Сканеры уязвимостей могут выдавать сотни результатов, но выявление слабых мест — это только начало. Командам по-прежнему необходимо определить затронутые активы, возможность их использования, бизнес-риск, владельца и эффективность мер по устранению уязвимостей.
Оценка уязвимостей объединяет весь этот контекст. Она сочетает в себе обнаружение, проверку, приоритизацию рисков, определение ответственности и подтверждение, позволяя командам сосредоточиться на слабых местах, требующих принятия мер. В этом руководстве описан процесс для конечных точек, сетей, приложений, API, облачных сред и баз данных.
Что такое оценка уязвимости?
Оценка уязвимостей — это систематический анализ систем, приложений, конфигураций и процессов с целью выявления слабых мест в системе безопасности и определения рисков для организации. Обычно она сочетает в себе автоматическое сканирование с проверкой, анализом контекста активов и планированием мер по устранению уязвимостей.
Уязвимости могут существовать в программном обеспечении, сетевых сервисах, системах управления правами доступа в облаке, веб-приложениях, API, контейнерах, базах данных и конфигурациях устройств. Они могут быть связаны с известной уязвимостью CVE или открытым административным интерфейсом.
Оценка уязвимости — это нечто большее, чем просто оценка уязвимости. управление конечной точкойСпециализированные сканеры и инструменты безопасности могут выявлять уязвимости в приложениях, сетях, облачных нагрузках, API и другой инфраструктуре. Для управляемых конечных точек Scalefusion может участвовать в рабочем процессе на более позднем этапе, когда обнаруженная уязвимость требует установки поддерживаемого патча или выполнения действий по обеспечению соответствия конечной точки требованиям, помогая ИТ-командам перейти от выявления риска к его устранению и проверке.
Что показывает оценка уязвимости
В зависимости от масштаба, оценка уязвимости может выявить:
- Отсутствуют обновления операционной системы, микропрограммного обеспечения и приложений.
- Неподдерживаемое программное обеспечение, небезопасные настройки по умолчанию и слабое шифрование.
- Открытые порты, службы, инструменты удаленного доступа и неправильная настройка беспроводной сети.
- Известные уязвимости веб-приложений и API, включая проблемы аутентификации и проверки входных данных.
- Чрезмерные разрешения в облаке, публичное хранилище, раскрытие секретных данных и риски, связанные с образами контейнеров.
- Устройства, которые больше не соответствуют требуемым организацией базовым стандартам безопасности.
Оценка не доказывает, что каждое обнаруженное обстоятельство может быть использовано. Она определяет, где может существовать потенциальная уязвимость и какие проблемы заслуживают первоочередного расследования или принятия мер.
Что должна показать итоговая оценка?
Для каждого значимого обнаружения в отчете следует указать затронутый актив, техническое описание, доказательства, оценку CVE и CVSS (где применимо), возможность эксплуатации, влияние на бизнес, рекомендуемое исправление, владельца, крайний срок устранения и статус проверки.
В нем также следует указать достигнутый охват, критические выводы, принятые риски, просроченные исправления, повторяющиеся первопричины и решения, которые необходимо принять руководству.
Почему оценка уязвимости важна
Каждое новое конечное устройство, облачная нагрузка, выпуск приложения и изменение конфигурации могут увеличить поверхность атаки. Регулярные проверки помогают командам выявлять уязвимости до того, как злоумышленник или инцидент их обнажат.
Снижение уязвимости до того, как злоумышленники воспользуются своими слабыми местами.
Злоумышленники часто используют известные, предотвратимые уязвимости: незащищенный сервер, уязвимое VPN-устройство, открытую среду разработки или повторно используемые учетные данные. Регулярная оценка уязвимостей помогает выявлять эти проблемы на ранней стадии и сокращает время, в течение которого они остаются доступными для эксплуатации.
