יסודות ניהול פגיעויות

ניהול פגיעות הוא שילוב של תהליכים ומוצרים שמטרתם לתחזק מלאי של התשתית הדיגיטלית של הארגון, לבחון אותה לאיתור פגיעויות ולתקן את החולשות שזוהו. זוהי פרקטיקה מחזורית והנגדית לאמירה הידועה של ה-IT שאומרת "אם זה לא שבור, אל תתקן את זה". עיקרון זה פשוט לא עובד באבטחת ארגונים בימינו. אם נכסים דיגיטליים אינם מנוטרים ומבוססים באופן רציף, הם הופכים לפירות פוטנציאליים.

סורק לא מספיק

שונה סורקי פגיעויות, המטרה העיקרית של ניהול פגיעויות היא לחזק את אבטחת התשתיות ולספק מענה חירום לאיומים מסוכנים במיוחד. מציאת פרצה במערכת היא חצי מהמשימה, אך יש לתקן אותה כדי שגורמי איום לא יוכלו לנצל אותה כנקודת כניסה. שיטות הערכת הפגיעויות וקביעת סדרי עדיפויות של בעיות שזוהו על סמך התשתית של הלקוח חשובות באותה מידה. סורקים לא עושים זאת.

ניהול פגיעויות הוא, למעשה, תוסף לתהליך הסריקה שמעריך, מתעדף ומתקן פגיעויות שזוהו. צרכי הלקוחות משתנים, בעוד שהמטרה המרכזית בעבר הצטמצמה לגילוי פגיעות, כיום מדובר יותר בדרכים לטפל בבעיה.

באשר למודלי הרישוי שבהם משתמשים מערכות לניהול פגיעויות, הם מבוססים בדרך כלל על מספר כתובות ה-IP המוגנות. לא משנה היכן הן ממוקמות או כמה התקנות הלקוח דורש. עלות סורק הפגיעויות, לעומת זאת, תלויה במספר ההתקנות ובפרמטרי הסריקה, כגון מספר המארחים.

בנוסף, ישנם סוגים שונים של התקנות, כאשר חלק מהספקים מציעים שימוש בלתי מוגבל במערכות שלהם. תג המחיר יכול להיות מושפע גם ממגוון התכונות, שחלקן זמינות כתוספות בתשלום.

קריטריונים לבחירת מערכת לניהול פגיעויות

המאפיינים החשובים ביותר כוללים את גודל הארגון, מספר הסניפים שלו הממוקמים באזורי זמן שונים, כמו גם לוקליזציה של המוצר, שהיא היכולת לזהות פגיעויות ספציפיות לאזור ולתעשייה.

גורם מעניין קשור לאופן שבו מחלקות ה-InfoSecurity וה-IT של החברה יכולות לנהל משא ומתן על התכונות הדרושות של הפתרון. מומחי InfoSecurity בדרך כלל נותנים עדיפות לגילוי פגיעויות, בעוד שצוותי IT מתמקדים בעיקר בפריסת תיקונים. לכן, החפיפה בין שני תחומים אלה תגדיר את פרמטרי המערכת.

כמו כן, כדאי לבחון את שלמות ותדירות העדכונים, כמו גם את מערכות ההפעלה שהסורק תומך בהן. מערכת ניהול הפגיעויות האידיאלית צריכה להתאים גם להקשר של התעשייה שהארגון מייצג וליישומים שהוא משתמש בהם כעת.

בשלב חתימת החוזה, הספק עשוי להבטיח ללקוח את נכונותו להוסיף מוצרים ותכונות חדשים בהמשך הדרך. למרבה הצער, חלק מהספקים לא תמיד עומדים בהתחייבויות כאלה. לכן, עדיף להתמקד בפונקציונליות הזמינה של הפתרון.

תכונה שימושית של כל מערכת ניהול פגיעויות היכולת להעשיר את מסד הנתונים של נקודות התורפה שלך במידע ממקורות צד שלישי. זה גם נהדר אם הפתרון יכול לספק דוגמה לניצול תקיפה שמנצל פגיעות ספציפית.

רוב הלקוחות מתמודדים עם דילמה קלאסית: להשתמש בסורק חינמי או לרכוש פתרון מסחרי כבר מההתחלה. תחזוקת מסד נתונים מעודכן של פגיעויות היא תהליך מייגע ויקר. לכן, במקרה של מוצר חינמי, צוות הפיתוח עשוי להידרש לתעדף תחומי פעילות אחרים בחיפוש אחר מקורות הכנסה חלופיים, מה שמסביר מדוע לסורקים אלה יש מגבלות מסוימות.

