5 primære faser i sårbarhedshåndteringsprocessen

Risikominimering er omdrejningspunktet i sårbarhedshåndteringsprocessen. Selvom afhjælpning altid forbliver et værdifuldt mål, kan du ikke eliminere risiko fuldstændigt, uanset hvor befæstede dit systems forsvar ser ud til at være. Desuden kommer den primære kilde til sårbarheder i softwareapplikationer indefra, fra selve koden.

I denne artikel vil jeg forklare de trin, der indgår i sårbarhedshåndtering, og hvordan den bruges til at håndtere, mindske og afhjælpe cybersikkerhedsrisici.

Hvorfor er sårbarhedshåndteringsprocessen vigtig?

I Code Complete siger Steve McConnell, at der er omkring 15-50 fejl pr. 1.000 linjer leveret kode. McConnell bemærkede dog, at NASA's missionskritiske applikation, rumfærgesoftwaren, havde nul kodefejl. Men denne utrolige bedrift blev opnået til en pris af tusindvis af dollars pr. kodelinje!

Det er overflødigt at sige, at denne omkostning ganske enkelt er for uoverkommelig for de fleste virksomheder. Desuden sender de fleste af dem ikke rumskibe i kredsløb, hvor astronauters liv bogstaveligt talt står på spil. Sårbarhedshåndtering er derfor et mere opnåeligt mål for den almindelige virksomhed.

Som proces indebærer sårbarhedshåndtering identifikation, vurdering og prioritering af sikkerhedssårbarheder på tværs af systemer, arbejdsbelastninger og slutpunkter. Når sårbarhederne er blevet klassificeret, omfatter processen typisk afhjælpning, rapportering og tilfredsstillende håndtering af de afdækkede trusler.

Hvad er forskellen mellem et sårbarhedshåndteringsprogram og en proces?

Begreberne "sårbarhedshåndteringsprogram" og "sårbarhedshåndteringsproces" er relaterede, men repræsenterer forskellige aspekter af håndteringen af sårbarheder i en organisations sikkerhedspraksis.

Et sårbarhedshåndteringsprogram er en omfattende og strategisk tilgang til håndtering af sårbarheder på tværs af en organisations software og systemer til IT-infrastruktur. Det er et koncept på højere niveau, der omfatter forskellige elementer, herunder politikker, procedurer, værktøjer og ressourcer, med det formål at reducere den samlede risiko, som sårbarheder udgør.

Et sårbarhedshåndteringsprogram omfatter typisk følgende komponenter:

• Sårbarhedsvurderinger: Scan regelmæssigt systemer, applikationer og netværk for at identificere potentielle sårbarheder.
• Risikoprioritering: Evaluer og prioriter sårbarheder baseret på deres alvorlighed og potentielle indvirkning på organisationen.
• Patchhåndtering: Udarbejd processer for anvendelse af sikkerhedsrettelser og opdateringer for at mindske identificerede sårbarheder (ofte gjort lettere med sikkerhedstestværktøjer).
• Trusselsinformation: Integrer trusselsinformation for at forstå de nyeste sårbarheder og potentielle angrebsvektorer.
• Rapportering og målinger: Generer rapporter og målinger for at følge effektiviteten af sårbarhedshåndteringsindsatsen.
• Ansvarsområder og roller: Definer tydeligt ansvarsområder og roller for det personale, der er involveret i sårbarhedshåndteringsprocessen.

Sårbarhedshåndteringsprocessen er en mere specifik og operationel del af sårbarhedshåndteringsprogrammet. Den henviser til de trinvise procedurer og handlinger, der udføres ved håndtering af en enkelt sårbarhed eller et sæt af sårbarheder. Processen indebærer udførelse af opgaver og følger en struktureret tilgang til effektiv håndtering af sårbarheder.

Sårbarhedshåndteringsprocessen omfatter typisk følgende faser:

• Identifikation: Denne fase indebærer opdagelse og katalogisering af sårbarheder gennem forskellige metoder, såsom sårbarhedsscanning, manuelle vurderinger eller penetrationstest.
• Evaluering: Når sårbarhederne er identificeret, vurderes de for at fastslå deres alvorlighed og potentielle indvirkning på organisationens aktiver og drift.
• Afhjælpning: I denne fase træffer organisationen foranstaltninger for at håndtere de identificerede sårbarheder. Det kan indebære anvendelse af sikkerhedsrettelser, konfigurationsændringer eller implementering af midlertidige løsninger.
• Verifikation: Efter at afhjælpningstrinnene er gennemført, verificerer organisationen, om sårbarhederne er blevet håndteret og begrænset effektivt.
• Rapportering: Under hele processen er dokumentation og rapportering afgørende for at følge fremskridt, opretholde overholdelse af krav og kommunikere med interessenter.

Sammenfattende er et sårbarhedshåndteringsprogram en omfattende strategi, der omfatter forskellige elementer for effektivt at håndtere sårbarheder i en organisation. Sårbarhedshåndteringsprocessen er derimod et specifikt sæt af trin og handlinger, der udføres for at identificere, evaluere og afhjælpe individuelle sårbarheder som en del af det større program. Processen er en integreret del af programmet og bidrager til dets overordnede succes.

