Grundläggande saker om sårbarhetshantering

Sårbarhetshantering är en kombination av processer och produkter som syftar till att upprätthålla en inventering av en organisations digitala infrastruktur, undersöka den för sårbarheter och åtgärda de identifierade svagheterna. Det är en cyklisk praktik och motsatsen till den välkända IT-adagen som säger: “Om det inte är trasigt, fixa det inte.” Denna princip fungerar inte i företagssäkerhet idag. Om digitala tillgångar inte övervakas och stärks kontinuerligt, förvandlas de till lågt hängande frukt.

En skanner räcker inte

Till skillnad från sårbarhetsskannrar, är det primära målet med sårbarhetshantering att stärka infrastruktursäkerheten och tillhandahålla nödåtgärder för superfarliga hot. Att hitta en svaghet i ett system är halva slaget, men den måste åtgärdas så att hotaktörer inte kan utnyttja den som en ingångspunkt. Metoderna för sårbarhetsbedömning och prioritering av identifierade problem baserat på kundens infrastruktur är lika viktiga. Skannrar gör inte det.

Sårbarhetshantering är, i princip, ett tillägg till skanningsprocessen som utvärderar, prioriterar och åtgärdar identifierade sårbarheter. Kundernas behov förändras, medan det primära målet tidigare var att upptäcka en sårbarhet, handlar det nu mer om hur man hanterar problemet.

När det gäller licensmodellerna som används av sårbarhetshanteringssystem, baseras de vanligtvis på antalet skyddade IP-adresser. Det spelar ingen roll var de är belägna eller hur många installationer kunden kräver. Kostnaden för en sårbarhetsskanner, å andra sidan, beror på installationsantalet och skanningsparametrar, såsom antalet värdar.

Dessutom finns det olika typer av installationer, och vissa leverantörer erbjuder obegränsad användning av sina system. Prislappen kan också påverkas av funktionssättet, där vissa funktioner är tillgängliga som betalda tillägg.

Kriterier för att välja ett sårbarhetshanteringssystem

De viktigaste egenskaperna inkluderar organisationsstorlek, antalet filialer i olika tidszoner, samt produkttillgänglighet, som är förmågan att upptäcka regionspecifika och branschspecifika sårbarheter.

En intressant faktor är hur väl företagets InfoSec- och IT-avdelningar kan förhandla om de nödvändiga funktionerna i lösningen. InfoSec-specialister prioriterar vanligtvis sårbarhetsupptäckt, medan IT-team fokuserar på patchdistribution. Därför kommer överlappningen av dessa två områden att definiera systemets parametrar.

Det är också värt att titta på fullständigheten och frekvensen av uppdateringar, samt på de operativsystem som skannern stöder. Det ideala sårbarhetshanteringssystemet bör också passa sammanhangen i den bransch som organisationen representerar och de applikationer den för närvarande använder.

Vid kontraktsskrivningsstadiet kan leverantören försäkra kunden om sin beredskap att lägga till nya produkter och funktioner längre fram. Tyvärr uppfyller vissa leverantörer inte alltid sådana åtaganden. Därför är det bäst att fokusera på den funktionalitet som lösningen redan har.

En användbar funktion i alla sårbarhetshanteringssystem är förmågan att berika den egna sårbarhetsdatabasen med information från tredjepartsleverantörer. Det är också bra om lösningen kan tillhandahålla ett exempel på en exploit som utnyttjar en specifik sårbarhet.

De flesta kunder står inför ett klassiskt dilemma: att använda en gratis skanner eller köpa en kommersiell lösning från början. Att upprätthålla en uppdaterad sårbarhetsdatabas är en tråkig och dyr process. Därför, i fallet med en gratis produkt, kan utvecklingsteamet behöva prioritera andra områden i sin verksamhet för att söka alternativa inkomstkällor, vilket förklarar varför dessa skannrar har vissa begränsningar.

Verktyg under sårbarhetshanteringsparaplyet

Uppsättningen lösningar som behövs för att organisera sårbarhetshanteringsprocessen inom ett företag kan inkludera:

•       Olika instrument för att samla information om sårbarheter, såsom skannrar, verktyg för att bearbeta data från tredjepartsleverantörer och databaser med information som erhållits oberoende av InfoSec-specialister.
•       Sårbarhetsprioriteringsverktyg som definierar CVSS-poäng och bedömer värdet på den tillgång som potentiellt påverkas av felet.
•       Verktyg för interaktion med externa databaser.
•       System som hanterar en sårbarhet i sammanhanget med organisationen, dess infrastruktur och den globala attackytan.

Tillgångshantering och automatiska patchar

Tillgångshanteringsprocessen bör ha maximalt automatiserad grad, omfatta hela organisationens infrastruktur och äga rum regelbundet. Det är omöjligt att prioritera sårbarheter om dessa villkor inte uppfylls. Dessutom är det omöjligt att kontrollera företagets IT-infrastruktur utan att veta exakt vad den består av. Därför är tillgångshantering en mycket viktig del av sårbarhetshantering.

Den primära förutsättningen för att automatisera patchhanteringsprocessen är att tilldela en specifik identifierare till varje sårbarhetssignatur och se till att nästa uppdatering åtgärdar den. Detta är en komplex arbetsflöde med många fallgropar. Konsekvenserna av att hoppa över en enda uppdatering kan vara katastrofala, så patchdistributionen måste vara så välkoordinerad som möjligt.

Det är också viktigt att anpassa automatiska patchar till ett specifikt tillämpningsområde. För arbetsstationer är det acceptabelt att begränsa uppdateringar till operativsystemet och grundläggande programvara som webbläsare och kontorsprogram. I fallet med servrar är saker mer komplicerade, eftersom det finns mycket på spel, och en felaktig uppdatering kan påverka tillgängligheten för affärskritiska IT-resurser.

När det gäller att övervaka företagsinfrastrukturen, föredrar de flesta företag skanning över att installera agenter på slutpunkter, eftersom de ofta blir ingångspunkter för skadlig kod. Men om värden inte kan nås på något annat sätt, måste du använda datainsamlingsapplikationer.

Som tidigare nämnts, gör den smidiga interaktionen mellan InfoSec- och IT-avdelningarna en skillnad. De två teamen måste komma överens om policys som specificerar vem som är ansvarig för att installera uppdateringar för vissa resurser och hur ofta detta kommer att ske. I princip bör sårbarhetshanteringsprocessen komma ner till att övervaka efterlevnaden av sådana avtal och installera brådskande patchar.

Vad har framtiden att bjuda på för sårbarhetshanteringssystem?

På denna punkt finns en tydlig trend mot ökad automatisering av tillgångsövervakning och patchdistribution. När företagsinfrastrukturer fortsätter att migrera till molnet, är det möjligt att processen med sårbarhetsskanning kommer att reduceras till att kontrollera molnsäkerhetsinställningar. En annan evolutionär vektor handlar om att förbättra sårbarhetsbedömningssystem. Sårbarhetsprioriteringsverktyg kommer att inkludera mer data, särskilt om de mest “exploaterbara” sårbarheterna.

Det finns också en god chans att dessa system kommer att växla till en allt-i-ett-logik under de närmaste åren, där en enda lösning kommer att tillhandahålla ett fullständigt spektrum av InfoSec-hanverktyg. Framkomsten av en allomfattande plattform som innehåller sårbarhets-, tillgångs- och riskhanteringsfunktioner tillsammans med andra skyddsfunktioner är ganska sannolik. Kanske kommer det att finnas en enhetlig sårbarhets-hanteringskonsol för alla delar av digital infrastruktur – från en server eller skrivare till en container på en dedikerad värd.