5 belangrijkste fasen van het proces voor kwetsbaarhedenbeheer
Risicobeperking vormt het middelpunt van het kwetsbaarheidsbeheerproces. Hoewel herstel altijd een waardevol doel blijft, kunt u risico's nooit volledig elimineren, hoe goed de verdediging van uw systeem ook lijkt te zijn versterkt. Bovendien komt de belangrijkste bron van kwetsbaarheden in softwaretoepassingen van binnenuit, namelijk uit de code zelf.
In dit artikel leg ik de stappen van kwetsbaarheidsbeheer uit en hoe het wordt gebruikt om cyberbeveiligingsrisico's te beheren, te beperken en te verhelpen.
Waarom is het kwetsbaarheidsbeheerproces belangrijk?
In Code Complete zegt Steve McConnell dat er ongeveer 15 - 50 fouten of bugs per 1000 regels opgeleverde code zijn. McConnell merkte echter op dat de bedrijfskritische toepassing van NASA, de software van de Space Shuttle, nul codefouten bevatte. Maar deze verbazingwekkende prestatie werd bereikt tegen een kostprijs van duizenden dollars per regel code!
Want more from The CTO Club?
Create a free account to finish this piece and join a community of CTOs and engineering leaders sharing real-world frameworks, tools, and insights for designing, deploying, and scaling AI-driven technology.
Have an account? Log In
Het spreekt voor zich dat deze kosten voor de meeste bedrijven simpelweg te hoog zijn. Bovendien sturen de meeste bedrijven geen ruimteschepen de ruimte in, waar het leven van astronauten letterlijk op het spel staat. Kwetsbaarheidsbeheer is daarom een haalbaarder doel voor het gemiddelde bedrijf.
Als proces omvat kwetsbaarheidsbeheer het identificeren, beoordelen en prioriteren van beveiligingskwetsbaarheden in systemen, workloads en eindpunten. Nadat de kwetsbaarheden zijn geclassificeerd, richt het proces zich doorgaans op herstelmaatregelen, rapportage en het naar behoren oplossen van de ontdekte bedreigingen.
Wat is het verschil tussen een kwetsbaarheidsbeheerprogramma en een proces?
De termen "kwetsbaarheidsbeheerprogramma" en "kwetsbaarheidsbeheerproces" houden verband met elkaar, maar vertegenwoordigen verschillende aspecten van het omgaan met kwetsbaarheden binnen de beveiligingspraktijken van een organisatie.
Een kwetsbaarheidsbeheerprogramma is een uitgebreide en strategische aanpak voor het beheren van kwetsbaarheden binnen de IT-infrastructuursoftware en systemen van een organisatie. Het is een concept op hoger niveau dat verschillende elementen omvat, waaronder beleidsregels, procedures, hulpmiddelen en middelen, gericht op het verminderen van het algehele risico dat kwetsbaarheden met zich meebrengen.
Een kwetsbaarheidsbeheerprogramma omvat doorgaans de volgende onderdelen:
- Kwetsbaarheidsbeoordelingen: Scan systemen, toepassingen en netwerken regelmatig om mogelijke kwetsbaarheden te identificeren.
- Risicoprioritering: Beoordeel en prioriteer kwetsbaarheden op basis van hun ernst en mogelijke impact op de organisatie.
- Patchbeheer: Ontwikkel processen voor het toepassen van beveiligingspatches en updates om geïdentificeerde kwetsbaarheden te beperken. (dit wordt vaak eenvoudiger met hulpmiddelen voor beveiligingstests)
- Dreigingsinformatie: Integreer dreigingsinformatie om inzicht te krijgen in de nieuwste kwetsbaarheden en mogelijke aanvalsvectoren.
- Rapportage en statistieken: Genereer rapporten en statistieken om de effectiviteit van de inspanningen op het gebied van kwetsbaarheidsbeheer te volgen.
- Verantwoordelijkheden en rollen: Definieer duidelijk de verantwoordelijkheden en rollen van medewerkers die bij het kwetsbaarheidsbeheerproces betrokken zijn.
Het kwetsbaarheidsbeheerproces is een specifieker en operationeler onderdeel van het kwetsbaarheidsbeheerprogramma. Het verwijst naar de stapsgewijze procedures en acties die worden uitgevoerd bij het omgaan met één kwetsbaarheid of een reeks kwetsbaarheden. Het proces omvat de uitvoering van taken en volgt een gestructureerde aanpak om kwetsbaarheden effectief te behandelen.
