Tathmini ya Udhaifu: Mchakato, Orodha ya Ukaguzi na Mbinu Bora

Vichanganuzi vya udhaifu vinaweza kutoa mamia ya matokeo, lakini kutambua udhaifu ni mwanzo tu. Timu bado zinahitaji kubaini mali zilizoathiriwa, unyonyaji, hatari ya biashara, umiliki, na kama marekebisho yalifanya kazi.

Tathmini ya udhaifu huunganisha muktadha huo. Inachanganya ugunduzi, uthibitishaji, kipaumbele cha hatari, umiliki, na uthibitishaji ili timu ziweze kuzingatia udhaifu unaohitaji hatua. Mwongozo huu unaelezea mchakato katika sehemu za mwisho, mitandao, programu, API, mazingira ya wingu, na hifadhidata.

Tathmini ya Udhaifu ni Nini?

Tathmini ya udhaifu ni mapitio ya kimfumo ya mifumo, programu, usanidi, na michakato ili kutambua udhaifu wa usalama na kubaini hatari yake kwa shirika. Kwa kawaida huchanganya uchanganuzi otomatiki na uthibitishaji, muktadha wa mali, na upangaji wa marekebisho.

Udhaifu unaweza kuwepo katika programu, huduma za mtandao, ruhusa za wingu, programu za wavuti, API, vyombo, hifadhidata, na usanidi wa vifaa. Huenda zikaunganishwa na CVE inayojulikana au kiolesura cha msimamizi kilicho wazi.

Tathmini ya udhaifu ni pana zaidi kuliko usimamizi wa mwisho. Vichanganuzi maalum na zana za usalama zinaweza kutambua udhaifu katika programu, mitandao, mzigo wa kazi wa wingu, API, na miundombinu mingine. Kwa sehemu za mwisho zinazosimamiwa, Scalefusion inaweza kushiriki baadaye katika mtiririko wa kazi wakati ugunduzi unahitaji kiraka kinachoungwa mkono au hatua ya kufuata sehemu za mwisho, kusaidia timu za TEHAMA kuhama kutoka kwa hatari iliyotambuliwa hadi marekebisho na uthibitishaji.

Tathmini ya udhaifu inapata nini?

Kulingana na wigo, tathmini ya udhaifu inaweza kutambua:

• Kukosekana kwa viraka vya mfumo endeshi, programu dhibiti, na programu
• Programu isiyotumika, mipangilio chaguomsingi isiyo salama, na usimbaji fiche dhaifu
• Milango iliyo wazi, huduma, zana za ufikiaji wa mbali, na usanidi usiofaa wa wireless
• Udhaifu unaojulikana wa programu za wavuti na API, ikiwa ni pamoja na masuala ya uthibitishaji na uthibitishaji wa ingizo
• Ruhusa nyingi za wingu, hifadhi ya umma, siri zilizofichuliwa, na hatari za picha za vyombo
• Vifaa ambavyo havifikii tena msingi wa usalama unaohitajika na shirika

Tathmini haithibitishi kwamba kila ugunduzi unaweza kutumiwa vibaya. Inabainisha mahali ambapo kunaweza kuwa na ufichuzi na ni masuala gani yanayostahili uchunguzi au hatua za kuchukuliwa kwanza.

Tathmini ya mwisho inapaswa kutoa nini

Kwa kila matokeo yenye maana, ripoti inapaswa kurekodi mali iliyoathiriwa, maelezo ya kiufundi, ushahidi, alama ya CVE na CVSS inapohitajika, unyonyaji, athari ya biashara, marekebisho yaliyopendekezwa, mmiliki, tarehe ya mwisho ya marekebisho, na hali ya uthibitishaji.

Pia inapaswa kuonyesha ufikiaji uliopatikana, matokeo muhimu, hatari zinazokubalika, marekebisho yaliyochelewa, sababu za msingi zinazojirudia, na maamuzi yanayohitajika kutoka kwa uongozi.

