5 hovedstadier i prosessen for håndtering av sårbarheter

Risikoredusering er midtpunktet i sårbarhetshåndteringsprosessen. Selv om utbedring alltid forblir et verdifullt mål, kan du ikke eliminere risiko fullstendig, uansett hvor godt systemets forsvar ser ut til å være befestet. Dessuten kommer den primære kilden til sårbarheter i programvareapplikasjoner innenfra, fra selve koden.

I denne artikkelen forklarer jeg trinnene som inngår i sårbarhetshåndtering, og hvordan den brukes til å håndtere, redusere og utbedre cybersikkerhetsrisikoer.

Hvorfor er sårbarhetshåndteringsprosessen viktig?

I Code Complete sier Steve McConnell at det finnes omtrent 15–50 feil eller mangler per 1000 linjer levert kode. McConnell påpekte imidlertid at NASAs virksomhetskritiske applikasjon, Space Shuttle Software, hadde null kodefeil. Men denne utrolig imponerende prestasjonen ble oppnådd til en kostnad på tusenvis av dollar per kodelinje!

Det er unødvendig å si at denne kostnaden rett og slett er for høy for de fleste virksomheter. Dessuten sender de fleste ikke romskip ut i bane, der astronautenes liv bokstavelig talt står på spill. Sårbarhetshåndtering er derfor et mer oppnåelig mål for den vanlige virksomheten.

Som prosess innebærer sårbarhetshåndtering å identifisere, vurdere og prioritere sikkerhetssårbarheter på tvers av systemer, arbeidsbelastninger og endepunkter. Etter at sårbarhetene er klassifisert, går prosessen vanligvis videre til utbedring, rapportering og tilfredsstillende håndtering av de avdekkede truslene.

Hva er forskjellen mellom et sårbarhetshåndteringsprogram og en prosess?

Begrepene «sårbarhetshåndteringsprogram» og «sårbarhetshåndteringsprosess» henger sammen, men representerer ulike aspekter ved håndtering av sårbarheter i en organisasjons sikkerhetspraksis.

Et sårbarhetshåndteringsprogram er en omfattende og strategisk tilnærming til håndtering av sårbarheter på tvers av en organisasjons programvare for IT-infrastruktur og systemer. Det er et konsept på høyere nivå som omfatter ulike elementer, inkludert retningslinjer, prosedyrer, verktøy og ressurser, med mål om å redusere den samlede risikoen som sårbarheter medfører.

Et sårbarhetshåndteringsprogram omfatter vanligvis følgende komponenter:

• Sårbarhetsvurderinger: Skann systemer, applikasjoner og nettverk regelmessig for å identifisere potensielle sårbarheter.
• Risikoprioritering: Vurder og prioriter sårbarheter basert på alvorlighetsgraden og den potensielle innvirkningen på organisasjonen.
• Oppdateringshåndtering: Utvikle prosesser for å installere sikkerhetsoppdateringer og oppdateringer for å redusere identifiserte sårbarheter. (noe som ofte blir enklere med sikkerhetstestingsverktøy)
• Trusselintelligens: Integrer trusselintelligens for å forstå de nyeste sårbarhetene og potensielle angrepsvektorene.
• Rapportering og måleverdier: Generer rapporter og måleverdier for å følge med på hvor effektiv innsatsen for sårbarhetshåndtering er.
• Ansvar og roller: Definer tydelig ansvar og roller for personell som er involvert i sårbarhetshåndteringsprosessen.

Sårbarhetshåndteringsprosessen er en mer spesifikk og operativ del av sårbarhetshåndteringsprogrammet. Den viser til trinnvise prosedyrer og handlinger som utføres når man håndterer én enkelt sårbarhet eller et sett med sårbarheter. Prosessen innebærer utføring av oppgaver og følger en strukturert tilnærming for å håndtere sårbarheter effektivt.