De fem faser i sårbarhedshåndteringsprocessen

I modsætning til sårbarhedsvurdering, som er en engangshændelse, er sårbarhedshåndtering en kontinuerlig og løbende proces. Dette er de trin, der skal følges i en livscyklus for sårbarhedshåndtering.

Trin 1: Identifikation af sårbarheder

Dette trin drejer sig om at identificere og klassificere sårbarheder. Sårbarheder rangeres typisk ved hjælp af det fælles system til vurdering af sårbarheder (CVSS).

CVSS spiller en mere fremtrædende rolle i anden fase, men på dette tidspunkt er fokus sårbarhedsscanning. Sårbarhedsscanning udføres ofte som en del af en penetrationstest af en penetrationstester eller et sikkerhedsteam bestående af penetrationstestere.

I denne proces er en sårbarhedsscanner et automatiseret værktøj, der bruges til at søge efter, identificere og rapportere kendte sårbarheder i en virksomheds it-infrastruktur.

Den opretter en fortegnelse over alle de it-aktiver, der er tilgængelige i systemet, især dem, der aktivt er forbundet med organisationens netværk. Disse omfatter typisk firewalls, servere, operativsystemer, containere, virtuelle maskiner, routere, printere, bærbare computere, stationære computere og switche.

De undersøger også slutpunkter som åbne porte, IoT-enheder, systemkonfigurationer, installeret software, tredjepartsprogrammer og filsystemstrukturer.

Da sårbarhedsscannere udfører scanninger på tværs af en organisations netværk for at søge efter sårbarheder, er risikoen for at forstyrre systemet eller dets elementer høj. Derfor finjusterer etiske hackere normalt deres metoder for at tage højde for dette under penetrationstest. Som følge heraf kan de udelukke systemer, der er sårbare over for ustabil eller uforudsigelig adfærd, eller tilpasse deres metoder, så de er mindre forstyrrende. Hvis netværksbåndbredde eksempelvis er et problem, kan de beslutte at udføre netværksscanninger uden for spidsbelastningstiden, når netværksbåndbredden ikke er begrænset. 

Løsninger til sårbarhedshåndtering er også dygtige til løbende at indsamle data fra systemer ved hjælp af slutpunktsagenter. Efterhånden som de er blevet mere avancerede, er de også blevet mere fleksible, så de scanner et nyt system eller en ny enhed, umiddelbart efter at den opretter forbindelse til netværket.

Men scanning af systemet alene er ikke det primære mål med denne fase. 

Overordnet set forbedres en organisations system- og netværkssikkerhed ved hjælp af den køreplan over it-aktiver, der oprettes i denne fase. Med denne opdagelse af aktiver kan en organisation nemt fastslå, hvilke enheder der er beskyttet, hvilke komponenter der ikke er det, og hvordan systemets slutpunkter potentielt kan tilgås.

Denne fase er afgørende, fordi den hjælper med at fastslå den angrebsflade, der er eksponeret eller sårbar over for udnyttelse. Desuden bruges de oplysninger, der indsamles af løsningen til sårbarhedshåndtering, til at oprette rapporter og systemmålinger, som anvendes i det næste trin i sårbarhedshåndteringsprocessen.

Det er afgørende at sikre sikker datalagring i forbindelse med sårbarhedshåndtering. En måde at opnå dette på er at anvende førsteklasses software til databasestyring.

Trin 2: Evaluering af sårbarheder

Efter at sårbarhederne er blevet opdaget, er det næste trin at evaluere de identificerede sårbarheders risikoniveau. I trin 1 nævnte jeg kort CVSS, og hvordan det bruges som et rangeringssystem for cybersikkerhedssårbarheder.

CVSS er en gratis og åben standard, der bruges til at kommunikere sårbarheders alvorlighedsgrad. Den giver en score fra 0.0 til 10.0. For at supplere sårbarhedsvurderingen inkluderer den nationale sårbarhedsdatabase (NVD) en alvorlighedsvurdering for CVSS-scorerne, som vist i tabellen nedenfor.

Disse scorer kommunikerer den risiko, som hver sårbarhed udgør for organisationernes infrastruktur. Organisationerne kan derfor prioritere de sårbarheder og trusler, som de skal fokusere på. Denne evaluering danner også grundlag for organisationens risikostyringsstrategi og afhjælpningsindsats.

Selvom sårbarhedsscannere og CVSS-scorer er fremragende værktøjer, giver de muligvis ikke altid et fuldstændigt billede af de risici, som en organisation står over for.

Det skyldes, at disse standardiserede vurderingsscorer ikke altid giver det bedste indblik i de trusler, din virksomhed står over for, på grund af dens særlige risikoprofil. Selvom intelligente værktøjer til sårbarhedshåndtering kan prioritere risiko, er de ikke altid nuancerede nok til at forstå andre yderligere faktorer.

