Skanery podatności mogą generować setki wyników, ale identyfikacja słabego punktu to dopiero początek. Zespoły muszą jeszcze określić zagrożone zasoby, podatność na wykorzystanie, ryzyko biznesowe, własność oraz to, czy działania naprawcze przyniosły skutek.
Ocena podatności łączy ten kontekst. Łączy w sobie wykrywanie, walidację, priorytetyzację ryzyka, odpowiedzialność i weryfikację, dzięki czemu zespoły mogą skupić się na słabościach, które uzasadniają podjęcie działań. Ten przewodnik wyjaśnia ten proces w odniesieniu do punktów końcowych, sieci, aplikacji, interfejsów API, środowisk chmurowych i baz danych.
Czym jest ocena podatności?
Ocena podatności to systematyczny przegląd systemów, aplikacji, konfiguracji i procesów w celu zidentyfikowania luk w zabezpieczeniach i określenia ich ryzyka dla organizacji. Zazwyczaj łączy automatyczne skanowanie z walidacją, analizą kontekstu zasobów i planowaniem działań naprawczych.
Luki w zabezpieczeniach mogą występować w oprogramowaniu, usługach sieciowych, uprawnieniach w chmurze, aplikacjach internetowych, interfejsach API, kontenerach, bazach danych i konfiguracjach urządzeń. Mogą być powiązane ze znanym luką bezpieczeństwa (CVE) lub ujawnionym interfejsem administracyjnym.
Ocena podatności jest szersza niż zarządzanie punktami końcowymiSpecjalistyczne skanery i narzędzia bezpieczeństwa mogą identyfikować słabe punkty w aplikacjach, sieciach, obciążeniach chmurowych, interfejsach API i innej infrastrukturze. W przypadku zarządzanych punktów końcowych Scalefusion może uczestniczyć w przepływie pracy na późniejszym etapie, gdy wykrycie wymaga zastosowania obsługiwanej poprawki lub działania w celu zapewnienia zgodności z przepisami dotyczącymi punktów końcowych, pomagając zespołom IT przejść od zidentyfikowanego ryzyka do jego naprawy i weryfikacji.
Co ujawnia ocena podatności
W zależności od zakresu ocena podatności może zidentyfikować:
- Brak poprawek systemu operacyjnego, oprogramowania sprzętowego i aplikacji
- Nieobsługiwane oprogramowanie, niebezpieczne ustawienia domyślne i słabe szyfrowanie
- Odsłonięte porty, usługi, narzędzia dostępu zdalnego i nieprawidłowe konfiguracje sieci bezprzewodowej
- Znane słabości aplikacji internetowych i interfejsu API, w tym problemy z uwierzytelnianiem i walidacją danych wejściowych
- Nadmierne uprawnienia w chmurze, publiczne przechowywanie, ujawnione sekrety i zagrożenia związane z obrazami kontenerów
- Urządzenia, które nie spełniają już wymaganych przez organizację standardów bezpieczeństwa
Ocena nie dowodzi, że każde odkrycie można wykorzystać. Określa ona miejsca, w których może dojść do ujawnienia informacji, oraz kwestie wymagające zbadania lub podjęcia działań w pierwszej kolejności.
Co powinna dać ocena końcowa
W przypadku każdego istotnego ustalenia raport powinien zawierać informacje o zagrożonym zasobie, opis techniczny, dowody, ocenę CVE i CVSS (jeśli ma to zastosowanie), możliwość wykorzystania luki w zabezpieczeniach, wpływ na działalność, zalecane rozwiązanie, właściciela, termin wykonania naprawy oraz status weryfikacji.
Raport powinien także zawierać informacje o osiągniętym zasięgu, najważniejszych ustaleniach, zaakceptowanych ryzykach, zaległych poprawkach, powtarzających się przyczynach źródłowych i decyzjach, które powinno podjąć kierownictwo.
Dlaczego ocena podatności jest ważna
Każdy nowy punkt końcowy, obciążenie w chmurze, wydanie aplikacji i zmiana konfiguracji mogą zwiększyć powierzchnię ataku. Regularne oceny pomagają zespołom dostrzec luki, zanim atakujący lub incydent je ujawnią.
Ograniczanie narażenia, zanim atakujący wykorzystają słabości
Atakujący często wykorzystują znane, możliwe do uniknięcia słabości: niezałatany serwer, podatne na ataki urządzenie VPN, narażone środowisko programistyczne lub ponownie wykorzystane dane uwierzytelniające. Regularna ocena podatności pomaga wcześnie identyfikować te problemy i skraca czas, w którym mogą one zostać wykorzystane.