Sårbarhetshåndteringsprosessen omfatter vanligvis følgende stadier:

• Identifisering: Dette stadiet innebærer å oppdage og katalogisere sårbarheter ved hjelp av ulike metoder, for eksempel sårbarhetsskanning, manuelle vurderinger eller penetrasjonstesting.
• Evaluering: Når sårbarheter er identifisert, vurderes de for å fastslå alvorlighetsgraden og den potensielle innvirkningen på organisasjonens ressurser og drift.
• Utbedring: I denne fasen iverksetter organisasjonen tiltak for å håndtere de identifiserte sårbarhetene. Dette kan innebære installasjon av sikkerhetsoppdateringer, konfigurasjonsendringer eller implementering av midlertidige løsninger.
• Verifisering: Etter at utbedringstiltakene er gjennomført, verifiserer organisasjonen om sårbarhetene er håndtert og redusert på en effektiv måte.
• Rapportering: Gjennom hele prosessen er dokumentasjon og rapportering avgjørende for å følge fremdriften, opprettholde samsvar og kommunisere med interessenter.

Oppsummert er et sårbarhetshåndteringsprogram en omfattende strategi som omfatter ulike elementer for å håndtere sårbarheter effektivt i en organisasjon. Sårbarhetshåndteringsprosessen er derimot et spesifikt sett med trinn og handlinger som utføres for å identifisere, evaluere og utbedre individuelle sårbarheter som en del av det overordnede programmet. Prosessen er en integrert del av programmet og bidrar til at det lykkes samlet sett.

De fem stadiene i prosessen for sårbarhetshåndtering

I motsetning til sårbarhetsvurdering, som er en engangshendelse, er sårbarhetshåndtering en kontinuerlig og pågående prosess. Dette er trinnene som skal følges i en livssyklus for sårbarhetshåndtering.

Trinn 1: Identifisering av sårbarheter

Dette trinnet dreier seg om å identifisere og klassifisere sårbarheter. Sårbarheter rangeres vanligvis ved hjelp av systemet for vurdering av vanlige sårbarheter (CVSS).

CVSS spiller en mer fremtredende rolle i trinn to, men det som står i sentrum på dette tidspunktet, er sårbarhetsskanning. Sårbarhetsskanning utføres ofte som en del av en penetrasjonstest av en penetrasjonstester eller et sikkerhetsteam bestående av penetrasjonstestere.

I denne prosessen er en sårbarhetsskanner et automatisert verktøy som brukes til å søke etter, identifisere og rapportere kjente sårbarheter i en virksomhets IT-infrastruktur.

Den oppretter en oversikt over alle IT-ressursene som er tilgjengelige i systemet, særlig de som er aktivt koblet til virksomhetens nettverk. Disse omfatter vanligvis brannmurer, servere, operativsystemer, containere, virtuelle maskiner, rutere, skrivere, bærbare datamaskiner, stasjonære datamaskiner og svitsjer.

De undersøker også endepunkter som åpne porter, IoT-enheter, systemkonfigurasjoner, installert programvare, tredjepartsapper og filsystemstrukturer.

Ettersom sårbarhetsskannere utfører skanninger på tvers av virksomhetens nettverk for å søke etter sårbarheter, er potensialet for å forstyrre systemet eller dets komponenter stort. Derfor finjusterer etiske hackere vanligvis metodene sine for å ta høyde for dette under penetrasjonstesting. Som et resultat kan de utelate systemer som er utsatt for ustabil eller uforutsigbar atferd, eller tilpasse metodene sine slik at de er mindre forstyrrende. Hvis nettverksbåndbredde for eksempel er et problem, kan de velge å utføre nettverksskanninger utenom perioder med høy belastning, når nettverksbåndbredden ikke er begrenset. 

Løsninger for sårbarhetshåndtering er også gode til å samle inn data kontinuerlig fra systemer ved hjelp av endepunktsagenter. Etter hvert som de har blitt mer avanserte, har de også blitt mer fleksible; derfor skanner de et nytt system eller en ny enhet umiddelbart etter at den kobles til nettverket.