Она также поддерживает управление обновлениями на основе оценки рисков. Вместо того чтобы просить команды исправлять все обнаруженные уязвимости сразу, оценка определяет, какие уязвимые системы, доступные из интернета ресурсы, уязвимости, которые можно использовать, и важные бизнес-сервисы требуют немедленного внимания. Каталог известных эксплуатируемых уязвимостей CISA Это один из полезных сигналов для определения того, активно ли используется известная уязвимость в реальных условиях.
Поддержка соблюдения нормативных требований, проведения аудитов и укрепления доверия заинтересованных сторон.
В рамках систем обеспечения безопасности и в ходе проверок заказчиками часто ожидается наличие доказательств управления уязвимостями. В зависимости от масштаба, результаты оценки могут использоваться для мероприятий по контролю безопасности, аудиту или управлению рисками. PCI DSS, ИСО 27001, NIST руководство или руководство CIS. Требования различаются в зависимости от системы.
Для аудиторов и клиентов наиболее убедительным доказательством является воспроизводимая последовательность действий, включающая описание масштаба проблемы, выявленные недостатки, информацию о владельце, статусе устранения нарушений, исключениях и результатах повторного тестирования.
Виды оценок уязвимости
Тип оценки зависит от условий.
1. Оценка сети, хоста и беспроводной сети.
Сетевые проверки проверяют доступные хосты, открытые порты, доступные службы и небезопасные протоколы. Проверки на уровне хостов проверяют конечные точки на наличие отсутствующих исправлений, устаревшего программного обеспечения, проблем с конфигурацией и проблем с правами доступа. Сканирование с аутентификацией обеспечивает более глубокий анализ исправлений и программного обеспечения.
В ходе проверки беспроводных сетей выявляются несанкционированные точки доступа, слабое шифрование Wi-Fi, небезопасные гостевые сети и несанкционированные устройства.
2. Оценка приложений, API и баз данных.
Оценка приложений фокусируется на веб-сайтах, мобильных бэкэндах и бизнес-приложениях. Она позволяет выявлять уязвимости компонентов, небезопасные заголовки, ошибки конфигурации и слабые места аутентификации. Оценка API дополнительно проверяет наличие неработающей авторизации, открытых конечных точек и слабой обработки токенов.
В ходе оценки баз данных анализируются уровни исправлений, контроль доступа, уязвимости сети, шифрование и конфигурация. Проводится координация сканирования во избежание влияния на рабочие нагрузки в производственной среде.
3. Оценка поверхности атаки в облачных средах, контейнерах и внешних средах.
В рамках оценки облачных решений рассматриваются вопросы управления идентификацией и доступом, публичного хранилища, доступных сервисов, групп безопасности и расхождений в конфигурации. В рамках оценки контейнеров и Kubernetes дополнительно анализируются уязвимости образов, раскрытые секреты, разрешения для рабочих нагрузок и конфигурация кластера.
Оценка внешней поверхности атаки фокусируется на том, что видно из интернета: домены, поддомены, сертификаты, удаленные сервисы, теневые ИТ-системы и уязвимые ресурсы.
Процесс оценки уязвимостей: от определения масштаба проблемы до ее устранения.
Определите область применения, ресурсы и правила оценки.
Начните с составления текущего перечня активов. Определите, что будет оцениваться, кому принадлежит каждый актив, какие среды будут включены, окна сканирования, учетные данные и правила обработки данных. Включите облачные учетные записи, удаленные конечные точки, интеграции с SaaS и сторонние сервисы, где это уместно.
Перед сканированием классифицируйте активы по степени критичности для бизнеса и конфиденциальности данных. Критическое обнаружение в изолированной тестовой системе не равнозначно аналогичному обнаружению в платежном сервисе, доступном через Интернет.
Проанализируйте, проверьте и расставьте приоритеты полученных данных.
Проведите соответствующие проверки с использованием аутентификации и без аутентификации, затем дополните результаты данными об активах, рисках и угрозах. Подтвердите наиболее значимые результаты и определите, снижают ли компенсирующие меры риск.
