Współczesne zespoły ds. bezpieczeństwa zajmują się czymś więcej niż tylko brakami w poprawkach. Ich powierzchnia ataku może obejmować punkty końcowe, obciążenia chmurowe, aplikacje SaaS, tożsamości, integracje z rozwiązaniami innych firm, błędy w konfiguracjach oraz zasoby dostępne z Internetu. Wraz z rozwojem tego środowiska, zespoły muszą odpowiedzieć na dwa powiązane pytania: jakie istnieją słabości i które z nich stanowią największe ryzyko?
Zarządzanie podatnościami i ekspozycjami pomagają odpowiedzieć na te pytania na różnych poziomach. Zarządzanie podatnościami zapewnia ustrukturyzowany sposób identyfikacji i usuwania znanych luk w zabezpieczeniach. Zarządzanie ekspozycją poszerza perspektywę, łącząc luki z czynnikami takimi jak dostępność, tożsamość, ścieżki ataku i wpływ na działalność biznesową.
W tym blogu wyjaśnimy, jak działa zarządzanie narażeniem i podatnością, jakie mają znaczenie w cyberbezpieczeństwie i jak można je wykorzystać do stworzenia odpornej postawy bezpieczeństwa.
Czym jest zarządzanie narażeniem?
Zarządzanie narażeniem to ciągły proces wykrywania, oceny, priorytetyzacji i ograniczania zagrożeń bezpieczeństwa w oparciu o takie czynniki, jak podatność na ataki, dostępność, ścieżki ataku i potencjalny wpływ na działalność biznesową. Wykracza on poza pojedyncze luki w zabezpieczeniach, badając, w jaki sposób słabości w zasobach, tożsamościach, konfiguracjach i mechanizmach kontroli bezpieczeństwa mogą się łączyć, stwarzając możliwości ataku.
Zarządzanie narażeniem zmienia perspektywę organizacji, która stara się wzmocnić bezpieczeństwo, na podejście skoncentrowane na atakach i zależne od kontekstu, w którym nieustannie poszukuje się słabych punktów w infrastrukturze IT.
Dlaczego zarządzanie ekspozycją ma znaczenie
Współczesne powierzchnie ataków są zbyt duże, dynamiczne i wzajemnie powiązane, aby można było nimi zarządzać wyłącznie za pomocą skanowania podatności. Lista podatności może wskazać zespołom, co jest technicznie nie tak, ale może nie wskazywać, jakie zagrożenia atakujący mogą realistycznie wykorzystać lub które z nich zagrażają systemom krytycznym dla firmy.
Zarządzanie narażeniem poszerza analizę poza luki w zabezpieczeniach oprogramowania, uwzględniając takie zagrożenia, jak błędne konfiguracje chmury, słabe punkty tożsamości, nadmierne uprawnienia, narażone usługi i zależności od dostawców zewnętrznych. Pomaga to zespołom IT przebić się przez szum tysięcy alertów i zrozumieć, czy luka jest osiągalna i przyczynia się do realnej ścieżki ataku.
Jak działa zarządzanie ekspozycją
Wdrożenie strategii zarządzania narażeniem wymaga ciągłej, zależnej od kontekstu pętli, która analizuje środowisko z perspektywy atakującego.
- Odkryj powierzchnię ataku: Odkryj i zinwentaryzuj aktywa wewnętrzne i zewnętrzne, w tym aktywa dotychczas nieznane lub niezarządzane, w przypadku gdy zostaną zidentyfikowane za pomocą metod odkrywania.
- Zidentyfikuj narażenia: Przeskanuj wszystkie warstwy pod kątem luk w zabezpieczeniach, błędnych konfiguracji, kont z nadmiernymi uprawnieniami, ukrytego IT i zagrożeń ze strony osób trzecich.
- Sprawdź możliwość wykorzystania: Oceń, czy daną słabość można faktycznie wykorzystać, sprawdzając dostępność, aktywne wykorzystanie i kontrole kompensujące.
- Mapa ścieżek ataku: Przeanalizuj, w jaki sposób atakujący mogą poruszać się w środowisku (np. z ujawnionej usługi, przez skradzione dane uwierzytelniające, po wrażliwe systemy).
