Pengimbas kerentanan boleh menjana ratusan penemuan, tetapi mengenal pasti kelemahan hanyalah permulaan. Pasukan masih perlu menentukan aset yang terjejas, keboleheksploitasian, risiko perniagaan, pemilikan dan sama ada pemulihan berjaya.
Penilaian kerentanan menyatukan konteks tersebut. Ia menggabungkan penemuan, pengesahan, keutamaan risiko, pemilikan dan pengesahan supaya pasukan boleh memberi tumpuan kepada kelemahan yang memerlukan tindakan. Panduan ini menerangkan proses merentasi titik akhir, rangkaian, aplikasi, API, persekitaran awan dan pangkalan data.
Apakah Penilaian Kerentanan?
Penilaian kerentanan merupakan semakan sistematik terhadap sistem, aplikasi, konfigurasi dan proses untuk mengenal pasti kelemahan keselamatan dan menentukan risikonya kepada organisasi. Ia biasanya menggabungkan pengimbasan automatik dengan pengesahan, konteks aset dan perancangan pemulihan.
Kerentanan boleh wujud dalam perisian, perkhidmatan rangkaian, kebenaran awan, aplikasi web, API, kontena, pangkalan data dan konfigurasi peranti. Ia mungkin terikat pada CVE yang diketahui atau antara muka pentadbir yang terdedah.
Penilaian kerentanan adalah lebih luas daripada pengurusan titik akhirPengimbas khusus dan alat keselamatan mungkin mengenal pasti kelemahan merentasi aplikasi, rangkaian, beban kerja awan, API dan infrastruktur lain. Untuk titik akhir terurus, Scalefusion boleh menyertai kemudian dalam aliran kerja apabila sesuatu penemuan memerlukan tampalan yang disokong atau tindakan pematuhan titik akhir, membantu pasukan IT beralih daripada risiko yang dikenal pasti kepada pemulihan dan pengesahan.
Apa yang ditemui oleh penilaian kerentanan
Bergantung pada skop, penilaian kerentanan boleh mengenal pasti:
- Tampalan sistem pengendalian, perisian tegar dan aplikasi yang hilang
- Perisian yang tidak disokong, tetapan lalai yang tidak selamat dan penyulitan yang lemah
- Port, perkhidmatan, alat akses jauh dan salah konfigurasi wayarles yang terdedah
- Kelemahan aplikasi web dan API yang diketahui, termasuk isu pengesahan dan pengesahan input
- Kebenaran awan yang berlebihan, storan awam, rahsia terdedah dan risiko imej kontena
- Peranti yang tidak lagi memenuhi garis dasar keselamatan yang diperlukan oleh organisasi
Penilaian tidak membuktikan bahawa setiap penemuan boleh dieksploitasi. Ia menentukan di mana pendedahan mungkin wujud dan isu mana yang perlu disiasat atau diambil tindakan terlebih dahulu.
Apa yang perlu dihasilkan oleh penilaian akhir
Bagi setiap penemuan yang bermakna, laporan tersebut harus merekodkan aset yang terjejas, penerangan teknikal, bukti, skor CVE dan CVSS jika berkenaan, keboleheksploitasian, impak perniagaan, pembaikan yang disyorkan, pemilik, tarikh akhir pemulihan dan status pengesahan.
Ia juga harus menunjukkan liputan yang dicapai, penemuan kritikal, risiko yang diterima, pembaikan tertunggak, punca utama yang berulang dan keputusan yang diperlukan daripada kepimpinan.
Mengapa Penilaian Kerentanan Penting
Setiap titik akhir baharu, beban kerja awan, keluaran aplikasi dan perubahan konfigurasi boleh meningkatkan permukaan serangan. Penilaian berkala membantu pasukan melihat jurang sebelum penyerang atau insiden mendedahkannya.
Mengurangkan pendedahan sebelum penyerang mengeksploitasi kelemahan
Penyerang sering mengambil kesempatan ke atas kelemahan yang diketahui dan boleh dicegah: pelayan yang tidak ditampal, perkakas VPN yang terdedah, persekitaran pembangunan yang terdedah atau kelayakan yang digunakan semula. Penilaian kerentanan berulang membantu mengenal pasti isu-isu ini lebih awal dan mengurangkan masa ia kekal tersedia untuk eksploitasi.