Kwa Nini Tathmini ya Udhaifu Ni Muhimu

Kila sehemu mpya ya mwisho, mzigo wa kazi kwenye wingu, kutolewa kwa programu, na mabadiliko ya usanidi yanaweza kuongeza eneo la shambulio. Tathmini za mara kwa mara husaidia timu kuona mapengo kabla ya mshambuliaji au tukio kuyafichua.

Kupunguza mfiduo kabla ya washambuliaji kutumia udhaifu

Washambuliaji mara nyingi hutumia udhaifu unaojulikana na unaoweza kuzuilika: seva isiyo na viraka, kifaa cha VPN kilicho hatarini, mazingira ya uundaji yaliyo wazi, au kitambulisho kilichotumika tena. Tathmini ya udhaifu inayojirudia husaidia kutambua masuala haya mapema na kupunguza muda ambao yanabaki kwa ajili ya matumizi.

Pia inasaidia usimamizi wa viraka unaotegemea hatari. Badala ya kuziomba timu kurekebisha kila ugunduzi mara moja, tathmini hubaini ni mifumo gani iliyo wazi, mali zinazokabiliana na intaneti, dosari zinazoweza kunyonywa, na huduma za biashara zenye thamani kubwa zinahitaji uangalizi wa haraka. Katalogi ya CISA ya Athari Zilizotumiwa ni ishara moja muhimu ya kubaini kama udhaifu unaojulikana unatumiwa vibaya porini.

Kuunga mkono uzingatiaji wa sheria, ukaguzi, na uaminifu wa wadau

Mifumo ya usalama na mapitio ya wateja mara nyingi hutarajia ushahidi wa usimamizi wa udhaifu. Kulingana na wigo, ushahidi wa tathmini unaweza kuchangia katika udhibiti wa usalama, ukaguzi, au shughuli za usimamizi wa hatari chini ya PCI DSSISO 27001, NIST mwongozo, au mwongozo wa CIS. Mahitaji hutofautiana kulingana na mfumo.

Kwa wakaguzi na wateja, ushahidi mkubwa zaidi ni njia inayoweza kurudiwa ya upeo, matokeo, umiliki, hali ya marekebisho, vighairi, na matokeo ya majaribio tena.

Aina za Tathmini za Udhaifu

Aina ya tathmini inategemea mazingira.

1. Tathmini za mtandao, mwenyeji, na zisizotumia waya

Tathmini za mtandao huchunguza seva za seva zinazoweza kufikiwa, milango iliyo wazi, huduma zilizo wazi, na itifaki zisizo salama. Tathmini zinazotegemea seva za seva huchunguza sehemu za mwisho za viraka vilivyokosekana, programu ya zamani, matatizo ya usanidi, na masuala ya upendeleo. Uchanganuzi uliothibitishwa hutoa uwazi wa kina wa viraka na mwonekano wa programu.

Tathmini zisizotumia waya hutafuta sehemu za ufikiaji zisizo sahihi, usimbaji fiche dhaifu wa Wi-Fi, mitandao ya wageni isiyo salama, na vifaa visivyoidhinishwa.

2. Tathmini za matumizi, API, na hifadhidata

Tathmini za programu huzingatia tovuti, sehemu za nyuma za simu, na programu za biashara. Zinaweza kutambua udhaifu wa vipengele, vichwa vya habari visivyo salama, hitilafu za usanidi, na udhaifu wa uthibitishaji. Tathmini za API huongeza ukaguzi wa uidhinishaji ulioharibika, sehemu za mwisho zilizo wazi, na utunzaji dhaifu wa tokeni.

Tathmini za hifadhidata hupitia viwango vya viraka, vidhibiti vya ufikiaji, mfiduo wa mtandao, usimbaji fiche, na usanidi. Panga uchanganuzi ili kuepuka kuathiri mzigo wa kazi wa uzalishaji.