- Ustal priorytety na podstawie wpływu na działalność biznesową: Podnieś priorytet, gdy narażenie dotyczy krytycznych systemów, poufnych danych lub ciągłości działania firmy.
- Napraw, złagodź lub zweryfikuj kontrole: Zastosuj poprawki zabezpieczeń, zamknij porty, zmień uprawnienia, napraw konfiguracje chmury lub zweryfikuj istniejące kontrole.
Czym jest zarządzanie podatnościami?
Zarządzanie podatnością jest ciągłym procesem identyfikacji, ocena, priorytetyzację, usuwanie i ponowną ocenę znanych luk w zabezpieczeniach systemów, aplikacji, punktów końcowych i sieci. Ustalenia te mogą obejmować znane luki w zabezpieczeniach oprogramowania, brakujące poprawki, nieaktualne komponenty i niebezpieczne konfiguracje.
Dojrzałe strategie zarządzania lukami w zabezpieczeniach wykorzystują również informacje o wykorzystaniu luk, krytyczność zasobów, zewnętrzne narażenie i inne konteksty, aby określić, którymi ustaleniami należy zająć się w pierwszej kolejności.
Dlaczego zarządzanie podatnościami ma znaczenie
Znane luki w zabezpieczeniach nadal dają atakującym możliwość naruszenia bezpieczeństwa odsłoniętych lub niedostatecznie zabezpieczonych systemów, szczególnie gdy podatne na wykorzystanie luki pozostają nienaprawione. Identyfikując i usuwając te słabe punkty, zanim będą mogły zostać wykorzystane, organizacje znacznie zmniejszają ryzyko znanych ataków i minimalizują krytyczne okno narażenia.
Zarządzanie lukami w zabezpieczeniach poprawia ogólną higienę bezpieczeństwa bazową punktów końcowych, użytkowników zdalnych i sieci hybrydowych. Może również wspierać procesy audytu i zgodności, tworząc rejestry zidentyfikowanych słabości, działań naprawczych i wyników ponownej oceny.
Ten ciągły proces zapewnia zespołom IT i ds. bezpieczeństwa jasny obraz tego, co należy załatać, ulepszyć lub skonfigurować ponownie, pomagając im przejść od reaktywnych ćwiczeń przeciwpożarowych do zorganizowanego, proaktywnego planu naprawczego.
Jak działa zarządzanie podatnościami
Aby skutecznie zarządzać znanymi słabościami, organizacje muszą przestrzegać ustrukturyzowanego, ciągłego cyklu życia.
- Odkrywanie i inwentaryzacja zasobów: Określanie zasobów wymagających oceny, takich jak punkty końcowe, serwery, aplikacje i zasoby w chmurze.
- Skanowanie luk w zabezpieczeniach: Skanowanie systemów w celu wykrycia znanych luk w zabezpieczeniach, brakujących poprawek, nieaktualnego oprogramowania i niebezpiecznych konfiguracji.
- Ocena ryzyka i ustalanie priorytetów: Ocena luk w zabezpieczeniach na podstawie ich powagi, podatności na wykorzystanie, krytyczności zasobów i informacji o zagrożeniach.
- Naprawa lub łagodzenie: Stosowanie poprawek, uaktualnianie oprogramowania, zmiana konfiguracji, stosowanie kontroli kompensacyjnych lub akceptowanie ryzyka w sytuacji, gdy natychmiastowe rozwiązanie problemu nie jest możliwe.
- Ponowna ocena i raportowanie: Ponowna ocena w celu potwierdzenia zastosowanych poprawek i generowanie raportów na potrzeby zgodności i planowania na przyszłość.
Kluczowe różnice między zarządzaniem narażeniem a zarządzaniem podatnością
Zarządzanie podatnością i zarządzanie narażeniem nakładają się na siebie, szczególnie w przypadku wykrywania, priorytetyzacja, naprawa i ponowna ocena. Kluczowa różnica polega na tym, jak szeroko definiują problem.