Ia juga menyokong pengurusan tampalan berasaskan risiko. Daripada meminta pasukan untuk membetulkan setiap penemuan sekaligus, penilaian tersebut mengenal pasti sistem yang terdedah, aset yang berhadapan dengan internet, kelemahan yang boleh dieksploitasi dan perkhidmatan perniagaan bernilai tinggi yang memerlukan perhatian segera. Katalog Kerentanan Dieksploitasi Diketahui CISA merupakan satu isyarat berguna untuk menentukan sama ada kelemahan yang diketahui dieksploitasi secara aktif di alam liar.
Menyokong pematuhan, audit dan kepercayaan pihak berkepentingan
Rangka kerja keselamatan dan ulasan pelanggan sering menjangkakan bukti pengurusan kerentanan. Bergantung pada skop, bukti penilaian boleh menyumbang kepada aktiviti kawalan keselamatan, audit atau pengurusan risiko di bawah PCI DSS, ISO 27001, NIST panduan, atau panduan CIS. Keperluan berbeza mengikut rangka kerja.
Bagi juruaudit dan pelanggan, bukti terkuat ialah jejak skop, penemuan, pemilikan, status pemulihan, pengecualian dan keputusan ujian semula yang boleh diulang.
Jenis Penilaian Kerentanan
Jenis penilaian bergantung kepada persekitaran.
1. Penilaian rangkaian, hos dan tanpa wayar
Penilaian rangkaian memeriksa hos yang boleh dicapai, port terbuka, perkhidmatan yang terdedah dan protokol yang tidak selamat. Penilaian berasaskan hos memeriksa titik akhir untuk tampalan yang hilang, perisian ketinggalan zaman, masalah konfigurasi dan isu keistimewaan. Imbasan yang disahkan memberikan tampalan dan keterlihatan perisian yang lebih mendalam.
Penilaian tanpa wayar mencari titik akses penyangak, penyulitan Wi-Fi yang lemah, rangkaian tetamu yang tidak selamat dan peranti yang tidak dibenarkan.
2. Penilaian aplikasi, API dan pangkalan data
Penilaian aplikasi memberi tumpuan kepada laman web, backend mudah alih dan aplikasi perniagaan. Ia boleh mengenal pasti kelemahan komponen, pengepala tidak selamat, ralat konfigurasi dan kelemahan pengesahan. Penilaian API menambah semakan untuk kebenaran yang rosak, titik akhir yang terdedah dan pengendalian token yang lemah.
Penilaian pangkalan data menyemak tahap tampalan, kawalan akses, pendedahan rangkaian, penyulitan dan konfigurasi. Menyelaras pengimbasan untuk mengelakkan daripada menjejaskan beban kerja pengeluaran.
3. Penilaian permukaan awan, kontena dan serangan luaran
Penilaian awan menyemak pengurusan identiti dan akses, storan awam, perkhidmatan terdedah, kumpulan keselamatan dan hanyutan konfigurasi. Penilaian kontena dan Kubernetes menambah kerentanan imej, rahsia terdedah, kebenaran beban kerja dan konfigurasi kluster.
Penilaian permukaan serangan luaran memberi tumpuan kepada apa yang boleh dilihat dari internet: domain, subdomain, sijil, perkhidmatan jarak jauh, IT bayangan dan aset terdedah.
Proses Penilaian Kerentanan: Daripada Skop kepada Pembaikan
Tentukan skop, aset dan peraturan penilaian
Mulakan dengan inventori aset semasa. Tentukan apa yang akan dinilai, siapa yang memiliki setiap aset, persekitaran yang disertakan, tetingkap imbasan, kelayakan dan peraturan pengendalian data. Sertakan akaun awan, titik akhir jauh, integrasi SaaS dan pihak ketiga yang berkaitan.
Kelaskan aset mengikut kekritikan perniagaan dan kepekaan data sebelum imbasan. Penemuan kritikal pada sistem ujian terpencil tidak sama dengan penemuan yang sama pada perkhidmatan pembayaran yang menghadap internet.
Imbas, sahkan dan utamakan dapatan
Jalankan imbasan yang disahkan dan tidak disahkan yang sesuai, kemudian perkayakan hasil dengan data aset, pendedahan dan ancaman. Sahkan penemuan berimpak tinggi dan tentukan sama ada kawalan pampasan mengurangkan risiko.