3. Tathmini za uso wa mashambulizi ya wingu, chombo, na nje

Tathmini za wingu hukagua utambulisho na usimamizi wa ufikiaji, hifadhi ya umma, huduma zilizofichuliwa, vikundi vya usalama, na mabadiliko ya usanidi. Tathmini za Container na Kubernetes huongeza udhaifu wa picha, siri zilizofichuliwa, ruhusa za mzigo wa kazi, na usanidi wa kundi.

Tathmini za uso wa mashambulizi ya nje huzingatia kile kinachoonekana kutoka kwenye mtandao: vikoa, vikoa vidogo, vyeti, huduma za mbali, TEHAMA ya kivuli, na mali zilizofichuliwa.

Mchakato wa Tathmini ya Udhaifu: Kuanzia Wigo hadi Kurekebishwa

Fafanua wigo, mali, na sheria za tathmini

Anza na orodha ya mali ya sasa. Bainisha kitakachotathminiwa, ni nani anayemiliki kila mali, mazingira yaliyojumuishwa, madirisha ya kuchanganua, vitambulisho, na sheria za utunzaji wa data. Jumuisha akaunti za wingu, sehemu za mwisho za mbali, ujumuishaji wa SaaS, na wahusika wengine inapohitajika.

Ainisha mali kwa umuhimu wa biashara na unyeti wa data kabla ya kuchanganua. Ugunduzi muhimu kwenye mfumo wa majaribio uliotengwa si sawa na ugunduzi sawa kwenye huduma ya malipo inayoangalia intaneti.

Changanua, thibitisha, na uweke kipaumbele matokeo

Endesha skanisho zinazofaa zilizothibitishwa na zisizothibitishwa, kisha ongeza matokeo kwa data ya mali, mfiduo, na vitisho. Thibitisha matokeo yenye athari kubwa na ubaini kama udhibiti wa fidia hupunguza hatari.

Weka kipaumbele kwa kutumia zaidi ya ukali wa skana. Uamuzi wa hatari unaozingatia CVSS, upatikanaji wa matumizi mabaya, ushahidi wa matumizi mabaya, uwezekano wa EPSS, mfiduo wa intaneti, umuhimu wa mali, data nyeti, urahisi wa kusogea pembeni, na vidhibiti vinavyopatikana. CVE vitambulisho ili kufuatilia dosari zinazojulikana, lakini kumbuka kwamba CVSS hupima ukali wa kiufundi, si hatari kamili ya biashara.

Ripoti, rekebisha, na uthibitishe marekebisho

Unda tiketi za urekebishaji ukiwa na mmiliki aliye wazi, tarehe ya mwisho, mwongozo wa kurekebisha, na ushahidi. Timu zinaweza kurekebisha programu, kubadilisha usanidi, kuondoa mfiduo, kuzungusha siri, au kutumia udhibiti wa muda. Andika vighairi vyenye tarehe ya mwisho wa matumizi na mmiliki wa hatari anayewajibika.

Baada ya marekebisho, jaribu tena kipengee kilichoathiriwa. Usifunge ugunduzi kwa sababu tu kiraka kiliwekwa; hakikisha kwamba hakiwezi kugunduliwa tena. Kagua mifumo inayojirudia ili kushughulikia sababu kuu.

Tathmini zinapotambua udhaifu unaoweza kurekebishwa au unaohusiana na sera kwenye sehemu za mwisho zinazosimamiwa, timu za TEHAMA zinahitaji marekebisho yaliyodhibitiwa na mwonekano wa hali ya mwisho ili matokeo ya kipaumbele yaweze kuelekea kufungwa.

Wakati ugunduzi kwenye sehemu ya mwisho inayodhibitiwa unaweza kurekebishwa kwa kutumia kiraka kinachopatikana, Scalefusion Usimamizi wa kiraka kiotomatiki inaweza kusaidia timu za TEHAMA kudhibiti utumaji wa masasisho na kufuatilia hali ya kiraka kinachotokea. Wasimamizi wanaweza kukagua masasisho yaliyosakinishwa, yanayosubiri, au yaliyoshindwa na kutumia ripoti za kiraka kufuatilia historia ya masasisho katika vifaa vinavyodhibitiwa.