Het kwetsbaarheidsbeheerproces omvat doorgaans de volgende fasen:
- Identificatie: In deze fase worden kwetsbaarheden ontdekt en gecatalogiseerd met behulp van verschillende methoden, zoals het scannen op kwetsbaarheden, handmatige beoordelingen of penetratietests.
- Evaluatie: Zodra kwetsbaarheden zijn geïdentificeerd, worden ze beoordeeld om hun ernst en mogelijke impact op de bedrijfsmiddelen en activiteiten van de organisatie vast te stellen.
- Herstel: In deze fase onderneemt de organisatie actie om de geïdentificeerde kwetsbaarheden aan te pakken. Dit kan bestaan uit het toepassen van beveiligingspatches, het wijzigen van configuraties of het implementeren van tijdelijke oplossingen.
- Verificatie: Nadat de herstelstappen zijn uitgevoerd, controleert de organisatie of de kwetsbaarheden effectief zijn aangepakt en beperkt.
- Rapportage: Tijdens het hele proces zijn documentatie en rapportage essentieel om de voortgang te volgen, naleving te handhaven en met belanghebbenden te communiceren.
Samengevat is een kwetsbaarheidsbeheerprogramma een uitgebreide strategie die verschillende elementen omvat om kwetsbaarheden binnen een organisatie effectief te beheren. Het kwetsbaarheidsbeheerproces bestaat daarentegen uit een specifieke reeks stappen en acties om afzonderlijke kwetsbaarheden te identificeren, te evalueren en te verhelpen als onderdeel van het grotere programma. Het proces is een integraal onderdeel van het programma en draagt bij aan het algehele succes ervan.
De vijf fasen van het proces voor kwetsbaarhedenbeheer
In tegenstelling tot een kwetsbaarheidsbeoordeling, die een eenmalige gebeurtenis is, is kwetsbaarhedenbeheer een continu, doorlopend proces. Dit zijn de stappen die moeten worden gevolgd in de levenscyclus van kwetsbaarhedenbeheer.
Stap 1: Kwetsbaarheden identificeren
Deze stap draait om het identificeren en classificeren van kwetsbaarheden. Kwetsbaarheden worden doorgaans gerangschikt met behulp van het Gemeenschappelijk scoresysteem voor kwetsbaarheden (CVSS).
De rol van CVSS is prominenter in de tweede fase; wat nu echter centraal staat, is kwetsbaarheidsscanning. Kwetsbaarheidsscanning wordt vaak uitgevoerd als onderdeel van een penetratietest door een pentester of een beveiligingsteam van penetratietesters.
In dit proces is een kwetsbaarheidsscanner een geautomatiseerde tool die wordt gebruikt om de bekende kwetsbaarheden in de IT-infrastructuur van een bedrijf te zoeken, identificeren en rapporteren.
De scanner maakt een inventaris van alle IT-middelen die in het systeem beschikbaar zijn, met name de middelen die actief met het netwerk van de organisatie zijn verbonden. Deze omvatten doorgaans firewalls, servers, besturingssystemen, containers, virtuele machines, routers, printers, laptops, desktops en switches.
Daarnaast worden eindpunten onderzocht, zoals open poorten, IoT-apparaten, systeemconfiguraties, geïnstalleerde software, apps van derden en bestandssysteemstructuren.
Omdat kwetsbaarheidsscanners scans uitvoeren op het netwerk van een organisatie om kwetsbaarheden op te sporen, is de kans groot dat het systeem of onderdelen ervan worden verstoord. Daarom stemmen ethische hackers hun methoden tijdens penetratietests doorgaans hierop af. Als gevolg daarvan kunnen ze systemen uitsluiten die gevoelig zijn voor instabiel of onvoorspelbaar gedrag, of hun methoden aanpassen om minder verstorend te zijn. Als netwerkbandbreedte bijvoorbeeld een probleem vormt, kunnen ze besluiten om netwerkscans uit te voeren buiten piekuren, wanneer de netwerkbandbreedte niet beperkt is.
Oplossingen voor kwetsbaarhedenbeheer zijn ook uitstekend in het continu verzamelen van gegevens uit systemen met behulp van eindpuntagenten. Naarmate deze oplossingen geavanceerder zijn geworden, zijn ze ook flexibeler geworden; daardoor scannen ze een nieuw systeem of apparaat onmiddellijk nadat het verbinding heeft gemaakt met het netwerk.
