Grunnleggende sårbarhetsstyring

Sårbarhetsstyring er en kombinasjon av prosesser og produkter som har til hensikt å vedlikeholde en oversikt over en organisasjons digitale infrastruktur, å søke etter sårbarheter og å rette opp de identifiserte svakhetene. Dette er en syklisk praksis og motsatsen til den kjente IT-advarselen som sier “Hvis det ikke er broke, ikke fikse det.” Dette prinsippet fungerer ikke i bedriftssikkerhet i disse dager. Hvis digitale aktiver ikke overvåkes og styrkes kontinuerlig, blir de lavthengende frukter.

En skanner er ikke nok

I motsetning til sårbarhetsskannere, er hovedmålet med sårbarhetsstyring å styrke infrastruktursikkerheten og gi en nødsituasjonsrespons til noen superfarlige trusler. Å finne en løkke i et system er halve slaget, men den må fikses slik at trusler ikke kan utnytte den som en inngangspunkt. Metodene for sårbarhetsvurdering og prioritering av identifiserte problemer basert på kundens infrastruktur er like viktige. Skannere gjør ikke dette.

Sårbarhetsstyring er, i essensen, en tilleggsfunksjon til skanningsprosessen som vurderer, prioriterer og retter opp identifiserte sårbarheter. Kundens behov endrer seg, mens hovedmålet tidligere gikk ut på å oppdage en sårbarhet, nå handler det mer om måtene å håndtere problemet på.

Når det gjelder lisensmodellene som brukes av sårbarhetsstyringssystemer, er de vanligvis basert på antallet beskyttede IP-adresser. Det spiller ingen rol hvor de er plassert eller hvor mange installasjoner kunden krever. Kostnaden for en sårbarhetsskanner, på den andre siden, avhenger av installasjonsantallet og skanningsparametere, som antallet verts-maskiner.

I tillegg finnes det forskjellige typer installasjoner, hvor noen leverandører tilbyr ubegrenset bruk av sine systemer. Prislappen kan også påvirkes av funksjonssettet, hvor noen funksjoner er tilgjengelige som betalte ekstrafunksjoner.

Kriterier for å velge et sårbarhetsstyringssystem

De viktigste karakteristikkene inkluderer organisasjonens størrelse, antallet avdelinger i forskjellige tidszoner, samt produktlokalisering, som er evnen til å oppdage regionsspesifikke og bransjespesifikke sårbarheter.

En interessant faktor handler om hvordan selskapets InfoSec- og IT-avdelinger kan forhandle nødvendige funksjoner med løsningen. InfoSec-spesialister prioriterer vanligvis sårbarhetsopptak, mens IT-teamene hovedsakelig fokuserer på patch-utbredelse. Derfor vil overlappet mellom disse to områdene definere systemets parametre.

Det er også verdt å se på fullstendigheten og hyppigheten av oppdateringer, samt på operativsystemene som skanneren støtter. Det ideelle sårbarhetsstyringssystemet bør også passe inn i konteksten av bransjen organisasjonen representerer og applikasjonene den bruker.

Ved kontraktstegning kan leverandøren forsikre kunden om sin evne til å legge til nye produkter og funksjoner i fremtiden. Dessverre følger noen leverandører ikke alltid opp disse forpliktelsene. Derfor er det best å fokusere på løsningens tilgjengelige funksjonalitet.

En nyttig funksjon i ethvert sårbarhetsstyringssystem er evnen til å berike din egen sårbarhetsdatabase med informasjon fra tredjeparts-kilder. Det er også bra hvis løsningen kan tilby et eksempel på en utnyttelse som utnytter en bestemt sårbarhet.

De fleste kunder står overfor en klassisk dilemma: å bruke en gratis skanner eller kjøpe en kommersiell løsning fra starten av. Å vedlikeholde en oppdatert sårbarhetsdatabase er en kjedelig og dyrek prosess. Derfor, i tilfelle av et gratis produkt, må utviklingsteamet prioritere andre områder av sin aktivitet i jakten på alternative inntektskilder, noe som forklarer hvorfor disse skannerne har noen begrensninger.