Wspiera również zarządzanie poprawkami opartymi na ryzyku. Zamiast prosić zespoły o naprawianie wszystkich usterek naraz, ocena identyfikuje narażone systemy, zasoby dostępne z poziomu internetu, podatne na ataki luki i wartościowe usługi biznesowe wymagające natychmiastowej uwagi. Katalog znanych wykorzystywanych luk CISA jest przydatnym sygnałem pozwalającym określić, czy znana słabość jest aktywnie wykorzystywana w środowisku naturalnym.
Wspieranie zgodności, audytów i zaufania interesariuszy
Ramy bezpieczeństwa i opinie klientów często wymagają dowodów zarządzania podatnościami. W zależności od zakresu, dowody z oceny mogą być wykorzystane w działaniach z zakresu kontroli bezpieczeństwa, audytu lub zarządzania ryzykiem. PCI DSS, ISO 27001, NIST Wytyczne lub wytyczne CIS. Wymagania różnią się w zależności od struktury.
Dla audytorów i klientów najsilniejszym dowodem jest powtarzalny ślad zakresu, ustaleń, odpowiedzialności, statusu napraw, wyjątków i wyników ponownych testów.
Rodzaje ocen podatności
Rodzaj oceny zależy od środowiska.
1. Ocena sieci, hostów i sieci bezprzewodowych
Oceny sieci badają dostępne hosty, otwarte porty, narażone usługi i niezabezpieczone protokoły. Oceny oparte na hostach badają punkty końcowe pod kątem brakujących poprawek, nieaktualnego oprogramowania, problemów z konfiguracją i uprawnień. Skanowanie uwierzytelnione zapewnia głębszy wgląd w poprawki i oprogramowanie.
Oceny sieci bezprzewodowych mają na celu wykrywanie nieautoryzowanych punktów dostępu, słabego szyfrowania sieci Wi-Fi, niebezpiecznych sieci dla gości i nieautoryzowanych urządzeń.
2. Oceny aplikacji, API i baz danych
Oceny aplikacji koncentrują się na stronach internetowych, zapleczu mobilnym i aplikacjach biznesowych. Umożliwiają one identyfikację luk w zabezpieczeniach komponentów, niebezpiecznych nagłówków, błędów konfiguracji i słabych punktów uwierzytelniania. Oceny API obejmują również kontrole pod kątem wadliwej autoryzacji, narażonych punktów końcowych i słabej obsługi tokenów.
Oceny baz danych obejmują weryfikację poziomów poprawek, kontroli dostępu, narażenia sieci, szyfrowania i konfiguracji. Koordynacja skanowania w celu uniknięcia wpływu na obciążenia produkcyjne.
3. Ocena chmury, kontenerów i zewnętrznej powierzchni ataku
Oceny chmury obejmują weryfikację zarządzania tożsamościami i dostępem, pamięci masowej publicznej, ujawnionych usług, grup zabezpieczeń i zmian konfiguracji. Oceny kontenerów i Kubernetes uwzględniają luki w zabezpieczeniach obrazów, ujawnione sekrety, uprawnienia do zadań i konfigurację klastra.
Ocena zewnętrznej powierzchni ataku koncentruje się na tym, co jest widoczne z Internetu: domenach, subdomenach, certyfikatach, usługach zdalnych, ukryciu IT i narażonych zasobach.
Proces oceny podatności: od zakresu do rozwiązania
Zdefiniuj zakres, zasoby i zasady oceny
Zacznij od bieżącego spisu zasobów. Określ, co będzie oceniane, kto jest właścicielem każdego zasobu, uwzględnione środowiska, okna skanowania, dane uwierzytelniające i reguły przetwarzania danych. Uwzględnij konta w chmurze, zdalne punkty końcowe, integracje SaaS i strony trzecie, tam gdzie to konieczne.
Przed skanowaniem należy sklasyfikować zasoby według ich krytyczności biznesowej i wrażliwości danych. Krytyczny wynik w odizolowanym systemie testowym nie jest równoważny takiemu samemu wynikowi w usłudze płatności internetowej.
Skanuj, sprawdzaj i ustalaj priorytety ustaleń
Przeprowadź odpowiednie uwierzytelnione i nieuwierzytelnione skanowanie, a następnie wzbogacaj wyniki o dane dotyczące zasobów, narażenia na atak i zagrożeń. Zweryfikuj istotne ustalenia i określ, czy kompensujące mechanizmy kontroli zmniejszają ryzyko.
