หลักการบริหารจัดการช่องโหว่ด้านความปลอดภัย

การบริหารจัดการช่องโหว่ด้านความปลอดภัย เป็นการรวมกระบวนการและผลิตภัณฑ์ที่มุ่งหมายเพื่อรักษาความปลอดภัยของโครงสร้างพื้นฐานดิจิทัลขององค์กร โดยการสำรวจและระบุช่องโหว่ด้านความปลอดภัย และแก้ไขช่องโหว่ดังกล่าว เป็นการปฏิบัติที่ซ้ำกันและเป็นปฏิปักษ์ต่อคำพูดที่มีชื่อเสียงในด้าน IT ที่ว่า “หากไม่มีปัญหา ก็ไม่ต้องแก้ไข” หลักการนี้ไม่ทำงานในด้านความปลอดภัยขององค์กรในปัจจุบัน หากไม่มีการตรวจสอบและเสริมสร้างความปลอดภัยของทรัพย์สินดิจิทัลอย่างต่อเนื่อง จะกลายเป็นเป้าหมายที่ง่ายต่อการโจมตี

เครื่องสแกนไม่เพียงพอ

ไม่เหมือนกับ เครื่องสแกนช่องโหว่ด้านความปลอดภัย วัตถุประสงค์หลักของการบริหารจัดการช่องโหว่ด้านความปลอดภัยคือการเสริมสร้างความปลอดภัยของโครงสร้างพื้นฐานและให้การตอบสนองฉุกเฉินต่อภัยคุกคามที่ร้ายแรง การค้นหาช่องโหว่ในระบบเป็นเพียงครึ่งหนึ่งของการรบ แต่ต้องแก้ไขเพื่อให้ไม่สามารถใช้ประโยชน์ได้ วิธีการประเมินและจัดลำดับความสำคัญของปัญหาที่พบตามโครงสร้างพื้นฐานของลูกค้าเป็นสิ่งสำคัญเช่นกัน เครื่องสแกนไม่สามารถทำได้

การบริหารจัดการช่องโหว่ด้านความปลอดภัยเป็นการเพิ่มเติมกระบวนการ扫描ที่ประเมิน จัดลำดับความสำคัญ และแก้ไขช่องโหว่ที่พบ ลูกค้ามีความต้องการที่เปลี่ยนแปลงไป ในขณะที่วัตถุประสงค์หลักในอดีตคือการค้นหาช่องโหว่ ตอนนี้มุ่งเน้นไปที่วิธีการแก้ไขปัญหา

ในด้านรูปแบบการให้ใบอนุญาตที่ใช้โดยระบบการบริหารจัดการช่องโหว่ด้านความปลอดภัย โดยทั่วไปจะขึ้นอยู่กับจำนวน IP ที่ได้รับการคุ้มครอง ไม่ว่าจะอยู่ที่ไหนหรือจำนวนการติดตั้งที่ลูกค้าต้องการ ต้นทุนของเครื่องสแกนช่องโหว่ด้านความปลอดภัยขึ้นอยู่กับจำนวนการติดตั้งและพารามิเตอร์การสแกน เช่น จำนวนโฮสต์

นอกจากนี้ยังมีการติดตั้งประเภทต่างๆ โดยบางผู้ให้บริการเสนอการใช้งานไม่จำกัดของระบบของตน ราคารายการสามารถได้รับอิทธิพลจากชุดคุณสมบัติ โดยบางส่วนมีให้ใช้เป็นตัวเลือกเสริมที่เสียค่าใช้จ่าย

เกณฑ์การเลือกระบบการบริหารจัดการช่องโหว่ด้านความปลอดภัย

คุณลักษณะที่สำคัญที่สุด ได้แก่ ขนาดขององค์กร จำนวนสำนักงานที่ตั้งอยู่ในโซนเวลาแตกต่างกัน เช่นเดียวกับการท้องถิ่นของผลิตภัณฑ์ ซึ่งเป็นความสามารถในการตรวจจับช่องโหว่เฉพาะภูมิภาคและอุตสาหกรรม

ปัจจัยที่น่าสนใจเกี่ยวข้องกับวิธีที่ดีที่สุดในการเจรจาเรื่องคุณสมบัติที่จำเป็นของโซลูชันระหว่างฝ่าย InfoSec และ IT ของบริษัท ผู้เชี่ยวชาญด้าน InfoSec มักให้ความสำคัญกับการตรวจจับช่องโหว่ ในขณะที่ทีม IT มุ่งเน้นไปที่การปรับใช้แพตช์ ดังนั้น การทับซ้อนของพื้นที่เหล่านี้จะกำหนดพารามิเตอร์ของระบบ