Orodha ya Tathmini ya Udhaifu

Tumia orodha hii ya ukaguzi ili kuhakikisha tathmini inaleta matokeo katika kazi inayoweza kutetewa na kutekelezwa.

Kabla ya tathmini

• Thibitisha lengo, upeo, vizuizi, na sheria za ushiriki.
• Unganisha orodha ya mali na akaunti za wingu, sehemu za mwisho, programu, na API.
• Tambua wamiliki wa mali, umuhimu wa biashara, data nyeti, na madirisha ya matengenezo.
• Chagua mbinu za kuchanganua, vitambulisho, mipaka ya kiwango, na anwani za uongezaji.
• Fafanua vigezo vya ukali, SLA za kurekebisha, na mchakato wa ubaguzi.

Wakati wa tathmini

• Endesha ugunduzi na uchanganuzi ulioidhinishwa dhidi ya mazingira ya ndani ya wigo.
• Tumia uchanganuzi uliothibitishwa inapobidi na salama kufanya hivyo.
• Unganisha matokeo na data ya CVE, ushauri wa wauzaji, na muktadha wa mali.
• Thibitisha matokeo muhimu na yenye hatari kubwa kabla ya kuyaongeza.
• Rekodi ushahidi, matoleo yaliyoathiriwa, maelezo ya kufichuliwa, na athari za biashara.

Baada ya tathmini

• Wape wamiliki wa ukarabati na tarehe za mwisho kulingana na hatari.
• Chapisha ripoti inayojumuisha hatari iliyo wazi, hatari inayokubalika, na mapengo ya chanjo.
• Fuatilia viraka, mabadiliko ya usanidi, na fidia ya vidhibiti hadi kukamilika.
• Pima tena matokeo yaliyorekebishwa na funga kwa ushahidi pekee.
• Kagua mitindo na upange tathmini inayofuata au uchanganuzi upya unaoendeshwa na matukio.

Zana, Mbinu, na Vyanzo vya Data

Tathmini zenye ufanisi za udhaifu huchanganya otomatiki na uamuzi wa kibinadamu. Hakuna zana moja inayotoa huduma kamili.

Vichanganuzi otomatiki na uthibitishaji wa mikono

Vichanganuzi vya udhaifu hutambua udhaifu unaojulikana katika mazingira makubwa. Aina za kawaida ni pamoja na vichanganuzi vya mtandao na mwenyeji, vichanganuzi vya programu za wavuti, uchanganuzi wa muundo wa programu, usimamizi wa mkao wa usalama wa wingu, uchanganuzi wa picha za kontena, na usimamizi wa uso wa mashambulizi.

Uthibitishaji wa mikono husaidia kubaini kama matokeo muhimu yanafaa na yanaweza kutumiwa vibaya, hupunguza matokeo chanya yasiyo sahihi, na kuepuka kazi ya kurekebisha yenye thamani ya chini. Upimaji unapaswa kubaki umeidhinishwa na kufuata sheria zilizokubaliwa za ushiriki.

Hifadhidata za udhaifu, akili ya vitisho, na data ya mali

Matokeo ya kuchanganua yanakuwa muhimu zaidi yanapounganishwa na vyanzo vinavyoaminika. Hifadhidata ya Kitaifa ya Hatari hutoa taarifa sanifu za udhaifu, huku ushauri wa wachuuzi ukielezea bidhaa na marekebisho yaliyoathiriwa. Ujasusi wa vitisho, CISA KEV, na umiliki wa mali vinaonyesha mahali ambapo ugunduzi ni muhimu zaidi.