Zarządzanie podatnościami zazwyczaj koncentruje się na identyfikacji i usuwaniu znanych luk w zabezpieczeniach, a jednocześnie coraz częściej wykorzystuje analizę exploitów i kontekst zasobów do ich priorytetyzacji. Zarządzanie podatnościami rozszerza tę analizę na szerszy zakres zagrożeń i kładzie większy nacisk na dostępność, ścieżki ataku, kontekst tożsamości i wpływ na działalność biznesową.
Poniższa tabela podsumowuje to rozróżnienie:
| Obszar | Zarządzanie podatnością | Zarządzanie ekspozycją |
|---|---|---|
| Głowny cel | Znane słabości, takie jak luki w zabezpieczeniach (CVE), luki w zabezpieczeniach (KEV), brakujące poprawki, wady oprogramowania i niebezpieczne konfiguracje | Szersza powierzchnia ataku, obejmująca luki w zabezpieczeniach, tożsamości, zagrożenia w chmurze, błędne konfiguracje, narażone zasoby i ścieżki ataku |
| Wyjście główne | Lista luk w zabezpieczeniach, kolejka poprawek, raport naprawczy, rejestr zgodności | Mapa narażenia, plan redukcji ryzyka z priorytetami, wgląd w ścieżkę ataku, sprawdzone działania naprawcze |
| Główne zapytanie | Jakie luki występują w naszym otoczeniu? | Jakie zagrożenia atakujący mogliby realnie wykorzystać przeciwko nam? |
| Zakres | Punkty końcowe, aplikacje, systemy operacyjne, sieci i komponenty oprogramowania | Aktywa wewnętrzne i zewnętrzne, chmura, SaaS, tożsamości, ryzyko stron trzecich, kontrole i ścieżki ataków |
| Podejście ryzyka | Skoncentrowane na zasobach i zależne od powagi | Skupiony na atakującym, kontekstowy i oparty na ryzyku biznesowym |
| Metoda priorytetyzacji | Poważność, wynik CVSS, dostępność exploitów, CISA, KEV, EPSS, status poprawki i ważność zasobów | Możliwość wykorzystania, dostępność, potencjalna ścieżka ataku, wpływ na działalność biznesową, aktywność zagrożeń i kontrola kompensacyjna |
| Ograniczenie | Może generować zbyt wiele ustaleń bez wystarczającego kontekstu | Wymaga szerszej widoczności, integracji i koordynacji między zespołami ds. bezpieczeństwa i IT |
| Najlepiej stosować do | Budowanie higieny cyberbezpieczeństwa i zarządzanie znanymi lukami w zabezpieczeniach | Zmniejszanie podatności na ataki w świecie rzeczywistym na dynamicznej powierzchni ataku |
| Relacja | Zapewnia podstawowe dane dotyczące podatności | Opiera się na zarządzaniu podatnością w szerszym kontekście ryzyka |
Zarządzanie narażeniem a zarządzanie podatnością: czy potrzebujesz obu?
W przypadku większości dojrzałych programów bezpieczeństwa nie jest to decyzja typu „albo-albo”. Zarządzanie podatnościami zapewnia proces identyfikacji i usuwania znanych słabości bezpieczeństwa, podczas gdy zarządzanie narażeniem na atak poszerza powierzchnię ataku i kontekst biznesowy.
Żadna z tych dyscyplin nie zastępuje mechanizmów kontroli prewencyjnej, detektywistycznej, tożsamości, sieci ani reagowania na incydenty. Pomagają one zespołom identyfikować i redukować słabe punkty w tych środowiskach.
Zacznij od zarządzania podatnościami, jeśli Twoim bezpośrednim problemem jest konsekwentne wykrywanie i usuwanie znanych luk w zabezpieczeniach. Przejdź do zarządzania ekspozycją, gdy większym wyzwaniem jest określenie, które luki, tożsamości, konfiguracje i narażone zasoby tworzą istotne ścieżki ataku. W dojrzałych programach te dwa elementy współdziałają, zamiast się wzajemnie zastępować.
Nadaj priorytet zarządzaniu podatnościami, gdy:
- Musisz stworzyć podstawową higienę cyberbezpieczeństwa: Jeśli brakuje Ci ustrukturyzowanego procesu wykrywania zasobów, skanowania i łatania.
- Brakuje Ci wglądu w znane luki w zabezpieczeniach: Jeśli zespoły nie wiedzą, które punkty końcowe lub systemy mają znane luki w zabezpieczeniach.
