Pasukan keselamatan moden menguruskan lebih daripada sekadar tampalan yang hilang. Permukaan serangan mereka boleh merangkumi titik akhir, beban kerja awan, aplikasi SaaS, identiti, integrasi pihak ketiga, salah konfigurasi dan aset yang menghadap internet. Apabila persekitaran itu berkembang, pasukan perlu menjawab dua soalan berkaitan: Apakah kelemahan yang wujud, dan yang manakah mewujudkan risiko yang paling bermakna?
Pengurusan kerentanan dan pengurusan pendedahan membantu menjawab soalan-soalan tersebut pada tahap yang berbeza. Pengurusan kerentanan menyediakan cara berstruktur untuk mengenal pasti dan memulihkan kelemahan keselamatan yang diketahui. Pengurusan pendedahan meluaskan pandangan dengan menghubungkan kerentanan dengan faktor seperti kebolehcapaian, identiti, laluan serangan dan impak perniagaan.
Dalam blog ini, kami akan menerangkan cara pengurusan pendedahan dan kerentanan berfungsi, kepentingannya dalam keselamatan siber dan bagaimana anda boleh memanfaatkan kedua-duanya untuk mewujudkan postur keselamatan yang berdaya tahan.
Apakah pengurusan pendedahan?
Pengurusan pendedahan merupakan proses berterusan untuk menemui, menilai, mengutamakan dan mengurangkan pendedahan keselamatan berdasarkan faktor seperti keboleheksploitasian, kebolehcapaian, laluan serangan dan potensi impak perniagaan. Ia melangkaui kelemahan individu untuk mengkaji bagaimana kelemahan merentasi aset, identiti, konfigurasi dan kawalan keselamatan boleh digabungkan untuk mewujudkan peluang penyerang.
Pengurusan pendedahan mengubah perspektif daripada organisasi yang cuba memperkukuh keselamatan kepada pendekatan yang berpusatkan serangan dan didorong oleh konteks di mana ia sentiasa mencari pautan lemah dalam infrastruktur IT.
Mengapa pengurusan pendedahan penting
Permukaan serangan moden terlalu besar, dinamik dan saling berkaitan untuk diuruskan melalui pengimbasan kerentanan sahaja. Senarai kerentanan boleh memberitahu pasukan apa yang salah secara teknikal, tetapi ia mungkin tidak menunjukkan risiko yang boleh digunakan oleh penyerang secara realistik atau yang mana mengancam sistem kritikal perniagaan.
Pengurusan pendedahan meluaskan analisis melangkaui kelemahan perisian dengan memasukkan risiko seperti salah konfigurasi awan, kelemahan identiti, kebenaran yang berlebihan, perkhidmatan yang terdedah dan kebergantungan pihak ketiga. Ini membantu pasukan IT mengurangkan hingar beribu-ribu amaran dan memahami sama ada kelemahan boleh dicapai dan menyumbang kepada laluan serangan yang berdaya maju.
Cara pengurusan pendedahan berfungsi
Melaksanakan strategi pengurusan pendedahan memerlukan gelung berterusan dan didorong oleh konteks yang melihat persekitaran dari perspektif penyerang.
- Temui permukaan serangan: Temui dan inventori aset dalaman dan luaran, termasuk aset yang sebelum ini tidak diketahui atau tidak diurus di mana kaedah penemuan mengenal pastinya.
- Kenal pasti pendedahan: Imbas merentasi semua lapisan untuk mencari kelemahan, salah konfigurasi, akaun yang terlalu istimewa, IT bayangan dan risiko pihak ketiga.
- Sahkan keboleheksploitasian: Nilaikan sama ada kelemahan benar-benar boleh dieksploitasi dengan menyemak kebolehcapaian, eksploitasi aktif dan kawalan pampasan.
- Laluan serangan peta: Analisis bagaimana penyerang boleh bergerak melalui persekitaran (contohnya, daripada perkhidmatan yang terdedah kepada kelayakan yang dicuri kepada sistem sensitif).