Utamakan penggunaan lebih daripada sekadar tahap keterukan pengimbas. Keputusan risiko praktikal mempertimbangkan CVSS, ketersediaan eksploitasi, bukti eksploitasi aktif, kebarangkalian EPSS, pendedahan internet, kritikal aset, data sensitif, kemudahan pergerakan sisi dan kawalan yang tersedia. Gunakan CVE pengecam untuk mengesan kelemahan yang diketahui, tetapi ingat bahawa CVSS mengukur tahap keterukan teknikal, bukan risiko perniagaan sepenuhnya.
Laporkan, pulihkan dan sahkan pembetulan
Cipta tiket pemulihan dengan pemilik, tarikh akhir, panduan pembetulan dan bukti yang jelas. Pasukan boleh menampal perisian, mengubah konfigurasi, mengalih keluar pendedahan, memutar rahsia atau menggunakan kawalan sementara. Dokumenkan pengecualian dengan tarikh luput dan pemilik risiko yang bertanggungjawab.
Selepas pembaikan, uji semula aset yang terjejas. Jangan tutup penemuan hanya kerana tampalan telah digunakan; sahkan bahawa ia tidak lagi dapat dikesan. Semak corak berulang untuk menangani punca utama.
Apabila penilaian mengenal pasti kelemahan yang boleh ditambal atau berkaitan dasar pada titik akhir yang diurus, pasukan IT memerlukan pemulihan terkawal dan keterlihatan keadaan titik akhir supaya penemuan keutamaan boleh menuju ke arah penutupan.
Apabila penemuan pada titik akhir terurus boleh dipulihkan dengan tampalan yang tersedia, Scalefusion Pengurusan Patch Automatik boleh membantu pasukan IT mengawal penggunaan kemas kini dan memantau keadaan tampalan yang terhasil. Pentadbir boleh menyemak kemas kini yang dipasang, belum selesai atau gagal dan menggunakan laporan tampalan untuk menjejaki sejarah kemas kini merentasi peranti yang diurus.
Senarai Semak Penilaian Kerentanan
Gunakan senarai semak ini untuk memastikan penilaian menghasilkan kerja yang boleh dipertahankan dan diambil tindakan.
Sebelum penilaian
- Sahkan objektif, skop, pengecualian dan peraturan penglibatan.
- Selaraskan inventori aset dengan akaun awan, titik akhir, aplikasi dan API.
- Kenal pasti pemilik aset, tahap kritikal perniagaan, data sensitif dan tempoh penyelenggaraan.
- Pilih kaedah imbasan, kelayakan, had kadar dan kenalan peningkatan.
- Tentukan kriteria keterukan, SLA pemulihan dan proses pengecualian.
Semasa penilaian
- Jalankan penemuan dan imbasan yang diluluskan terhadap persekitaran dalam skop.
- Gunakan imbasan yang disahkan jika sesuai dan selamat untuk berbuat demikian.
- Hubungkan dapatan dengan data CVE, nasihat vendor dan konteks aset.
- Sahkan keputusan kritikal dan berisiko tinggi sebelum meningkatkannya.
- Rekodkan bukti, versi yang terjejas, butiran pendedahan dan impak perniagaan.
Selepas penilaian
- Tugaskan pemilik pemulihan dan tarikh akhir berdasarkan risiko.
- Terbitkan laporan yang merangkumi risiko terbuka, risiko yang diterima dan jurang liputan.
- Jejaki tampalan, perubahan konfigurasi dan kawalan pampasan sehingga selesai.
- Uji semula dapatan yang telah dipulihkan dan akhiri hanya dengan bukti.
- Semak trend dan jadualkan penilaian seterusnya atau imbasan semula berasaskan peristiwa.
Alat, Teknik dan Sumber Data
Penilaian kerentanan yang berkesan menggabungkan automasi dengan pertimbangan manusia. Tiada satu alat pun yang menyediakan liputan lengkap.
Pengimbas automatik dan pengesahan manual
Pengimbas kerentanan mengenal pasti kelemahan yang diketahui merentasi persekitaran yang besar. Kategori biasa termasuk pengimbas rangkaian dan hos, pengimbas aplikasi web, analisis komposisi perisian, pengurusan postur keselamatan awan, pengimbasan imej kontena dan pengurusan permukaan serangan.