Priorytetyzacja nie jest ściśle związana z ważnością skanera. Praktyczna decyzja o ryzyku uwzględnia CVSS, dostępność exploitów, dowody aktywnej eksploatacji, prawdopodobieństwo EPSS, narażenie na atak z internetu, krytyczność zasobów, dane wrażliwe, łatwość przemieszczania się oraz dostępne środki kontroli. CVE identyfikatory umożliwiające śledzenie znanych wad, należy jednak pamiętać, że CVSS mierzy powagę techniczną, a nie pełne ryzyko biznesowe.
Zgłaszaj, naprawiaj i weryfikuj poprawki
Twórz zgłoszenia naprawcze z jasno określonym właścicielem, terminem wykonania, wskazówkami dotyczącymi naprawy i dowodami. Zespoły mogą łatać oprogramowanie, zmieniać konfigurację, usuwać narażenie, rotować kluczem tajnym lub stosować tymczasową kontrolę. Dokumentuj wyjątki z datą wygaśnięcia i odpowiedzialnym właścicielem ryzyka.
Po wykonaniu naprawy ponownie przetestuj uszkodzony zasób. Nie zamykaj zgłoszenia tylko dlatego, że wdrożono poprawkę; sprawdź, czy nie jest już ono wykrywalne. Przeanalizuj powtarzające się wzorce, aby znaleźć główne przyczyny problemu.
Gdy oceny wskazują na możliwe do załatania lub związane z polityką słabości w zarządzanych punktach końcowych, zespoły IT potrzebują kontrolowanej naprawy i widoczności stanu punktów końcowych, aby można było zbliżyć się do zamknięcia priorytetowych ustaleń.
Gdy znalezisko na zarządzanym punkcie końcowym można naprawić za pomocą dostępnej poprawki, Scalefusion Zautomatyzowane zarządzanie poprawkami może pomóc zespołom IT kontrolować wdrażanie aktualizacji i monitorować stan poprawek. Administratorzy mogą przeglądać zainstalowane, oczekujące lub nieudane aktualizacje oraz korzystać z raportów dotyczących poprawek, aby śledzić historię aktualizacji na zarządzanych urządzeniach.
Lista kontrolna oceny podatności
Użyj tej listy kontrolnej, aby mieć pewność, że ocena przyniesie obronną, możliwą do wykonania pracę.
Przed oceną
- Potwierdź cel, zakres, wyłączenia i zasady zaangażowania.
- Uzgodnij inwentaryzację zasobów z kontami w chmurze, punktami końcowymi, aplikacjami i interfejsami API.
- Zidentyfikuj właścicieli aktywów, krytyczność przedsiębiorstwa, poufne dane i okna konserwacyjne.
- Wybierz metody skanowania, dane uwierzytelniające, limity szybkości i kontakty eskalacji.
- Zdefiniuj kryteria ważności, umowy SLA dotyczące naprawienia szkody i proces wyjątku.
Podczas oceny
- Uruchom skanowanie wykrywające i zatwierdzające w środowisku objętym zakresem.
- Jeśli jest to możliwe i bezpieczne, należy używać uwierzytelnionego skanowania.
- Porównaj wyniki z danymi CVE, ostrzeżeniami dostawców i kontekstem zasobów.
- Przed eskalacją należy sprawdzić wyniki krytyczne i wysokiego ryzyka.
- Rejestruj dowody, wersje, szczegóły narażenia i wpływ na działalność biznesową.
Po ocenie
- Przypisz właścicieli gruntów objętych pracami naprawczymi i terminy ich wykonania na podstawie ryzyka.
- Opublikuj raport uwzględniający ryzyko otwarte, ryzyko akceptowane i luki w pokryciu.
- Śledź poprawki, zmiany konfiguracji i kompensuj kontrole aż do zakończenia.
- Ponownie przetestuj poprawione ustalenia i zakończ jedynie na podstawie dowodów.
- Przejrzyj trendy i zaplanuj kolejną ocenę lub ponowne skanowanie wywołane zdarzeniem.
Narzędzia, techniki i źródła danych
Skuteczna ocena podatności łączy automatyzację z ludzką oceną. Żadne pojedyncze narzędzie nie zapewnia pełnego zakresu.
Automatyczne skanery i walidacja ręczna
Skanery podatności identyfikują znane słabości w dużych środowiskach. Typowe kategorie obejmują skanery sieci i hostów, skanery aplikacji internetowych, analizę składu oprogramowania, zarządzanie postawą bezpieczeństwa w chmurze, skanowanie obrazów kontenerów oraz zarządzanie powierzchnią ataku.