Men systemskanning alene er ikke hovedmålet med dette trinnet. 

Samlet sett styrkes virksomhetens system- og nettverkssikkerhet gjennom veikartet over IT-ressurser som opprettes i dette trinnet. Med denne ressurskartleggingen kan en virksomhet enkelt fastslå hvilke enheter som er beskyttet, hvilke komponenter som ikke er det, og hvordan systemets endepunkter potensielt kan nås.

Dette trinnet er avgjørende fordi det bidrar til å fastslå hvilken angrepsflate som er eksponert eller sårbar for utnyttelse. Informasjonen som samles inn av løsningen for sårbarhetshåndtering, brukes dessuten til å opprette rapporter og systemmålinger som benyttes i neste trinn i prosessen for sårbarhetshåndtering.

Det er avgjørende å sørge for sikker datalagring i sårbarhetshåndteringen. Én måte å oppnå dette på er å bruke førsteklasses programvare for databasehåndtering.

Trinn 2: Evaluering av sårbarheter

Etter at sårbarhetene er oppdaget, er neste trinn å evaluere de identifiserte sårbarhetene ut fra risikonivået deres. I trinn 1 nevnte jeg kort CVSS og hvordan det brukes som et rangeringssystem for cybersikkerhetssårbarheter.

CVSS er en gratis og åpen standard som brukes til å kommunisere alvorlighetsgraden til sårbarheter. Den gir en poengsum fra 0.0 til 10.0. For å utfylle sårbarhetsvurderingen inkluderer Nasjonal sårbarhetsdatabase (NVD) en alvorlighetsgrad for CVSS-poengsummene, slik det fremgår av tabellen nedenfor.

Disse poengsummene kommuniserer risikoen hver sårbarhet utgjør for virksomhetens infrastruktur. Dermed kan virksomheter prioritere sårbarhetene og truslene de bør fokusere på. Denne evalueringen gir også grunnlag for virksomhetens risikohåndteringsstrategi og tiltak for utbedring.

Selv om sårbarhetsskannere og CVSS-poengsummer er utmerkede verktøy, gir de ikke alltid et fullstendig bilde av risikoene en virksomhet står overfor.

Dette skyldes at disse standardiserte vurderingspoengene ikke alltid gir den beste innsikten i truslene virksomheten din står overfor, på grunn av den særegne risikoprofilen. Selv om smarte verktøy for sårbarhetshåndtering kan prioritere risiko, er de kanskje ikke alltid nyanserte nok til å forstå andre tilleggsfaktorer.

Cybersikkerhetseksperter kan gi en bedre og mer helhetlig kontekst for risikoeksponeringen din ved hjelp av oversikten over innsamlet trusselintelligens. Disse sikkerhetsekspertene vurderer ofte en rekke faktorer som de følgende for å fastslå en passende risikovurdering:

• Er dette en reell sårbarhet eller bare et falskt positivt funn?
• Hvor vanskelig er det å utnytte sårbarheten?
• Kan denne sårbarheten utnyttes eksternt?
• Hvor enkelt er det å utnytte denne sårbarheten?
• Har denne sårbarheten offentlig publiserte utnyttelser?
• Hvor mange enheter er rapportert med denne sårbarheten?
• Er dette en ny sårbarhet (eldre sårbarheter har en tendens til å utgjøre en større risikobelastning), og vet du hvor lenge den har eksistert i nettverket ditt?
• Finnes det sikkerhetspolicyer, protokoller og kontroller i infrastrukturen din for å begrense sårbarhetens konsekvenser dersom den utnyttes?
• Hva er konsekvensen for hele virksomheten dersom sårbarheten utnyttes med hell?

