Основи управління уразливостями

Управління уразливостями – це сукупність процесів та продуктів, спрямованих на підтримку інвентаризації цифрової інфраструктури організації, дослідження її на уразливості та усунення виявлених слабкостей. Це циклічна практика та антитеза добре відомому девізу IT, який говорить: “Якщо нічого не пошкоджено, не ремонтуйте”. Цей принцип просто не працює в корпоративній безпеці сьогодні. Якщо цифрові активи не контролюються та не зміцнюються безперервно, вони перетворюються на легку здобич.

Сканер недостатньо

На відміну від сканерів уразливостей, головна мета управління уразливостями полягає в тому, щоб зміцнити безпеку інфраструктури та надати аварійну відповідь на надзвичайно небезпечні загрози. Виявлення діри в системі – це лише половина битви, але її потрібно виправити, щоб зловмисники не могли використати її як вхідну точку. Методи оцінки уразливостей та пріоритезації виявлених питань на основі інфраструктури клієнта є не менш важливими. Сканери цього не роблять.

Управління уразливостями, по суті, є додатком до процесу сканування, який оцінює, пріоритезує та усунує виявлені уразливості. Потребності клієнтів змінюються, тоді як головна мета раніше зводилася до відкриття уразливості, тепер це більше про способи вирішення проблеми.

Відносно моделей ліцензування, використовуваних системами управління уразливостями, вони зазвичай базуються на кількості захищених IP-адрес. Не важливо, де вони розташовані чи скільки встановлень клієнт потребує. Вартість сканера уразливостей, з іншого боку, залежить від кількості встановлень та параметрів сканування, таких як кількість хостів.

Крім того, існують різні типи встановлень, деякі виробники пропонують необмежене використання своїх систем. Ціна також може бути під впливом набору функцій, деякі з яких доступні як платні додаткові.

Критерії вибору системи управління уразливостями

Найважливішими характеристиками є розмір організації, кількість її філій, розташованих у різних часових зонах, а також локалізація продукту, тобто здатність виявляти регіональні та галузеві уразливості.

Цікавим фактором є те, як добре відділи інформаційної безпеки та ІТ можуть домовитися про необхідні функції рішення. Спеціалісти з інформаційної безпеки зазвичай пріоритезують виявлення уразливостей, тоді як команди ІТ в основному зосереджені на розгортанні патчів. Тому перекриття цих двох областей визначить параметри системи.

Також варто звернути увагу на повноту та частоту оновлень, а також на операційні системи, які підтримує сканер. Ідеальна система управління уразливостями також повинна відповідати контексту галузі, яку представляє організація, та застосункам, які вона зараз використовує.

На стадії підписання договору постачальник може запевнити клієнта у своїй готовності додати нові продукти та функції в майбутньому. На жаль, деякі постачальники не завжди виконують такі зобов’язання. Тому найкраще зосередитися на готовій функціональності рішення.

Корисною особливістю будь-якої системи управління уразливостями є можливість розширення власної бази даних уразливостей інформацією з зовнішніх джерел. Також добре, якщо рішення може надати приклад експлойту, який використовує конкретну уразливість.

Більшість клієнтів стикаються з класичною дилемою: використовувати безкоштовний сканер або придбати комерційне рішення з самого початку. Підтримання актуальної бази даних уразливостей – це трудомісткий та дорогий процес. Тому у випадку з безкоштовним продуктом команда розробників може пріоритезувати інші області своєї діяльності в пошуках альтернативних джерел доходу, що пояснює, чому ці сканери мають деякі обмеження.

Інструменти під парасолею управління уразливостями

Набір рішень, необхідних для організації процесу управління уразливостями в компанії, може включати:

•       Різні інструменти для збору інформації про уразливості, такі як сканери, інструменти для обробки даних з зовнішніх джерел та репозиторії інформації, незалежно отриманої фахівцями з інформаційної безпеки.
•       Інструменти пріоритезації уразливостей, які визначають оцінки CVSS та оцінюють вартість активу, потенційно ảnhвленого вадою.
•       Інструменти для взаємодії з зовнішніми базами даних.
•       Системи, які обробляють уразливість у контексті організації, її інфраструктури та глобальної поверхні атаки.

Управління активами та автоматичне встановлення патчів

Процес управління активами повинен мати максимальну ступінь автоматизації, охоплювати всю інфраструктуру організації та відбуватися регулярно. Неможливо пріоритезувати уразливості, якщо ці умови не виконуються. Також неможливо контролювати ІТ-інфраструктуру організації, не знаючи точно, з чого вона складається. Тому управління активами є дуже важливою частиною управління уразливостями.

Основною передумовою для автоматизації процесу встановлення патчів є призначення конкретного ідентифікатора кожному підпису уразливості та забезпечення того, щоб наступне оновлення виправило її. Це складний робочий процес з багатьма пастками. Наслідки пропуску одного оновлення можуть бути катастрофічними, тому розгортання патчів повинно бути якомога краще оркестроване.

Також важливо налаштувати автоматичне встановлення патчів для конкретної області застосування. Для робочих станцій прийнятно обмежити оновлення операційною системою та базовим програмним забезпеченням, таким як браузери та офісні програми. У випадку з серверами все складніше, оскільки там багато на кону, а помилкове оновлення може вплинути на доступність бізнес-критичних ІТ-ресурсів.

Під час моніторингу корпоративної інфраструктури більшість компаній віддають перевагу скануванню над встановленням агентів на кінцевих точках, оскільки вони часто стають точками входу для зловмисного ПО. Однак, якщо хост не може бути доступний іншим чином, потрібно використовувати програми збору даних.

Як раніше згадувалося, безперебійна взаємодія між відділами інформаційної безпеки та ІТ робить різницю. Ці дві команди повинні погодитися щодо політики, яка визначає, хто відповідає за встановлення оновлень для певних ресурсів та як часто це відбувається. По суті, процес управління уразливостями повинен зводитися до моніторингу дотримання таких угод та встановлення термінових патчів.

Що чекає системи управління уразливостями в майбутньому?

На цьому етапі існує чітка тенденція до збільшення автоматизації моніторингу активів та розгортання патчів. Коли корпоративні інфраструктури продовжують міграцію у хмару, цілком можливо, що процес сканування уразливостей буде зведений до перевірки налаштувань безпеки хмари. Інший еволюційний вектор полягає в поліпшенні систем оцінки уразливостей. Інструменти пріоритезації уразливостей будуть містити більше даних, особливо щодо найбільш “експлуатованих” уразливостей.

Також існує велика ймовірність того, що ці системи перейдуть на логіку “все в одному” у найближчі роки, коли одне рішення буде забезпечувати повний спектр інструментів управління інформаційною безпекою. Поява всебічної платформи, яка включає управління уразливостями, управління активами та управління ризиками разом з іншими функціями захисту, є досить ймовірною. Можливо, з’явиться консоль управління уразливостями для всіх елементів цифрової інфраструктури – від сервера або принтера до контейнера на спеціальному хості.