При выборе оценочного критерия следует отдавать приоритет не только степени серьезности сканера. Практическое решение по оценке риска учитывает CVSS, доступность эксплойтов, наличие признаков активной эксплуатации, вероятность EPSS, доступность из интернета, критичность активов, конфиденциальные данные, легкость горизонтального перемещения и доступные средства контроля. CVE Идентификаторы позволяют отслеживать известные уязвимости, но помните, что CVSS измеряет техническую серьезность, а не полный бизнес-риск.
Сообщать об ошибках, устранять их и проверять правильность исправлений.
Создавайте заявки на устранение проблем с четким указанием ответственного лица, срока выполнения, инструкций по исправлению и подтверждающих документов. Команды могут устанавливать обновления программного обеспечения, изменять конфигурацию, устранять уязвимости, менять секретный ключ или применять временные меры контроля. Документируйте исключения с указанием срока действия и ответственного лица за риски.
После устранения проблемы повторно протестируйте затронутый ресурс. Не закрывайте обнаруженную проблему только потому, что был установлен патч; убедитесь, что она больше не обнаруживается. Проанализируйте повторяющиеся закономерности, чтобы выявить первопричины.
Когда в ходе оценки выявляются уязвимости на управляемых конечных точках, которые можно устранить с помощью исправлений или которые связаны с политиками безопасности, ИТ-командам необходимы контролируемые меры по устранению проблем и прозрачность состояния конечных точек, чтобы приоритетные выявленные недостатки можно было постепенно устранить.
Когда обнаруженную проблему на управляемой конечной точке можно устранить с помощью доступного патча, Scalefusion Автоматическое управление исправлениями Это может помочь ИТ-командам контролировать развертывание обновлений и отслеживать состояние установленных и не установленных обновлений. Администраторы могут просматривать установленные, ожидающие или неудавшиеся обновления и использовать отчеты об обновлениях для отслеживания истории обновлений на управляемых устройствах.
Контрольный список оценки уязвимости
Используйте этот контрольный список, чтобы убедиться, что результаты оценки приводят к обоснованным и практически применимым результатам.
Перед оценкой
- Подтвердите цель, объем, исключения и правила взаимодействия.
- Сопоставьте данные об активах с облачными учетными записями, конечными устройствами, приложениями и API.
- Определите владельцев активов, критичность бизнеса, конфиденциальные данные и периоды технического обслуживания.
- Выберите методы сканирования, учетные данные, ограничения скорости и контактные лица для эскалации.
- Определите критерии серьезности, соглашения об уровне обслуживания (SLA) по устранению проблем и процедуру обработки исключений.
В ходе оценки
- Выполните обнаружение и утвержденные сканирования в рамках исследуемой среды.
- Используйте сканирование с подтверждением подлинности там, где это уместно и безопасно.
- Сопоставьте полученные данные с информацией о уязвимостях CVE, рекомендациями поставщиков и контекстом актива.
- Перед передачей информации вышестоящему руководству необходимо подтвердить критически важные и высокорискованные результаты.
- Зафиксируйте подтверждающие документы, затронутые версии, подробную информацию об уязвимостях и влияние на бизнес.
После оценки
- Назначьте ответственных за работы по рекультивации и установите сроки их выполнения в зависимости от уровня риска.
- Опубликуйте отчет, включающий информацию об открытом риске, принятом риске и пробелах в страховом покрытии.
- Отслеживайте установку исправлений, изменения конфигурации и корректирующие действия до их завершения.
- Проведите повторную проверку исправленных ошибок и закройте дело только при наличии подтверждающих доказательств.
- Проанализируйте тенденции и запланируйте следующую оценку или повторное сканирование по событию.
Инструменты, методы и источники данных
Эффективная оценка уязвимостей сочетает в себе автоматизацию и человеческую оценку. Ни один инструмент сам по себе не обеспечивает полного охвата.
Автоматизированные сканеры и ручная проверка
Сканеры уязвимостей выявляют известные слабые места в больших средах. К распространенным категориям относятся сканеры сети и хоста, сканеры веб-приложений, анализ состава программного обеспечения, управление состоянием безопасности облачных сервисов, сканирование образов контейнеров и управление поверхностью атаки.