- Zarządzanie poprawkami jest niespójne: If Zarządzanie poprawkami są opóźnione lub pominięte, zarządzanie podatnościami tworzy zorganizowany proces naprawczy.
- Zgodność jest najważniejszym wymogiem: Audytorzy potrzebują raportów o lukach w zabezpieczeniach, zapisów działań naprawczych i dowodów zgodności z poprawkami.
- Twoim bezpośrednim problemem są znane luki w zabezpieczeniach: Niezałatane oprogramowanie i przestarzałe systemy operacyjne wymagają bezpośredniego zarządzania podatnościami.
Priorytetem powinno być zarządzanie narażeniem, gdy:
- Twoja powierzchnia ataku się rozszerzyła: Zasoby w chmurze, oprogramowanie jako usługa, zdalne punkty końcowe i zasoby niezarządzane wymagają szerszej widoczności.
- Wyniki badań nad lukami w zabezpieczeniach przytłaczają zespół: Mając tysiące ustaleń, do ustalenia priorytetów potrzebny jest kontekst dostępności i możliwości wykorzystania.
- Potrzebujesz widoczności skoncentrowanej na atakującym: Musisz zrozumieć, w jaki sposób atakujący mogą dostać się do środowiska i się w nim poruszać.
- Musisz zarządzać ryzykiem wykraczającym poza CVE: Główne zagrożenia wynikają z luk w tożsamościach, błędnych konfiguracji i otwartych portów.
- Należy powiązać ustalenia techniczne z ryzykiem biznesowym: Musisz odpowiedzieć na pytanie, czy narażenie ma wpływ na krytyczny system, czy też działania naprawcze faktycznie zmniejszają istotne ryzyko biznesowe.
- Potrzebujesz ciągłej redukcji ryzyka: Należy dynamicznie oceniać ryzyko i ograniczać podatność na ataki, gdy zmienia się otoczenie.
Jak oni ze sobą współpracują
Zarządzanie podatnością i narażeniem na zagrożenia działa najlepiej, gdy jest zintegrowane:
- Zarządzanie podatnościami dostarcza następujących ustaleń technicznych: Identyfikuje znane słabości, zapewniając kadrze zarządzającej ryzykiem istotne informacje.
- Zarządzanie ekspozycją dodaje kontekst: Wzbogaca dane o podatnościach o krytyczność aktywów, podatność na wykorzystanie, ryzyko tożsamości i narażenie zewnętrzne.
- Razem wspierają lepszą komunikację między IT a bezpieczeństwem: Zarządzanie podatnościami zapewnia szczegóły techniczne niezbędne do usunięcia słabości, podczas gdy zarządzanie narażeniem dodaje kontekst, łącząc priorytety naprawcze z potencjalnymi ścieżkami ataków i ryzykiem biznesowym.
Podsumowując
Zarządzanie podatnościami i zarządzanie ekspozycją na zagrożenia rozwiązują powiązane, ale różne części problemu bezpieczeństwa. Zarządzanie podatnościami zapewnia powtarzalny proces wyszukiwania, priorytetyzowania, usuwania i ponownej oceny znanych słabości technicznych. Zarządzanie ekspozycją na zagrożenia poszerza tę perspektywę, uwzględniając takie czynniki, jak dostępność, ścieżki ataków, kontekst tożsamości, mechanizmy kontroli i wpływ na działalność biznesową. Używane razem, mogą pomóc zespołom ds. bezpieczeństwa skoncentrować działania naprawcze na najważniejszych zagrożeniach.
Weltar Oprogramowanie do zarządzania lukami w zabezpieczeniach Przybliża wykrywanie, ocenę ryzyka, priorytetyzację, naprawę i weryfikację do procesu zarządzania punktami końcowymi. Zespoły IT mogą identyfikować luki w zabezpieczeniach systemów operacyjnych i aplikacji na zarządzanych punktach końcowych Windows i macOS. Pomaga to w priorytetyzacji ustaleń na podstawie sygnałów takich jak waga, podatność na ataki, znana aktywność w zakresie eksploatacji i kontekst punktu końcowego, a następnie w ich kierunku.