Verktøy under sårbarhetsstyringsparaplyen

Settet med løsninger som trengs for å organisere sårbarhetsstyringsprosessen i et selskap kan inkludere:

•       Forskjellige instrumenter for å samle informasjon om sårbarheter, som skannere, verktøy for å prosessere data fra tredjeparts-kilder og repositorier av informasjon som er samlet uavhengig av InfoSec-spesialister.
•       Sårbarhetsprioriteringsverktøy som definerer CVSS-poeng og vurderer verdien av den aktiva som kan påvirkes av feilen.
•       Verktøy for interaksjon med eksterne databaser.
•       Systemer som håndterer en sårbarhet i konteksten av organisasjonen, dens infrastruktur og den globale angrepsflaten.

Aktivastyring og automatiske patches

Aktivastyringsprosessen bør ha en maksimal grad av automatisering, dekke hele organisasjonens infrastruktur og finne sted på regelmessig basis. Det er umulig å prioritere sårbarheter uten disse betingelsene. Det er heller ingen måte å kontrollere IT-infrastrukturen til en organisasjon uten å vite nøyaktig hva den består av. Derfor er aktivastyring en svært viktig del av sårbarhetsstyring.

Hovedforutsetningen for å automatisere patch-håndtering er å tildele en bestemt identifikator til hver sårbarhets-signatur og sikre at neste oppdatering håndterer den. Dette er en kompleks arbeidsflyt med mange fallgruber. Konsekvensene av å hoppe over en enkelt oppdatering kan være katastrofale, så patch-utbredelse må være så godt orkestrert som mulig.

Det er også viktig å tilpasse automatiske patches til et bestemt anvendelsesområde. For arbeidsstasjoner er det akseptabelt å begrense oppdateringer til operativsystemet og basisprogramvare som nettlesere og kontorapplikasjoner. I tilfelle av servere er ting mer kompliserte, siden det er mye på spill, og en feilaktig oppdatering kan påvirke tilgjengeligheten av forretningskritiske IT-resurser.

Når det gjelder overvåking av bedriftens infrastruktur, foretrekker de fleste selskaper skanning over å installere agenter på sluttpunktene, da de ofte blir malware-inngangspunkter. Men hvis verten ikke kan nås på noen annen måte, må du bruke datainnsamlingsapplikasjoner.

Som tidligere nevnt, gjør en sammenhengende interaksjon mellom InfoSec- og IT-avdelingene en forskjell. De to teamene må enes om politikker som spesifiserer hvem som er ansvarlig for å installere oppdateringer for bestemte ressurser og hvor ofte dette vil skje. I essensen bør sårbarhetsstyringsprosessen gå ut på å overvåke overholdelsen av slike avtaler og installere nødvendige patches.

Hva holder fremtiden for sårbarhetsstyringssystemer?

På dette punktet er det en tydelig trend mot økt automatisering av aktivastyring og patch-utbredelse. Ettersom bedriftens infrastrukturer fortsetter å migrere til skyen, er det innenfor mulighetene at prosessen med sårbarhetsskanning kan reduseres til å sjekke sky-sikkerhetsinnstillinger. En annen evolusjonsvektor handler om å forbedre sårbarhetsvurderingssystemer. Sårbarhetsprioriteringsverktøy vil inkludere mer data, spesielt om de mest “utnyttbare” sårbarhetene.

Det er også en god sjanse til at disse systemene vil gå over til en all-i-en-logikk i de neste årene, hvor en enkelt løsning vil tilby et fullt spekter av InfoSec-håndteringssinstrumenter. Fremkomsten av en allomfattende plattform som inkluderer sårbarhetsstyring, aktivastyring og risikostyring, samt andre beskyttelsesfunksjoner, er ganske sannsynlig. Kanskje vil det være en enkelt sårbarhetsstyringskonsoll for alle elementer av digital infrastruktur – fra en server eller en printer til en container på en dedikert vert.