Ręczna walidacja pomaga określić, czy istotne ustalenia są istotne i możliwe do wykorzystania, zmniejsza liczbę fałszywych alarmów i pozwala uniknąć prac naprawczych o niskiej wartości. Testowanie powinno być autoryzowane i zgodne z ustalonymi zasadami współpracy.
Bazy danych luk w zabezpieczeniach, informacje o zagrożeniach i dane o zasobach
Wyniki skanowania stają się bardziej przydatne, gdy są łączone z wiarygodnymi źródłami. Krajowa baza danych podatności Dostarcza ujednoliconych informacji o lukach w zabezpieczeniach, a ostrzeżenia dostawców wyjaśniają, których produktów dotyczą luki, i jakie są ich rozwiązania. Informacje o zagrożeniach, CISA KEV i informacje o własności zasobów wskazują, gdzie odkrycie jest najważniejsze.
Skanowanie uwierzytelnione i nieuwierzytelnione
Skanowanie bez uwierzytelnienia pokazuje, co może zobaczyć atakujący z zewnątrz lub o niskich uprawnieniach. Testuje ono publiczne narażenie na ataki i konfigurację perymetru. Skanowanie z uwierzytelnieniem wykorzystuje zatwierdzone dane uwierzytelniające lub agentów do sprawdzania poziomów poprawek, zainstalowanych pakietów, konfiguracji i ustawień zabezpieczeń.
W miarę możliwości należy używać obu metod. Nieuwierzytelnione skanowanie może ujawnić zagrożenia, które nie są wykrywane przez skanowanie wewnętrzne, natomiast uwierzytelnione skanowanie redukuje martwe punkty w zarządzanych systemach.
Najlepsze praktyki w zakresie oceny podatności i typowe pułapki
Jakość przepływu pracy jest tak samo ważna jak jakość skanera.
Priorytetyzacja na podstawie rzeczywistego ryzyka, a nie tylko stopnia ważności skanera
Traktuj CVSS jako punkt wyjścia, a nie kolejkę. Aktywnie wykorzystywana luka w zabezpieczeniach zasobu dostępnego z internetu może mieć wyższą rangę niż problem CVSS w systemie odizolowanym. Ustal uzgodnione kryteria priorytetyzacji.
Zmniejsz liczbę fałszywych wyników pozytywnych i martwych punktów
Weryfikuj ustalenia wysokiego ryzyka i dbaj o prawidłowe zarządzanie zasobami. Pokrycie będzie słabe, jeśli w inwentaryzacji brakuje punktów końcowych, kontenerów, zasobów SaaS lub kont w chmurze. Udokumentuj wykluczenia i systemy nieskanowalne jako ryzyko resztkowe.
Stwórz poczucie odpowiedzialności, umowy SLA i ciągły rytm
Zespoły ds. bezpieczeństwa identyfikują i nadzorują wdrażanie poprawek przez właścicieli infrastruktury, DevOps, aplikacji i firm. Definiują umowy SLA dotyczące napraw według poziomu ryzyka, śledzą wyjątki i uwzględniają wyniki w przepływach pracy związanych ze zmianami i wydaniami. Ustalają częstotliwość oceny na podstawie krytyczności zasobów, narażenia na zagrożenia, częstotliwości zmian i obowiązujących wymagań. Niektóre organizacje oceniają środowiska o podwyższonym ryzyku co miesiąc, a środowiska o niższym ryzyku co kwartał, z dodatkowymi skanami po wystąpieniu istotnych zmian, incydentów lub ujawnieniu istotnych luk w zabezpieczeniach.
W przypadku ustaleń punktów końcowych powiązanych z obsługiwanymi regułami zgodności Veltar Zautomatyzowana zgodność może pomóc zespołom monitorować status zgodności, identyfikować niezgodne urządzenia, wspierać działania naprawcze i generować raporty zgodności. Uzupełnia to proces naprawczy, ale nie zastępuje narzędzi do oceny podatności, które wykrywają słabe punkty w sieciach, aplikacjach, środowiskach chmurowych i innych infrastrukturach.
Zarządzanie podatnościami a ocena podatności a testy penetracyjne
Działania te pokrywają się, ale odpowiadają na różne pytania.
