Podstawy zarządzania lukami w zabezpieczeniach

Zarządzanie lukami w zabezpieczeniach to połączenie procesów i produktów mających na celu utrzymanie inwentarza cyfrowej infrastruktury organizacji, wyszukiwanie luk w zabezpieczeniach i likwidowanie zidentyfikowanych słabości. Jest to cykliczna praktyka i przeciwieństwo znanej maksymy IT, która mówi, że „jeśli coś nie jest złamane, nie naprawiaj tego”. Ta zasada po prostu nie działa w przypadku bezpieczeństwa przedsiębiorstw w dzisiejszych czasach. Jeśli cyfrowe aktywa nie są ciągle monitorowane i wzmacniane, stają się łatwym celem.

Skanner nie jest wystarczający

W przeciwieństwie do narzędzi do skanowania luk w zabezpieczeniach, głównym celem zarządzania lukami w zabezpieczeniach jest wzmocnienie bezpieczeństwa infrastruktury i zapewnienie odpowiedzi w przypadku nadzwyczajnie niebezpiecznych zagrożeń. Znalezienie luki w systemie to tylko połowa bitwy, ale należy ją naprawić, aby aktorzy zagrożeń nie mogli jej wykorzystać jako punktu wejścia. Metody oceny luk w zabezpieczeniach i priorytetyzacji wykrytych problemów na podstawie infrastruktury klienta są równie ważne. Skanery nie wykonują tych zadań.

Zarządzanie lukami w zabezpieczeniach jest zasadniczo dodatkiem do procesu skanowania, który ocenia, priorytetyzuje i likwiduje wykryte luki w zabezpieczeniach. Potrzeby klientów się zmieniają, a podstawowym celem nie jest już tylko odkrycie luki w zabezpieczeniach, ale raczej sposób jej rozwiązania.

Jeśli chodzi o modele licencyjne stosowane przez systemy zarządzania lukami w zabezpieczeniach, są one zwykle oparte na liczbie chronionych adresów IP. Nie ma znaczenia, gdzie się znajdują ani ile instalacji wymaga klient. Koszt skanera luk w zabezpieczeniach zależy natomiast od liczby instalacji i parametrów skanowania, takich jak liczba hostów.

Ponadto istnieją różne typy instalacji, a niektórzy dostawcy oferują nieograniczone korzystanie z ich systemów. Cena może być również wpływana przez zestaw funkcji, z których niektóre są dostępne jako dodatkowe płatne opcje.

Kryteria wyboru systemu zarządzania lukami w zabezpieczeniach

Najważniejsze cechy obejmują rozmiar organizacji, liczbę jej oddziałów zlokalizowanych w różnych strefach czasowych, a także lokalizację produktu, czyli zdolność do wykrywania luk w zabezpieczeniach specyficznych dla regionu i branży.

Interesującym czynnikiem jest to, jak dobrze działy InfoSec i IT mogą negocjować niezbędne funkcje rozwiązania. Specjaliści ds. InfoSec zwykle priorytetyzują wykrywanie luk w zabezpieczeniach, podczas gdy zespoły IT koncentrują się głównie na wdrożeniu poprawek. Dlatego też nachodzenie się tych dwóch obszarów określi parametry systemu.

Warto również przyjrzeć się kompletności i częstotliwości aktualizacji, a także systemom operacyjnym, które skaner obsługuje. Idealny system zarządzania lukami w zabezpieczeniach powinien również odpowiadać kontekstowi branży, którą reprezentuje organizacja, oraz aplikacjom, które obecnie używa.

Na etapie podpisywania umowy dostawca może zapewnić klienta o gotowości do dodania nowych produktów i funkcji w przyszłości. Niestety, niektórzy dostawcy nie zawsze dotrzymują takich obietnic. Dlatego też najlepiej jest skoncentrować się na gotowej funkcjonalności rozwiązania.

Przydatną funkcją każdego systemu zarządzania lukami w zabezpieczeniach jest możliwość wzbogacenia własnej bazy danych o luki w zabezpieczeniach informacjami z zewnętrznych źródeł. Jest to również bardzo przydatne, jeśli rozwiązanie może dostarczyć przykład wykorzystania luki w zabezpieczeniach.

Większość klientów stoi przed klasycznym dylematem: używać bezpłatnego skanera czy kupić komercyjne rozwiązanie od samego początku. Utrzymywanie bazy danych luk w zabezpieczeniach na bieżąco jest żmudnym i kosztownym procesem. Dlatego też w przypadku bezpłatnego produktu zespół developerski może musieć priorytetyzować inne obszary swojej działalności w poszukiwaniu alternatywnych źródeł dochodu, co tłumaczy, dlaczego te skanery mają pewne ograniczenia.