Cybersikkerhedseksperter kan give en bedre og mere alsidig kontekst for din risikoeksponering ved hjælp af den indsamlede trusselsinformationsbeholdning. Disse sikkerhedseksperter overvejer ofte en lang række faktorer som de følgende for at fastlægge en passende risikovurdering:

• Er dette en reel sårbarhed eller blot en falsk positiv?
• Hvor svært er det at udnytte sårbarheden?
• Kan denne sårbarhed udnyttes via fjernadgang?
• Hvor let er det at udnytte denne sårbarhed?
• Har denne sårbarhed offentligt tilgængelige exploits?
• Hvor mange enheder er rapporteret med denne sårbarhed?
• Er dette en ny sårbarhed (ældre sårbarheder har en tendens til at udgøre en større risikobelastning), og ved du, hvor længe den har eksisteret på dit netværk?
• Findes der sikkerhedspolitikker, protokoller og kontroller i din infrastruktur, som kan begrænse sårbarhedens påvirkning, hvis den udnyttes?
• Hvad er konsekvensen for den samlede organisation, hvis sårbarheden udnyttes med succes?

Trin 3: Afhjælpning af sårbarheder

Dette trin fokuserer på at håndtere og begrænse de identificerede sårbarheder. Der iværksættes flere strategier for at prioritere og eliminere sårbarheder baseret på det risikoniveau, de udgør for virksomheden.

Installation af programrettelser

Installation af programrettelser er ofte den lettest tilgængelige løsning, der afhjælper en stor del af de sårbarheder, som findes i software. Faktisk skyldes de fleste cybersikkerhedsbrud software, der ikke er blevet opdateret med programrettelser. Derfor er et system til håndtering af programrettelser, som sikrer, at operativsystemer og tredjepartssoftware er opdaterede, afgørende.

Der kan dog være tilfælde, hvor en leverandør endnu ikke har udgivet en programrettelse til en bestemt sårbarhed. I så fald bør organisationerne skifte til afhjælpende foranstaltninger for at mindske konsekvenserne af en mulig udnyttelse af sårbarheden.

Disse foranstaltninger kan omfatte begrænsning af brugerrettigheder for de pågældende aktiviteter eller – afhængigt af deres alvorlighedsgrad – afkobling eller sortlistning af de berørte enheder fra netværket.

Hvor trusler og sårbarheder håndteres, skal der etableres kontroller, og der skal dokumenteres fremskridt hen imod en mere sikker sikkerhedsposition i organisationen.

Accept

Accept er også en kontraintuitiv strategi til håndtering af sårbarheder. Det indebærer, at der ikke træffes nogen foranstaltninger over for identificerede sårbarheder. Denne strategi giver mening ved sårbarheder med lav risiko, som udgør minimale trusler mod virksomheden. Især når omkostningerne ved at afhjælpe sårbarheden overstiger de mulige omkostninger ved at få den udnyttet. 

Selv når der kun er harmløse sårbarheder, der skal afhjælpes, bør organisationer stadig stræbe efter at optimere deres rapporterede sårbarhedsmålinger. Jo mere systemet til håndtering af sårbarheder derfor er rettet mod at forbedre disse målinger, desto mere reducerer det organisationens angrebsflade.

Desuden kan denne afhjælpningsproces etablere et udgangspunkt for risikostyring, som organisationen løbende kan nulstille med nye og mere ambitiøse mål.

Trin 4: Bekræft sårbarheder

Dette trin sikrer gennem opfølgende revisioner, at truslerne i systemet er blevet elimineret. Penetrationstest bør også anvendes til at verificere effektiviteten af de gennemførte afhjælpende foranstaltninger. Derudover sikrer det, at der ikke utilsigtet opstår nye sårbarheder under processen.

Trin 5: Rapportér sårbarheder

Det er vigtigt ikke kun at dokumentere de identificerede sårbarheder, men også at have en sikkerhedsplan for, hvordan kendte sårbarheder beskrives, og mistænkelig aktivitet overvåges. Disse rapporter er afgørende, fordi de skaber dokumentation, som hjælper virksomheder med at forbedre deres sikkerhedsreaktioner i fremtiden.

Disse rapporter er også vigtige at dele med den øverste ledelse og i forbindelse med compliance-revisioner. Det skyldes, at dokumentation af udbedrede sårbarheder og problemer viser ansvarlighed. Og denne ansvarlighed er ofte nødvendig for at opretholde compliance-standarder.

Heldigvis findes der intelligente og avancerede softwareløsninger til sårbarhedshåndtering og værktøjer til penetrationstest af webapplikationer, som automatisk kan generere disse rapporter, så du ikke behøver at gøre det manuelt.

Vigtigheden af sårbarhedsstyring

Processer til sårbarhedsstyring er afgørende, hvis du vil holde dit netværk sikkert ved at minimere tilstedeværelsen af trusler og udnyttelser. 

Få mere at vide om sårbarheds- og trusselsstyring ved at udforske andre artikler på vores blog, eller du kan tilmelde dig The QA Leads' nyhedsbrev.