- Utamakan berdasarkan impak perniagaan: Tingkatkan keutamaan apabila pendedahan menjejaskan sistem kritikal, data sensitif atau kesinambungan perniagaan.
- Memperbaiki, mengurangkan atau mengesahkan kawalan: Gunakan tampalan keselamatan, tutup port, ubah kebenaran, betulkan konfigurasi awan atau sahkan kawalan sedia ada.
Apakah pengurusan kerentanan?
Pengurusan kerentanan merupakan proses berterusan untuk mengenal pasti, menilai, mengutamakan, memulihkan dan menilai semula kelemahan keselamatan yang diketahui merentasi sistem, aplikasi, titik akhir dan rangkaian. Penemuan ini boleh merangkumi kelemahan perisian yang diketahui, tampalan yang hilang, komponen yang ketinggalan zaman dan konfigurasi yang tidak selamat.
Strategi pengurusan kerentanan yang matang juga menggunakan kecerdasan eksploitasi, kritikal aset, pendedahan luaran dan konteks lain untuk menentukan penemuan yang harus ditangani terlebih dahulu.
Mengapa pengurusan kerentanan penting
Kerentanan yang diketahui terus memberi peluang kepada penyerang untuk menjejaskan sistem yang terdedah atau tidak dilindungi secukupnya, terutamanya apabila kelemahan yang boleh dieksploitasi masih belum diatasi. Dengan mengenal pasti dan membetulkan kelemahan ini sebelum ia boleh dieksploitasi, organisasi dapat mengurangkan risiko eksploitasi yang diketahui dengan ketara dan meminimumkan tempoh pendedahan kritikal.
Pengurusan kerentanan meningkatkan kebersihan keselamatan asas keseluruhan merentasi titik akhir, pengguna jarak jauh dan rangkaian hibrid. Ia juga boleh menyokong aliran kerja audit dan pematuhan dengan mencipta rekod kelemahan yang dikenal pasti, aktiviti pemulihan dan keputusan penilaian semula.
Proses berterusan ini memberikan pasukan IT dan keselamatan pandangan yang jelas tentang apa yang perlu ditambal, dinaik taraf atau dikonfigurasikan semula, membantu mereka beralih daripada latihan kebakaran reaktif kepada pelan pemulihan yang tersusun dan proaktif.
Cara pengurusan kerentanan berfungsi
Untuk mengurus kelemahan yang diketahui dengan berkesan, organisasi mesti mengikuti kitaran hayat yang berstruktur dan berterusan.
- Penemuan aset dan inventori: Mengenal pasti aset yang perlu dinilai, seperti titik akhir, pelayan, aplikasi dan sumber awan.
- Pengimbasan kerentanan: Mengimbas sistem untuk mengesan kelemahan yang diketahui, tampalan yang hilang, perisian ketinggalan zaman dan konfigurasi yang tidak selamat.
- Pemarkahan dan keutamaan risiko: Menilai kerentanan berdasarkan tahap keterukan, keboleheksploitasian, kekritikan aset dan risikan ancaman.
- Pemulihan atau mitigasi: Menggunakan tampalan, menaik taraf perisian, mengubah konfigurasi, menggunakan kawalan pampasan atau menerima risiko jika pemulihan segera tidak dapat dilakukan.
- Penilaian semula dan pelaporan: Menilai semula untuk mengesahkan pembetulan yang telah digunakan dan menjana laporan untuk pematuhan dan perancangan masa hadapan.
Perbezaan utama antara pengurusan pendedahan dan pengurusan kerentanan
Pengurusan kerentanan dan pengurusan pendedahan bertindih, terutamanya dalam penemuan, keutamaan, pemulihan dan penilaian semula. Perbezaan utama ialah sejauh mana mereka mentakrifkan masalah secara meluas.