Ручная проверка помогает определить, являются ли важные результаты релевантными и пригодными для использования, снижает количество ложных срабатываний и позволяет избежать малоэффективной работы по устранению проблем. Тестирование должно оставаться авторизованным и соответствовать согласованным правилам взаимодействия.
Базы данных уязвимостей, анализ угроз и данные об активах.
Результаты сканирования становятся более полезными при использовании надежных источников. Национальная база данных уязвимостей Предоставляет стандартизированную информацию об уязвимостях, а рекомендации поставщиков объясняют, какие продукты затронуты и как их исправить. Анализ угроз, ключевые показатели эффективности CISA и информация о принадлежности активов показывают, где обнаруженная уязвимость наиболее важна.
Аутентифицированное и неаутентифицированное сканирование
Сканирование без аутентификации показывает, что может увидеть внешний злоумышленник или злоумышленник с низкими привилегиями. Оно проверяет общедоступность и конфигурацию периметра. Сканирование с аутентификацией использует утвержденные учетные данные или агенты для проверки уровней исправлений, установленных пакетов, конфигурации и параметров безопасности.
По возможности используйте оба метода. Неаутентифицированное сканирование может выявить уязвимости, которые не обнаруживаются при внутреннем сканировании, в то время как аутентифицированное сканирование уменьшает «слепые зоны» внутри управляемых систем.
Передовые методы оценки уязвимостей и распространенные ошибки.
Качество рабочего процесса имеет такое же значение, как и качество сканера.
Приоритизируйте риски, исходя из реального риска, а не только степени серьезности сканера.
Рассматривайте CVSS как отправную точку, а не как очередь. Активно используемая уязвимость на доступном из интернета ресурсе может иметь более высокий приоритет, чем проблема с более высоким CVSS на изолированной системе. Установите согласованные критерии приоритезации.
Снизьте количество ложных срабатываний и слепых зон.
Подтвердите выявленные факторы высокого риска и обеспечьте точное определение владельца активов. Покрытие будет недостаточным, если в инвентаризации отсутствуют конечные точки, контейнеры, активы SaaS или облачные учетные записи. Документируйте исключения и системы, которые невозможно просканировать, как остаточный риск.
Обеспечьте ответственность, соглашения об уровне обслуживания (SLA) и непрерывный ритм работы.
Команды безопасности выявляют и направляют проблемы; владельцы инфраструктуры, DevOps, приложений и бизнеса обычно внедряют исправления. Определяются соглашения об уровне обслуживания (SLA) по устранению проблем в зависимости от уровня риска, отслеживаются исключения и результаты включаются в рабочие процессы внесения изменений и выпуска релизов. Устанавливается периодичность оценки на основе критичности активов, степени уязвимости, частоты изменений и применимых требований. Некоторые организации оценивают среды с более высоким уровнем риска ежемесячно, а среды с более низким уровнем риска — ежеквартально, с дополнительным сканированием после крупных изменений, инцидентов или значительного раскрытия уязвимостей.
Для получения результатов анализа конечных точек, соответствующих поддерживаемым правилам соответствия, Veltar Автоматическое соответствие Это может помочь командам отслеживать соответствие требованиям, выявлять несоответствующие устройства, поддерживать устранение проблем и создавать отчеты о соответствии. Это дополняет рабочий процесс устранения проблем; это не заменяет инструменты оценки уязвимостей, которые выявляют слабые места в сетях, приложениях, облачных средах или другой инфраструктуре.
Управление уязвимостями против оценки уязвимостей против тестирования на проникновение
Эти виды деятельности частично совпадают, но отвечают на разные вопросы.