ควรพิจารณาความสมบูรณ์และความถี่ของการอัปเดต เช่นเดียวกับระบบปฏิบัติการที่เครื่องสแกนรองรับ ระบบการบริหารจัดการช่องโหว่ด้านความปลอดภัยที่เหมาะสมควรเหมาะสมกับบริบทของอุตสาหกรรมที่องค์กรมีและแอปพลิเคชันที่ใช้อยู่

ในขั้นตอนการลงนามในสัญญา ผู้ให้บริการอาจรับรองให้ลูกค้ามั่นใจว่าจะเพิ่มผลิตภัณฑ์และคุณสมบัติใหม่ในอนาคต อย่างไรก็ตาม บางผู้ให้บริการไม่ได้ปฏิบัติตามคำมั่นสัญญาเหล่านี้เสมอไป ดังนั้นจึงควรเน้นไปที่ฟังก์ชันการทำงานที่พร้อมใช้งานของโซลูชัน

คุณลักษณะที่มีประโยชน์ของ ระบบการบริหารจัดการช่องโหว่ด้านความปลอดภัย คือความสามารถในการเพิ่มข้อมูลจากแหล่งที่สามเข้าไปในฐานข้อมูลช่องโหว่ของตนเอง นอกจากนี้ หากโซลูชันยังสามารถให้ตัวอย่างของการโจมตีที่ใช้ช่องโหว่เฉพาะได้ ก็จะดี

ลูกค้าส่วนใหญ่ต้องเผชิญกับปัญหาคลาสสิก: ใช้เครื่องสแกนฟรีหรือซื้อโซลูชันเชิงพาณิชย์ตั้งแต่เริ่มต้น การรักษาฐานข้อมูลช่องโหว่ที่อัปเดตเป็นกระบวนการที่น่าเบื่อและต้องใช้เงินมาก ในกรณีของผลิตภัณฑ์ฟรี ทีมพัฒนาอาจต้องจัดลำดับความสำคัญของพื้นที่อื่นๆ ของกิจกรรมเพื่อแสวงหาทางเลือกอื่นในการสร้างรายได้ ซึ่งอธิบายว่าทำไมเครื่องสแกนเหล่านี้จึงมีข้อจำกัด

เครื่องมือภายใต้การบริหารจัดการช่องโหว่ด้านความปลอดภัย

ชุดโซลูชันที่จำเป็นสำหรับการจัดตั้งกระบวนการบริหารจัดการช่องโหว่ด้านความปลอดภัยภายในบริษัทอาจรวมถึง:

•       เครื่องมือต่างๆ สำหรับการรวบรวมข้อมูลเกี่ยวกับช่องโหว่ เช่น เครื่องสแกน เครื่องมือสำหรับประมวลผลข้อมูลจากแหล่งที่สาม และคลังข้อมูลที่ได้รับจากผู้เชี่ยวชาญด้าน InfoSec
•       เครื่องมือจัดลำดับความสำคัญของช่องโหว่ที่กำหนดคะแนน CVSS และประเมินค่าของทรัพย์สินที่อาจได้รับผลกระทบจากช่องโหว่
•       เครื่องมือสำหรับการโต้ตอบกับฐานข้อมูลภายนอก
•       ระบบที่จัดการช่องโหว่ในบริบทขององค์กร โครงสร้างพื้นฐาน และพื้นที่โจมตีระดับโลก

การจัดการทรัพย์สินและแพตช์อัตโนมัติ

กระบวนการจัดการทรัพย์สินควรจะมีการอัตโนมัติให้มากที่สุด ครอบคลุมโครงสร้างพื้นฐานทั้งหมดขององค์กร และเกิดขึ้นเป็นประจำ ไม่สามารถจัดลำดับความสำคัญของช่องโหว่ได้หากไม่มีเงื่อนไขเหล่านี้ นอกจากนี้ ไม่มีวิธีใดในการควบคุมโครงสร้างพื้นฐาน IT ขององค์กรโดยไม่ทราบว่าประกอบด้วยอะไร ดังนั้น การจัดการทรัพย์สินจึงเป็นส่วนสำคัญของการบริหารจัดการช่องโหว่ด้านความปลอดภัย