Pengurusan kerentanan biasanya tertumpu pada mengenal pasti dan memulihkan kelemahan keselamatan yang diketahui, sambil semakin banyak menggunakan risikan eksploitasi dan konteks aset untuk mengutamakannya. Pengurusan pendedahan meluaskan analisis tersebut merentasi set pendedahan yang lebih luas dan memberi penekanan yang lebih besar pada kebolehcapaian, laluan serangan, konteks identiti dan impak perniagaan.
Jadual di bawah meringkaskan perbezaan tersebut:
| Kawasan | Pengurusan kerentanan | Pengurusan pendedahan |
|---|---|---|
| Fokus utama | Kelemahan yang diketahui seperti CVE, KEV, tampalan yang hilang, kecacatan perisian dan konfigurasi yang tidak selamat | Permukaan serangan yang lebih luas, termasuk kerentanan, identiti, risiko awan, salah konfigurasi, aset terdedah dan laluan serangan |
| Keluaran utama | Senarai kerentanan, giliran tampalan, laporan pemulihan, rekod pematuhan | Peta pendedahan, pelan pengurangan risiko yang diutamakan, wawasan laluan serangan, tindakan pemulihan yang disahkan |
| Pertanyaan utama | Apakah kelemahan yang wujud dalam persekitaran kita? | Pendedahan manakah yang boleh digunakan oleh penyerang secara realistik terhadap kita? |
| Skop | Titik akhir, aplikasi, sistem pengendalian, rangkaian dan komponen perisian | Aset dalaman dan luaran, awan, SaaS, identiti, risiko pihak ketiga, kawalan dan laluan serangan |
| Pendekatan risiko | Berpusatkan aset dan didorong oleh keterukan | Berpusatkan penyerang, kontekstual dan didorong oleh risiko perniagaan |
| Kaedah keutamaan | Keterukan, skor CVSS, ketersediaan eksploitasi, CISA, KEV, EPSS, status tampalan dan kepentingan aset | Keboleheksploitasian, kebolehcapaian, potensi laluan serangan, impak perniagaan, aktiviti ancaman dan kawalan pampasan |
| Had | Mungkin menghasilkan terlalu banyak dapatan tanpa konteks yang mencukupi | Memerlukan keterlihatan, integrasi dan penyelarasan yang lebih luas merentasi pasukan keselamatan dan IT |
| Terbaik digunakan untuk | Membina kebersihan keselamatan siber dan mengurus kelemahan yang diketahui | Mengurangkan kebolehserangan dunia sebenar merentasi permukaan serangan dinamik |
| Hubungan | Menyediakan data kelemahan asas | Berasaskan pengurusan kerentanan dengan konteks risiko yang lebih luas |
Pengurusan pendedahan vs pengurusan kerentanan: Adakah anda memerlukan kedua-duanya?
Bagi kebanyakan program keselamatan yang matang, ini bukanlah keputusan sama ada/atau. Pengurusan kerentanan menyediakan proses untuk mengenal pasti dan memulihkan kelemahan keselamatan yang diketahui, manakala pengurusan pendedahan menambah permukaan serangan dan konteks perniagaan yang lebih luas.
Kedua-dua disiplin ini tidak menggantikan kawalan pencegahan, detektif, identiti, rangkaian atau tindak balas insiden. Ia membantu pasukan mengenal pasti dan mengurangkan kelemahan merentasi persekitaran tersebut.
Mulakan dengan pengurusan kerentanan jika jurang terdekat anda adalah untuk menemui dan memulihkan kelemahan keselamatan yang diketahui secara konsisten. Beralih ke arah pengurusan pendedahan apabila cabaran yang lebih besar adalah untuk menentukan kerentanan, identiti, konfigurasi dan aset terdedah yang mewujudkan laluan serangan yang bermakna. Dalam program matang, kedua-duanya beroperasi bersama dan bukannya menggantikan satu sama lain.
Utamakan pengurusan kerentanan apabila:
- Anda perlu membina kebersihan keselamatan siber asas: Jika anda kekurangan proses berstruktur untuk menemui aset, pengimbasan dan penampalan.
- Anda kurang dapat melihat kelemahan yang diketahui: Jika pasukan tidak tahu titik akhir atau sistem mana yang mempunyai kelemahan yang diketahui.