Narzędzia pod parasolem zarządzania lukami w zabezpieczeniach

Zestaw rozwiązań niezbędnych do zorganizowania procesu zarządzania lukami w zabezpieczeniach w firmie może obejmować:

•       Różne narzędzia do gromadzenia informacji o lukach w zabezpieczeniach, takie jak skanery, narzędzia do przetwarzania danych z zewnętrznych źródeł oraz repozytoria informacji niezależnie pozyskanych przez specjalistów ds. InfoSec.
•       Narzędzia do priorytetyzacji luk w zabezpieczeniach, które określają wyniki CVSS i szacują wartość potencjalnie dotkniętego przez lukę w zabezpieczeniach aktywa.
•       Narzędzia do interakcji z zewnętrznymi bazami danych.
•       Systemy, które obsługują lukę w zabezpieczeniach w kontekście organizacji, jej infrastruktury i globalnej powierzchni ataku.

Zarządzanie aktywami i automatyczne poprawki

Proces zarządzania aktywami powinien mieć maksymalny stopień automatyzacji, obejmować całą infrastrukturę organizacji i odbywać się regularnie. Nie jest możliwe priorytetyzowanie luk w zabezpieczeniach, jeśli te warunki nie są spełnione. Nie ma również możliwości kontrolowania infrastruktury IT organizacji bez dokładnej wiedzy o tym, z czego się składa. Dlatego zarządzanie aktywami jest niezwykle ważnym elementem zarządzania lukami w zabezpieczeniach.

Głównym warunkiem wstępnym automatyzacji procesu poprawek jest przypisanie określonego identyfikatora do każdej sygnatury luki w zabezpieczeniach i upewnienie się, że następna aktualizacja rozwiązuje ten problem. Jest to złożony proces z wieloma pułapkami. Konsekwencje pominięcia jednej aktualizacji mogą być katastrofalne, więc wdrożenie poprawek musi być jak najbardziej zorganizowane.

Również ważne jest dostosowanie automatycznych poprawek do określonej aplikacji. Dla stacji roboczych dopuszczalne jest ograniczenie aktualizacji do systemu operacyjnego i podstawowych aplikacji, takich jak przeglądarki i aplikacje biurowe. W przypadku serwerów sprawa jest bardziej skomplikowana, ponieważ wiele jest na szali, a błędna aktualizacja może wpłynąć na dostępność krytycznych zasobów IT.

Jeśli chodzi o monitorowanie infrastruktury przedsiębiorstwa, większość firm woli skanowanie nad instalowaniem agentów na punktach końcowych, ponieważ często stają się punktem wejścia dla złośliwego oprogramowania. Jednak jeśli host nie może być dostępny w inny sposób, należy użyć aplikacji do zbierania danych.

Jak wcześniej wspomniano, bezproblemowa współpraca między działami InfoSec i IT robi różnicę. Obie drużyny muszą uzgodnić polityki określające, kto jest odpowiedzialny za instalowanie poprawek dla określonych zasobów i jak często to się dzieje. Podstawą procesu zarządzania lukami w zabezpieczeniach powinno być monitorowanie zgodności z tymi uzgodnieniami i instalowanie pilnych poprawek.

Czego można spodziewać się po systemach zarządzania lukami w zabezpieczeniach w przyszłości?

W tym momencie istnieje wyraźna tendencja do zwiększania automatyzacji monitorowania aktywów i wdrożenia poprawek. W miarę jak infrastruktury przedsiębiorstw migrują do chmury, jest prawdopodobne, że proces skanowania luk w zabezpieczeniach zostanie ograniczony do sprawdzania ustawień zabezpieczeń chmury. Innym wektorem ewolucyjnym jest poprawa systemów oceny luk w zabezpieczeniach. Narzędzia do priorytetyzacji luk w zabezpieczeniach będą zawierać więcej danych, szczególnie dotyczących najbardziej „wykorzystywanych” luk w zabezpieczeniach.

Istnieje również duże prawdopodobieństwo, że te systemy przejdą na logikę all-in-one w ciągu najbliższych kilku lat, gdzie jedno rozwiązanie zapewni pełny zakres instrumentów zarządzania bezpieczeństwem. Prawdopodobne jest pojawienie się platformy, która obejmuje zarządzanie lukami w zabezpieczeniach, zarządzanie aktywami i zarządzanie ryzykiem wraz z innymi funkcjami zabezpieczeń. Może również powstać konsola zarządzania lukami w zabezpieczeniach dla wszystkich elementów infrastruktury cyfrowej – od serwera lub drukarki po kontener na dedykowanym hoście.