เงื่อนไขเบื้องต้นสำหรับการทำให้กระบวนการ การปรับใช้แพตช์อัตโนมัติ เป็นการกำหนดตัวระบุเฉพาะสำหรับแต่ละลายเซ็นช่องโหว่ และทำให้แน่ใจว่าการอัปเดตถัดไปจะแก้ไขปัญหา นี่เป็นกระบวนการทำงานที่ซับซ้อนและมีจุดอ่อนมากมาย ผลที่ตามมาของการข้ามการอัปเดตเพียงครั้งเดียวอาจเป็นหายนะ ดังนั้นการปรับใช้แพตช์จึงต้องมีการประสานงานให้ดีที่สุด

การปรับแพตช์อัตโนมัติให้เหมาะสมกับพื้นที่การประยุกต์ใช้งานเฉพาะก็สำคัญเช่นกัน สำหรับเวิร์กสเตชัน การจำกัดการอัปเดตให้แค่ระบบปฏิบัติการและซอฟต์แวร์พื้นฐาน เช่น เว็บเบราว์เซอร์และแอปพลิเคชันสำนักงาน เป็นที่ยอมรับได้ ในกรณีของเซิร์ฟเวอร์ สิ่งต่างๆ มีความซับซ้อนมากขึ้น เนื่องจากมีหลายอย่างที่ต้องคำนึงถึง และการอัปเดตที่มีข้อบกพร่องอาจส่งผลต่อความพร้อมใช้งานของทรัพยากร IT ที่สำคัญต่อธุรกิจ

เมื่อพูดถึงการตรวจสอบโครงสร้างพื้นฐานขององค์กร บริษัทส่วนใหญ่ชอบการสแกนมากกว่าการติดตั้งเอเจนต์บนจุดสิ้นสุด เนื่องจากเอเจนต์เหล่านี้มักจะกลายเป็น จุดเข้าถึงของมัลแวร์ อย่างไรก็ตาม หากไม่สามารถเข้าถึงโฮสต์ได้ด้วยวิธีอื่น จะต้องใช้แอปพลิเคชันสำหรับการรวบรวมข้อมูล

ตามที่กล่าวไว้ก่อนหน้านี้ การทำงานร่วมกันอย่างราบรื่นระหว่างฝ่าย InfoSec และ IT ทำให้ผลลัพธ์ที่ดี ทั้งสองทีมจะต้องตกลงเกี่ยวกับนโยบายที่ระบุว่าใครรับผิดชอบในการติดตั้งแพตช์สำหรับทรัพยากรใดๆ และจะเกิดขึ้นบ่อยเพียงใด โดยพื้นฐานแล้ว กระบวนการบริหารจัดการช่องโหว่ด้านความปลอดภัยควรลดลงเหลือการตรวจสอบการปฏิบัติตามข้อตกลงเหล่านี้และการติดตั้งแพตช์ฉุกเฉิน

อนาคตของระบบการบริหารจัดการช่องโหว่ด้านความปลอดภัยจะเป็นอย่างไร?

ณ จุดนี้ มีแนวโน้มที่ชัดเจนในการเพิ่มการอัตโนมัติในการตรวจสอบทรัพย์สินและการปรับใช้แพตช์ เมื่อโครงสร้างพื้นฐานขององค์กรยังคงย้ายไปยัง คลาวด์ มีความเป็นไปได้ที่กระบวนการการสแกนช่องโหว่ด้านความปลอดภัยจะลดลงเหลือการตรวจสอบการตั้งค่าความปลอดภัยของคลาวด์ อีกทิศทางหนึ่งในการพัฒนาคือการปรับปรุงระบบการประเมินช่องโหว่ เครื่องมือจัดลำดับความสำคัญของช่องโหว่จะรวมข้อมูลมากขึ้น โดยเฉพาะเกี่ยวกับช่องโหว่ที่สามารถใช้ประโยชน์ได้มากที่สุด

มีโอกาสที่ดีที่ระบบเหล่านี้จะเปลี่ยนไปใช้ตรรกะแบบ all-in-one ในช่วงไม่กี่ปีข้างหน้า โดยที่โซลูชันเดียวจะให้เครื่องมือการจัดการด้านความปลอดภัยที่ครอบคลุมทุกด้าน ความเป็นไปได้ที่จะเกิดแพลตฟอร์มที่ครอบคลุมที่รวมการบริหารจัดการช่องโหว่ด้านความปลอดภัย การจัดการทรัพย์สิน และการบริหารจัดการความเสี่ยงพร้อมคุณลักษณะการป้องกันอื่นๆ