Það eru líka góðar líkur á því að þessi kerfi muni skipta yfir í allt-í-einn rökfræði á næstu árum, þar sem ein lausn mun veita allt litróf InfoSec stjórnunartækja. Tilkoma alhliða vettvangs sem inniheldur varnarleysisstjórnun, eignastýringu og áhættustjórnunargetu ásamt öðrum verndareiginleikum er nokkuð líkleg. Ef til vill verður til einhliða varnarleysisstjórnunarborð fyrir alla þætti stafræns innviða – frá netþjóni eða prentara til íláts á sérstökum gestgjafa.