Uchanganuzi uliothibitishwa dhidi ya usiothibitishwa

Uchanganuzi usiothibitishwa unaonyesha kile ambacho mshambuliaji wa nje au mwenye upendeleo mdogo anaweza kuona. Hujaribu udhihirisho wa umma na usanidi wa mzunguko. Uchanganuzi uliothibitishwa hutumia vitambulisho au mawakala walioidhinishwa kukagua viwango vya kiraka, vifurushi vilivyosakinishwa, usanidi, na mipangilio ya usalama.

Tumia zote mbili inapowezekana. Uchunguzi usiothibitishwa unaweza kufichua mfiduo ambao uchunguzi wa ndani unakosa, huku uchunguzi uliothibitishwa ukipunguza sehemu zisizoonekana ndani ya mifumo inayosimamiwa.

Tathmini ya Udhaifu Mbinu Bora na Mitego ya Kawaida

Ubora wa mtiririko wa kazi ni muhimu kama vile ubora wa kichanganuzi.

Weka kipaumbele kwa kuzingatia hatari halisi, si ukali wa skana pekee

Ichukulie CVSS kama mahali pa kuanzia, si foleni. Udhaifu unaotumiwa kikamilifu kwenye mali inayotumia intaneti unaweza kushinda tatizo la CVSS kubwa zaidi kwenye mfumo uliotengwa. Weka vigezo vilivyokubaliwa vya uainishaji wa vipaumbele.

Punguza chanya za uongo na madoa yasiyoonekana

Thibitisha matokeo yenye hatari kubwa na udumishe umiliki sahihi wa mali. Ufikiaji utakuwa dhaifu ikiwa sehemu za mwisho, vyombo, mali za SaaS, au akaunti za wingu hazipo kwenye orodha. Andika vizuizi na mifumo isiyoweza kuchanganuliwa kama hatari iliyobaki.

Unda umiliki, SLA, na kasi endelevu

Timu za usalama hutambua na kuongoza; miundombinu, DevOps, programu, na wamiliki wa biashara kwa kawaida hutekeleza marekebisho. Fafanua SLA za kurekebisha kwa kiwango cha hatari, fuatilia vighairi, na ujumuishe matokeo katika mabadiliko na mtiririko wa kazi wa kutolewa. Weka kiwango cha tathmini kulingana na umuhimu wa mali, mfiduo, marudio ya mabadiliko, na mahitaji yanayotumika. Baadhi ya mashirika hutathmini mazingira yenye hatari kubwa kila mwezi na mazingira yenye hatari ndogo kila robo mwaka, kwa kutumia skanisho za ziada baada ya mabadiliko makubwa, matukio, au ufichuzi mkubwa wa udhaifu.

Kwa matokeo ya mwisho yanayohusiana na sheria zinazoungwa mkono za kufuata sheria, Veltar Uzingatiaji wa Kiotomatiki inaweza kusaidia timu kufuatilia hali ya kufuata sheria, kutambua vifaa visivyofuata sheria, kusaidia marekebisho, na kutoa ripoti za kufuata sheria. Hii inakamilisha mtiririko wa kazi wa marekebisho; haibadilishi zana za tathmini ya udhaifu zinazogundua udhaifu katika mitandao, programu, mazingira ya wingu, au miundombinu mingine.

Usimamizi wa Udhaifu dhidi ya Tathmini ya Udhaifu dhidi ya Upimaji wa Kupenya

Shughuli hizi zinaingiliana, lakini zinajibu maswali tofauti.

Jinsi kila shughuli inavyotofautiana

Wakati wa kutumia kila moja

Shughuli hizi hufanya kazi vizuri zaidi kama tabaka zinazosaidiana: uchanganuzi hutoa ugunduzi mpana, tathmini huongeza muktadha na vipaumbele, usimamizi wa udhaifu hudumisha mzunguko wa maisha wa urekebishaji, na majaribio ya upenyaji njia za mashambulizi zilizochaguliwa kwa undani zaidi.