Pengesahan manual membantu menentukan sama ada penemuan penting relevan dan boleh dieksploitasi, mengurangkan positif palsu dan mengelakkan kerja pemulihan bernilai rendah. Pengujian harus kekal dibenarkan dan mematuhi peraturan penglibatan yang dipersetujui.
Pangkalan data kerentanan, risikan ancaman dan data aset
Keputusan imbasan menjadi lebih berguna apabila dipasangkan dengan sumber yang boleh dipercayai. Pangkalan Data Kerentanan Kebangsaan menyediakan maklumat kerentanan piawai, manakala nasihat vendor menerangkan produk dan pembetulan yang terjejas. Perisikan ancaman, CISA KEV dan pemilikan aset menunjukkan di mana penemuan paling penting.
Pengimbasan yang disahkan vs tidak disahkan
Pengimbasan yang tidak disahkan menunjukkan apa yang mungkin dilihat oleh penyerang luaran atau penyerang berkelayakan rendah. Ia menguji pendedahan awam dan konfigurasi perimeter. Pengimbasan yang disahkan menggunakan kelayakan atau ejen yang diluluskan untuk memeriksa tahap tampalan, pakej yang dipasang, konfigurasi dan tetapan keselamatan.
Gunakan kedua-duanya jika boleh. Imbasan yang tidak disahkan boleh mendedahkan pendedahan yang terlepas pandang oleh imbasan dalaman, manakala imbasan yang disahkan mengurangkan titik buta dalam sistem terurus.
Amalan Terbaik Penilaian Kerentanan dan Perangkap Biasa
Kualiti aliran kerja adalah sama pentingnya dengan kualiti pengimbas.
Utamakan risiko sebenar, bukan tahap keterukan pengimbas sahaja
Anggap CVSS sebagai titik permulaan, bukan giliran. Kerentanan yang dieksploitasi secara aktif pada aset yang menghadap internet boleh mengatasi isu CVSS yang lebih tinggi pada sistem terpencil. Tetapkan kriteria keutamaan yang dipersetujui.
Kurangkan positif palsu dan titik buta
Sahkan penemuan berisiko tinggi dan kekalkan pemilikan aset yang tepat. Liputan akan menjadi lemah jika titik akhir, kontena, aset SaaS atau akaun awan tiada dalam inventori. Dokumenkan pengecualian dan sistem yang tidak boleh diimbas sebagai risiko sisa.
Cipta pemilikan, SLA dan irama berterusan
Pasukan keselamatan mengenal pasti dan membimbing; pemilik infrastruktur, DevOps, aplikasi dan perniagaan biasanya melaksanakan pembetulan. Takrifkan SLA pemulihan mengikut peringkat risiko, jejak pengecualian dan sertakan keputusan dalam aliran kerja perubahan dan pelepasan. Tetapkan irama penilaian berdasarkan kritikal aset, pendedahan, kekerapan perubahan dan keperluan yang berkenaan. Sesetengah organisasi menilai persekitaran berisiko tinggi setiap bulan dan persekitaran berisiko rendah setiap suku tahun, dengan imbasan tambahan selepas perubahan besar, insiden atau pendedahan kerentanan yang ketara.
Untuk penemuan titik akhir yang berkaitan dengan peraturan pematuhan yang disokong, Veltar Pematuhan Automatik boleh membantu pasukan memantau status pematuhan, mengenal pasti peranti yang tidak patuh, menyokong pemulihan dan menghasilkan laporan pematuhan. Ini melengkapi aliran kerja pemulihan; ia tidak menggantikan alat penilaian kerentanan yang menemui kelemahan merentasi rangkaian, aplikasi, persekitaran awan atau infrastruktur lain.
Pengurusan Kerentanan vs Penilaian Kerentanan vs Ujian Penembusan
Aktiviti-aktiviti ini bertindih, tetapi ia menjawab soalan yang berbeza.