- Pengurusan tampalan tidak konsisten: If pengurusan tampalan tertangguh atau terlepas, pengurusan kerentanan mewujudkan proses pemulihan yang teratur.
- Pematuhan adalah syarat utama: Juruaudit memerlukan laporan kerentanan, rekod pemulihan dan bukti pematuhan tampalan.
- Masalah utama anda ialah kelemahan keselamatan yang diketahui: Perisian yang belum ditambal dan OS yang ketinggalan zaman memerlukan pengurusan kerentanan secara langsung.
Utamakan pengurusan pendedahan apabila:
- Permukaan serangan anda telah mengembang: Aset awan, SaaS, titik akhir jauh dan aset yang tidak diurus memerlukan keterlihatan yang lebih luas.
- Penemuan kerentanan amat membanggakan pasukan: Apabila anda mempunyai beribu-ribu penemuan, anda memerlukan konteks keboleheksploitasian dan kebolehcapaian untuk diutamakan.
- Anda memerlukan keterlihatan yang berpusatkan penyerang: Anda perlu memahami bagaimana penyerang sebenarnya boleh masuk dan bergerak melalui persekitaran.
- Anda perlu menguruskan risiko melangkaui CVE: Risiko utama berpunca daripada jurang identiti, salah konfigurasi dan port terbuka.
- Anda perlu menghubungkan penemuan teknikal dengan risiko perniagaan: Anda perlu menjawab sama ada pendedahan menjejaskan sistem kritikal atau sama ada pemulihan sebenarnya mengurangkan risiko perniagaan yang bermakna.
- Anda memerlukan pengurangan risiko yang berterusan: Anda perlu mengesahkan risiko dan mengurangkan kebolehserangan secara dinamik apabila persekitaran berubah.
Bagaimana mereka bekerjasama
Pengurusan kerentanan dan pengurusan pendedahan berfungsi dengan baik apabila ia disepadukan:
- Pengurusan kerentanan membekalkan penemuan teknikal: Ia mengenal pasti kelemahan yang diketahui, memberikan pengurusan pendedahan input yang penting.
- Pengurusan pendedahan menambah konteks: Ia memperkayakan data kerentanan dengan kegentingan aset, keboleheksploitasian, risiko identiti dan pendedahan luaran.
- Bersama-sama, mereka menyokong komunikasi yang lebih baik antara IT dan keselamatan: Pengurusan kerentanan menyediakan butiran teknikal yang diperlukan untuk memperbaiki kelemahan, manakala pengurusan pendedahan menambah konteks dengan menghubungkan keutamaan pemulihan tersebut dengan laluan serangan yang berpotensi dan risiko perniagaan.
Untuk membungkusnya
Pengurusan kerentanan dan pengurusan pendedahan menyelesaikan bahagian masalah keselamatan yang berkaitan tetapi berbeza. Pengurusan kerentanan menyediakan proses yang boleh diulang untuk mencari, mengutamakan, memulihkan dan menilai semula kelemahan teknikal yang diketahui. Pengurusan pendedahan meluaskan pandangan tersebut dengan mempertimbangkan faktor seperti kebolehcapaian, laluan serangan, konteks identiti, kawalan dan impak perniagaan. Jika digunakan bersama, ia boleh membantu pasukan keselamatan memfokuskan usaha pemulihan pada pendedahan yang paling penting.
Veltar Perisian pengurusan kerentanan membawa pengesanan, penilaian risiko, keutamaan, pemulihan dan pengesahan lebih dekat dengan aliran kerja pengurusan titik akhir. Pasukan IT boleh mengenal pasti kelemahan OS dan aplikasi merentasi titik akhir Windows dan macOS yang diuruskan. Ini membantu mengutamakan penemuan menggunakan isyarat seperti keterukan, keboleheksploitasian, aktiviti eksploitasi yang diketahui dan konteks titik akhir, dan mengalihkannya ke dalam pemulihan.