Чем отличается каждый вид деятельности
| Активность | Основная цель | Типичный выход | Когда это использовать |
|---|---|---|---|
| Сканирование уязвимостей | Выявление возможных известных уязвимостей | Исходные технические данные | Для частого и широкого технического освещения |
| Оценка уязвимости | Проверяйте, расставляйте приоритеты и планируйте исправления. | Отчет с ранжированием рисков и план устранения выявленных нарушений | Когда для получения результатов необходимо определить контекст объекта, его владельца и приоритеты по рекультивации. |
| Управление уязвимостями | Постоянно выявлять, устранять, проверять и сообщать о проблемах. | Текущий жизненный цикл и показатели | Проведение оценки и коррекционных мероприятий в рамках непрерывной программы. |
| Тестирование на проникновение | Безопасно используйте выбранные уязвимости, чтобы продемонстрировать эффективность. | Описание атаки, доказательства и рекомендации | Для проверки реального воздействия или эффективности важных мер контроля. |
Когда использовать каждый из них
Эти виды деятельности лучше всего работают как взаимодополняющие уровни: сканирование обеспечивает широкое обнаружение, оценка добавляет контекст и определяет приоритеты, управление уязвимостями поддерживает жизненный цикл устранения проблем, а тестирование на проникновение более глубоко проверяет выбранные пути атаки.
Часто задаваемые вопросы (FAQ)
1. Оценка уязвимости — это то же самое, что и сканирование уязвимостей?
Нет. Сканирование уязвимостей обычно является одним из этапов полной оценки уязвимостей. Оценка также включает определение области применения, проверку достоверности, определение приоритетов, составление отчетов, определение ответственных лиц и планирование мер по устранению уязвимостей.
2. Как часто следует проводить оценку уязвимости?
Многие организации проводят оценку критически важных сред ежемесячно или ежеквартально, но оптимальная периодичность зависит от уровня риска, объема изменений и нормативных требований. Дополнительные оценки следует проводить после крупных релизов, новых развертываний, изменений в облачной среде, инцидентов, слияний или раскрытия уязвимостей, имеющих серьезные последствия.
3. Что должен включать отчет об оценке уязвимости?
Включите в отчет информацию о затронутых активах, описание уязвимостей, степень серьезности и возможность их использования, влияние на бизнес, подтверждающие документы, рекомендации по устранению уязвимостей, владельцев, сроки, исключения, остаточный риск и результаты проверки. В кратком обзоре также следует указать охват, критические риски, просроченные действия и тенденции.
4. Может ли оценка уязвимости выявить уязвимости нулевого дня?
Наиболее эффективные методы оценки позволяют выявлять известные уязвимости и ошибки конфигурации. Для выявления рисков нулевого дня, помимо стандартных оценок, может потребоваться анализ угроз, поведенческий мониторинг, анализ кода, анализ конфигурации, разработка методов обнаружения или тестирование на проникновение.
5. В чем разница между оценкой уязвимости и тестированием на проникновение?
Оценка уязвимостей в общих чертах выявляет и определяет приоритетность слабых мест. Тестирование на проникновение направлено на использование выбранных уязвимостей в рамках согласованных правил, чтобы продемонстрировать реалистичные последствия и пути атаки.
6. Кто отвечает за устранение уязвимостей после проведения оценки?
Ответственность распределяется поровну. Команды безопасности координируют решения по управлению рисками; ИТ-подразделения, DevOps, владельцы приложений и облачные команды совместно вносят изменения; а руководители по управлению рисками утверждают исключения. Четкое распределение ответственности и соглашения об уровне обслуживания (SLA) по устранению проблем предотвращают превращение выявленных нарушений в постоянный список нерешенных задач.
Оценка уязвимостей имеет ценность только тогда, когда она превращает выявленные уязвимости в подтвержденное снижение рисков. Начните с точного определения масштаба и контекста актива, расставьте приоритеты для слабых мест, которые могут использовать злоумышленники, распределите задачи между ответственными лицами и повторно протестируйте каждое важное исправление.
С помощью Scalefusion преобразуйте соответствующие результаты анализа конечных точек в отслеживаемые мероприятия по устранению проблем. Развертывайте поддерживаемые исправления, отслеживайте статус исправлений и соответствия требованиям, устраняйте поддерживаемые отклонения от требований соответствия и используйте отчеты по конечным точкам для анализа прогресса на управляемых устройствах.