Perbezaan setiap aktiviti
| Aktiviti | Tujuan utama | Keluaran biasa | Bila hendak menggunakannya |
|---|---|---|---|
| Pengimbasan kerentanan | Mengesan kemungkinan kelemahan yang diketahui | Penemuan teknikal mentah | Untuk liputan teknikal yang kerap dan luas |
| Penilaian kelemahan | Sahkan, utamakan dan rancang pembetulan | Laporan dan pelan pemulihan yang dinilai berdasarkan risiko | Apabila penemuan memerlukan konteks aset, pemilikan dan keutamaan pemulihan |
| Pengurusan kerentanan | Menemui, memperbaiki, mengesahkan dan melaporkan secara berterusan | Kitaran hayat dan metrik yang berterusan | Menjalankan penilaian dan pemulihan sebagai program berterusan |
| Ujian penembusan | Mengeksploitasi kelemahan terpilih dengan selamat untuk menunjukkan impak | Naratif serangan, bukti dan cadangan | Untuk menguji impak yang realistik atau keberkesanan kawalan yang penting |
Bila hendak menggunakan setiap satu
Aktiviti-aktiviti ini berfungsi paling baik sebagai lapisan pelengkap: pengimbasan menyediakan penemuan yang luas, penilaian menambah konteks dan keutamaan, pengurusan kerentanan mengekalkan kitaran hayat pemulihan dan ujian penembusan menguji laluan serangan terpilih dengan lebih mendalam.
Soalan Lazim
1. Adakah penilaian kerentanan sama dengan pengimbasan kerentanan?
Tidak. Pengimbasan kerentanan biasanya merupakan salah satu aktiviti dalam penilaian kerentanan penuh. Penilaian juga merangkumi definisi skop, pengesahan, keutamaan, pelaporan, pemilikan dan perancangan pemulihan.
2. Berapa kerapkah penilaian kerentanan perlu dijalankan?
Banyak organisasi menilai persekitaran kritikal setiap bulan atau setiap suku tahun, tetapi irama yang betul bergantung pada risiko, jumlah perubahan dan keperluan kawal selia. Jalankan penilaian tambahan selepas keluaran utama, penggunaan baharu, perubahan awan, insiden, penggabungan atau pendedahan kerentanan berimpak tinggi.
3. Apakah yang perlu disertakan dalam laporan penilaian kerentanan?
Sertakan aset yang terjejas, perihalan kerentanan, tahap keterukan dan keboleheksploitasian, impak perniagaan, bukti, panduan pemulihan, pemilik, tarikh akhir, pengecualian, risiko sisa dan keputusan pengesahan. Ringkasan eksekutif juga harus menunjukkan liputan, risiko kritikal, tindakan tertunggak dan trend.
4. Bolehkah penilaian kerentanan menemui kerentanan hari sifar?
Penilaian adalah paling kukuh dalam mencari kelemahan dan salah konfigurasi yang diketahui. Risiko sifar hari mungkin memerlukan risikan ancaman, pemantauan tingkah laku, semakan kod, semakan konfigurasi, kejuruteraan pengesanan atau ujian penembusan sebagai tambahan kepada penilaian rutin.
5. Apakah perbezaan antara penilaian kerentanan dan ujian penembusan?
Penilaian kerentanan secara meluas mengenal pasti dan mengutamakan kelemahan. Ujian penembusan cuba mengeksploitasi kelemahan terpilih, dalam peraturan yang dipersetujui, untuk menunjukkan impak dan laluan serangan yang realistik.
6. Siapakah yang bertanggungjawab untuk membetulkan kelemahan selepas penilaian?
Tanggungjawab dikongsi. Pasukan keselamatan menyelaras keputusan risiko; operasi IT, DevOps, pemilik aplikasi dan pasukan awan biasanya membuat perubahan; dan ketua risiko meluluskan pengecualian. SLA pemilikan dan pemulihan yang jelas menghalang penemuan daripada menjadi tunggakan kekal.
Penilaian kerentanan hanya berharga apabila ia mengubah keterlihatan menjadi pengurangan risiko yang disahkan. Mulakan dengan skop dan konteks aset yang tepat, utamakan kelemahan yang boleh digunakan oleh penyerang, berikan kerja kepada pemilik yang bertanggungjawab dan uji semula setiap pembaikan penting.
Tukarkan penemuan titik akhir yang berkaitan kepada kerja pemulihan yang boleh dijejaki dengan Scalefusion. Gunakan tampalan yang disokong, pantau status tampalan dan pematuhan, pulihkan sisihan pematuhan yang disokong dan gunakan laporan titik akhir untuk menyemak kemajuan merentasi peranti yang diurus.