Trinn 3: Utbedring av sårbarheter

Dette trinnet fokuserer på å håndtere og begrense de oppdagede sårbarhetene. Flere strategier iverksettes for å prioritere og eliminere sårbarheter basert på hvilken risiko de utgjør for virksomheten.

Oppdatering

Oppdatering er ofte det enkleste tiltaket for å utbedre en stor del av sårbarhetene som finnes i programvare. Faktisk skyldes de fleste cybersikkerhetsbrudd programvare som ikke er oppdatert. Derfor er et oppdateringshåndteringssystem som sørger for at operativsystemer og tredjepartsprogramvare er oppdaterte, avgjørende.

Det kan imidlertid hende at en leverandør ennå ikke har lansert en oppdatering for en bestemt sårbarhet. I slike tilfeller bør virksomheten gå over til risikoreduserende tiltak for å begrense konsekvensene av en mulig utnyttelse av sårbarheten.

Disse tiltakene kan omfatte å begrense brukertillatelser for de aktuelle aktivitetene eller – avhengig av alvorlighetsgraden – koble de berørte enhetene fra nettverket eller svarteliste dem.

Når trusler og sårbarheter håndteres, må det etableres kontroller, og fremdriften mot en sikrere sikkerhetstilstand i virksomheten må dokumenteres.

Aksept

Aksept er også en kontraintuitiv strategi for sårbarhetshåndtering. Dette innebærer å ikke iverksette tiltak mot oppdagede sårbarheter. Strategien er fornuftig for sårbarheter med lav risiko, som utgjør en minimal trussel mot virksomheten. Særlig når kostnadene ved å utbedre sårbarheten overstiger de mulige kostnadene som kan oppstå ved at den utnyttes. 

Selv når det bare er ufarlige sårbarheter som skal utbedres, bør virksomheter fortsatt forsøke å optimalisere de rapporterte sårbarhetsmålingene. Jo mer sårbarhetshåndteringssystemet er innrettet mot å forbedre disse målingene, desto mer reduserer det virksomhetens angrepsflate.

Dessuten kan denne utbedringsprosessen etablere et utgangspunkt for risikohåndtering som virksomheten kontinuerlig kan justere med nye og mer ambisiøse mål.

Trinn 4: Verifiser sårbarheter

Dette trinnet sikrer at truslene i systemet er eliminert gjennom oppfølgende revisjoner. Penetrasjonstesting bør også brukes til å verifisere effektiviteten av utbedringstiltakene som er iverksatt. I tillegg sikrer dette at nye sårbarheter ikke utilsiktet oppstår under prosessen.

Trinn 5: Rapporter sårbarheter

Det er viktig å dokumentere ikke bare de oppdagede sårbarhetene, men også en sikkerhetsplan for hvordan kjente sårbarheter skal beskrives og mistenkelig aktivitet overvåkes. Disse rapportene er avgjørende fordi de skaper dokumentasjon som hjelper virksomheter med å forbedre sikkerhetstiltakene sine i fremtiden.

Det er også viktig å dele disse rapportene med toppledelsen og bruke dem i samsvarsrevisjoner. Dette skyldes at dokumentasjon av og redegjørelse for utbedrede sårbarheter og problemer viser ansvarlighet. Denne ansvarligheten er ofte nødvendig for å opprettholde samsvarsstandarder.

Heldigvis finnes det smarte og avanserte programvarer for sårbarhetshåndtering og verktøy for penetrasjonstesting av nettapplikasjoner som kan generere disse rapportene automatisk, slik at du ikke trenger å gjøre det manuelt.

Viktigheten av sårbarhetshåndtering

Prosesser for sårbarhetshåndtering er avgjørende hvis du vil holde nettverket ditt sikkert ved å minimere forekomsten av trusler og utnyttelser. 

Les mer om sårbarhets- og trusselhåndtering ved å utforske andre artikler på bloggen vår, eller du kan abonnere på nyhetsbrevet til The QA Lead.