Czym różnią się poszczególne aktywności
| Aktywność | Podstawowy cel | Typowy wynik | Kiedy go używać |
|---|---|---|---|
| Skanowanie luk w zabezpieczeniach | Wykryj możliwe znane słabości | Surowe ustalenia techniczne | Do częstego i szerokiego zakresu zagadnień technicznych |
| Ocena podatności | Sprawdzaj, ustalaj priorytety i planuj poprawki | Raport o ocenie ryzyka i plan naprawczy | Kiedy ustalenia wymagają kontekstu aktywów, własności i priorytetów naprawczych |
| Zarządzanie podatnością | Ciągłe odkrywanie, naprawianie, weryfikowanie i raportowanie | Bieżący cykl życia i metryki | Przeprowadzanie oceny i działań naprawczych w ramach programu ciągłego |
| Testy penetracyjne | Bezpiecznie wykorzystaj wybrane słabości, aby wykazać wpływ | Narracja ataku, dowody i zalecenia | Aby przetestować realistyczny wpływ lub istotną skuteczność kontroli |
Kiedy używać każdego z nich
Działania te najlepiej sprawdzają się jako warstwy uzupełniające: skanowanie zapewnia szeroki zakres odkryć, ocena dodaje kontekst i priorytety, zarządzanie podatnościami utrzymuje cykl życia środków zaradczych, a testy penetracyjne pozwalają na dogłębniejsze testowanie wybranych ścieżek ataków.
FAQ
1. Czy ocena podatności jest tym samym, co skanowanie podatności?
Nie. Skanowanie podatności jest zazwyczaj jednym z działań w ramach pełnej oceny podatności. Ocena obejmuje również definiowanie zakresu, walidację, priorytetyzację, raportowanie, odpowiedzialność i planowanie działań naprawczych.
2. Jak często należy przeprowadzać ocenę podatności?
Wiele organizacji ocenia krytyczne środowiska co miesiąc lub kwartał, ale właściwa częstotliwość zależy od ryzyka, liczby zmian i wymogów regulacyjnych. Przeprowadź dodatkowe oceny po wprowadzeniu ważnych wersji, nowych wdrożeń, zmianach w chmurze, incydentach, fuzjach lub ujawnieniu istotnych luk w zabezpieczeniach.
3. Co powinien zawierać raport oceny podatności?
Uwzględnij zagrożone zasoby, opisy luk, ich wagę i podatność na wykorzystanie, wpływ na działalność, dowody, wskazówki dotyczące działań naprawczych, właścicieli, terminy, wyjątki, ryzyko resztkowe i wyniki weryfikacji. Podsumowanie powinno również zawierać informacje o zasięgu, krytycznych ryzykach, zaległych działaniach i trendach.
4. Czy ocena podatności może wykryć luki typu zero-day?
Oceny są najskuteczniejsze w wykrywaniu znanych luk w zabezpieczeniach i błędnych konfiguracji. Ryzyka typu zero-day mogą wymagać analizy zagrożeń, monitorowania zachowań, przeglądu kodu, przeglądu konfiguracji, inżynierii wykrywania lub testów penetracyjnych, oprócz rutynowych ocen.
5. Jaka jest różnica między oceną podatności a testowaniem penetracyjnym?
Ocena podatności na zagrożenia szeroko identyfikuje i priorytetyzuje słabe punkty. Test penetracyjny ma na celu wykorzystanie wybranych słabych punktów, zgodnie z ustalonymi zasadami, aby wykazać realistyczny wpływ i ścieżki ataku.
6. Kto jest odpowiedzialny za usunięcie luk w zabezpieczeniach po przeprowadzeniu oceny?
Odpowiedzialność jest współdzielona. Zespoły ds. bezpieczeństwa koordynują decyzje dotyczące ryzyka; działy IT, DevOps, właściciele aplikacji i zespoły chmurowe wspólnie wprowadzają zmiany; a liderzy ds. ryzyka zatwierdzają wyjątki. Jasno określone obowiązki i umowy SLA dotyczące działań naprawczych zapobiegają przekształcaniu się ustaleń w trwałe zaległości.
Ocena podatności jest wartościowa tylko wtedy, gdy przekształca widoczność w zweryfikowaną redukcję ryzyka. Zacznij od dokładnego zakresu i kontekstu zasobów, określ priorytety słabych punktów, które atakujący mogą wykorzystać, przypisz zadania odpowiedzialnym osobom i ponownie przetestuj każdą ważną poprawkę.
Przekształć istotne ustalenia dotyczące punktów końcowych w śledzone działania naprawcze dzięki Scalefusion. Wdrażaj obsługiwane poprawki, monitoruj stan poprawek i zgodności, usuwaj odchylenia od obsługiwanych zgodności i korzystaj z raportów dotyczących punktów końcowych, aby monitorować postępy na zarządzanych urządzeniach.