Fuatilia Uzingatiaji wa Endpoint na Urekebishe Mipotoko ya Sera kwa kutumia Veltar.

Anza jaribio lako la bure leo.

Jaribu bure

Maswali Yanayoulizwa Mara Kwa Mara

1. Je, tathmini ya udhaifu ni sawa na uchanganuzi wa udhaifu?

Hapana. Uchanganuzi wa udhaifu kwa kawaida ni shughuli moja ndani ya tathmini kamili ya udhaifu. Tathmini pia inajumuisha ufafanuzi wa wigo, uthibitishaji, kipaumbele, kuripoti, umiliki, na mipango ya kurekebisha.

2. Tathmini ya udhaifu inapaswa kufanywa mara ngapi?

Mashirika mengi hutathmini mazingira muhimu kila mwezi au kila robo mwaka, lakini kasi inayofaa inategemea hatari, kiasi cha mabadiliko, na mahitaji ya udhibiti. Fanya tathmini za ziada baada ya kutolewa kwa taarifa kubwa, utumaji mpya, mabadiliko ya wingu, matukio, muunganiko, au ufichuzi wa udhaifu wenye athari kubwa.

3. Ripoti ya tathmini ya udhaifu inapaswa kujumuisha nini?

Jumuisha mali zilizoathiriwa, maelezo ya udhaifu, ukali na unyonyaji, athari za biashara, ushahidi, mwongozo wa kurekebisha, wamiliki, tarehe za mwisho, vighairi, hatari iliyobaki, na matokeo ya uthibitishaji. Muhtasari wa utendaji unapaswa pia kuonyesha chanjo, hatari muhimu, hatua zilizochelewa, na mitindo.

4. Je, tathmini ya udhaifu inaweza kupata udhaifu wa siku sifuri?

Tathmini zina nguvu zaidi katika kupata udhaifu unaojulikana na usanidi usio sahihi. Hatari za siku sifuri zinaweza kuhitaji akili ya vitisho, ufuatiliaji wa tabia, ukaguzi wa msimbo, ukaguzi wa usanidi, uhandisi wa kugundua, au upimaji wa kupenya pamoja na tathmini za kawaida.

5. Kuna tofauti gani kati ya tathmini ya udhaifu na upimaji wa kupenya?

Tathmini ya udhaifu hutambua na kuweka kipaumbele udhaifu kwa upana. Jaribio la kupenya hujaribu kutumia udhaifu uliochaguliwa, ndani ya sheria zilizokubaliwa, ili kuonyesha athari halisi na njia za mashambulizi.

6. Nani ana jukumu la kurekebisha udhaifu baada ya tathmini?

Wajibu unashirikiwa. Timu za usalama huratibu maamuzi ya hatari; shughuli za TEHAMA, DevOps, wamiliki wa programu, na timu za wingu kwa kawaida hufanya mabadiliko; na viongozi wa hatari huidhinisha vighairi. Umiliki na marekebisho ya wazi huzuia matokeo yasiendelee kuwa mrundikano wa kudumu.

Tathmini ya udhaifu ni muhimu tu inapobadilisha mwonekano kuwa upunguzaji wa hatari uliothibitishwa. Anza na upeo sahihi na muktadha wa mali, weka kipaumbele udhaifu ambao washambuliaji wanaweza kutumia, wape kazi wamiliki wanaowajibika, na ujaribu tena kila suluhu muhimu.

Badilisha matokeo muhimu ya sehemu ya mwisho kuwa kazi ya kurekebisha inayoweza kufuatiliwa kwa kutumia Scalefusion. Tumia sehemu za viraka zinazoungwa mkono, fuatilia hali ya sehemu ya viraka na uzingatiaji, rekebisha tofauti za uzingatiaji zinazoungwa mkono, na utumie ripoti za sehemu ya mwisho kukagua maendeleo katika vifaa vinavyosimamiwa.