כלים תחת מטריית ניהול הפגיעויות

מערך הפתרונות הנדרש לארגון תהליך ניהול הפגיעויות בתוך חברה עשוי לכלול:

•       כלים שונים לאיסוף מידע על פגיעויות, כגון סורקים, כלים לעיבוד נתונים ממקורות צד שלישי ומאגרי מידע שהושגו באופן עצמאי על ידי מומחי אבטחת מידע.
•       כלי תעדוף פגיעויות המגדירים את ציוני CVSS ומעריכים את ערך הנכס שעלול להיות מושפע מהפגם.
•       כלים לאינטראקציה עם מסדי נתונים חיצוניים.
•       מערכות המטפלות בפגיעות בהקשר של הארגון, התשתית שלו ומשטח התקיפה הגלובלי.

ניהול נכסים ותיקונים אוטומטיים

תהליך ניהול הנכסים צריך להיות בעל מידה מקסימלית של אוטומציה, לכסות את כל התשתית של הארגון ולהתרחש באופן קבוע. אי אפשר לתעדף פגיעויות אלא אם כן תנאים אלה מתקיימים. כמו כן, אין דרך לשלוט בתשתית ה-IT של ארגון מבלי לדעת בדיוק ממה היא מורכבת. לכן, ניהול נכסים הוא חלק חשוב ביותר בניהול פגיעויות.

התנאי הנדרש העיקרי לאוטומציה של ניהול תיקונים התהליך הוא להקצות מזהה ספציפי לכל חתימת פגיעות ולוודא שהעדכון הבא מטפל בה. זוהי זרימת עבודה מורכבת עם מלכודות רבות. ההשלכות של דילוג על עדכון בודד עלולות להיות הרות אסון, לכן פריסת התיקון חייבת להיות מתוזמנת היטב ככל האפשר.

חשוב גם להתאים תיקונים אוטומטיים לאזור יישום ספציפי. עבור תחנות עבודה, מקובל להגביל עדכונים למערכת ההפעלה ולתוכנות בסיסיות כגון דפדפנים ואפליקציות אופיס. במקרה של שרתים, הדברים מורכבים יותר מכיוון שיש הרבה על כף המאזניים, ועדכון באגי יכול להשפיע על זמינות משאבי IT קריטיים לעסקים.

כשמדובר בניטור תשתית הארגון, רוב החברות מעדיפות סריקה על פני התקנת סוכנים בנקודות קצה, מכיוון שלעתים קרובות הם הופכים ל נקודות כניסה לתוכנות זדוניותעם זאת, אם לא ניתן להגיע למארח בשום דרך אחרת, עליך להשתמש ביישומי איסוף נתונים.

כפי שצוין קודם לכן, אינטראקציה חלקה בין מחלקות המידע וה-IT עושה את ההבדל. שני הצוותים חייבים להסכים על מדיניות המפרטת מי אחראי להתקנת עדכונים עבור משאבים מסוימים ובאיזו תדירות זה יקרה. בעיקרו של דבר, תהליך ניהול הפגיעויות צריך להסתכם במעקב אחר עמידה בהסכמים כאלה והתקנת תיקונים דחופים.

מה צופן העתיד עבור מערכות ניהול פגיעויות?

בשלב זה, ישנה מגמה ברורה של אוטומציה גוברת של ניטור נכסים ופריסת תיקונים. ככל שתשתיות ארגוניות ממשיכות לנדוד אל... ענן, סביר להניח שתהליך סריקת הפגיעויות יצטמצם לבדיקת הגדרות אבטחה בענן. וקטור אבולוציוני נוסף מסתכם בשיפור מערכות הערכת פגיעויות. כלי קביעת סדרי עדיפויות יכללו יותר נתונים, במיוחד בנוגע לפגיעויות ה"ניתנות לניצול" ביותר.

יש גם סיכוי טוב שמערכות אלו יעברו ללוגיקה של "הכל באחד" בשנים הקרובות, שבה פתרון יחיד יספק מגוון מלא של כלי ניהול אבטחת מידע. הופעתה של פלטפורמה מקיפה הכוללת יכולות ניהול פגיעויות, ניהול נכסים וניהול סיכונים יחד עם תכונות הגנה אחרות היא די סבירה. ייתכן, שתהיה קונסולת ניהול פגיעויות אחת לכל רכיבי התשתית הדיגיטלית - משרת או מדפסת ועד קונטיינר על גבי מארח ייעודי.