Maar het scannen van systemen alleen is niet het hoofddoel van deze fase.
In het algemeen worden de systeem- en netwerkbeveiliging van een organisatie verbeterd door de routekaart van IT-middelen die in deze fase wordt opgesteld. Met deze inventarisatie van bedrijfsmiddelen kan een organisatie eenvoudig vaststellen welke apparaten zijn beschermd, welke onderdelen dat niet zijn en hoe systeem-eindpunten mogelijk toegankelijk kunnen worden gemaakt.
Deze fase is cruciaal omdat ze helpt bepalen welk aanvalsoppervlak blootgesteld is aan of kwetsbaar is voor uitbuiting. Bovendien wordt de informatie die door de oplossing voor kwetsbaarhedenbeheer wordt verzameld, gebruikt om rapporten en systeemmetingen te maken die in de volgende stap van het proces voor kwetsbaarhedenbeheer worden gebruikt.
Het veilig opslaan van gegevens is cruciaal voor kwetsbaarhedenbeheer. Een manier om dit te bereiken is door gebruik te maken van eersteklas databasemanagementsoftware.
Stap 2: Kwetsbaarheden evalueren
Nadat de kwetsbaarheden zijn ontdekt, is de volgende stap het evalueren van de geïdentificeerde kwetsbaarheden op hun risiconiveau. In stap 1 heb ik CVSS kort genoemd en uitgelegd hoe het wordt gebruikt als rangschikkingssysteem voor cyberbeveiligingskwetsbaarheden.
CVSS is een gratis en open standaard die wordt gebruikt om de ernst van kwetsbaarheden te communiceren. Het geeft een score van 0.0 tot 10.0. Om de kwetsbaarheidsbeoordeling aan te vullen, bevat de Nationale kwetsbaarhedendatabase (NVD) een ernstclassificatie voor de CVSS-scores, zoals aangegeven in de onderstaande tabel.
| CVSS-score | Ernstclassificatie |
| 0.0 | Geen |
| 0.1 - 3.9 | Laag |
| 4.0 - 6.9 | Gemiddeld |
| 7.0 - 8.9 | Hoog |
| 9.0 - 10.0 | Kritiek |
Deze scores geven organisaties inzicht in het risico dat elke kwetsbaarheid vormt voor hun infrastructuur. Organisaties kunnen de kwetsbaarheden en bedreigingen waarop ze zich moeten richten daardoor prioriteren. Deze evaluatie vormt ook de basis voor de risicobeheerstrategie en herstelmaatregelen van de organisatie.
Hoewel kwetsbaarheidsscanners en CVSS-scores uitstekende hulpmiddelen zijn, bieden ze mogelijk niet altijd een volledig beeld van de risico’s waarmee een organisatie wordt geconfronteerd.
Dit komt doordat deze standaardbeoordelingsscores niet altijd het beste inzicht bieden in de bedreigingen waarmee je bedrijf te maken heeft vanwege het specifieke risicoprofiel. Hoewel slimme tools voor kwetsbaarhedenbeheer risico's kunnen prioriteren, zijn ze mogelijk niet altijd genuanceerd genoeg om andere aanvullende factoren te begrijpen.
Cybersecurityprofessionals kunnen met behulp van de verzamelde inventaris van informatie over bedreigingen een betere, veelzijdige context van je risicoblootstelling bieden. Deze beveiligingsprofessionals houden vaak rekening met een groot aantal factoren, zoals de volgende, om een geschikte risicobeoordeling te bepalen:
- Gaat het om een echte kwetsbaarheid of slechts om een vals-positief resultaat?
- Hoe moeilijk is het om de kwetsbaarheid uit te buiten?
- Kan deze kwetsbaarheid op afstand worden uitgebuit?
- Hoe eenvoudig is het om deze kwetsbaarheid uit te buiten?
- Zijn er openbaar gepubliceerde manieren om deze kwetsbaarheid uit te buiten?
- Op hoeveel apparaten wordt deze kwetsbaarheid gemeld?
- Is dit een nieuwe kwetsbaarheid (oudere kwetsbaarheden vormen doorgaans een groter risico) en weet je hoe lang deze al in je netwerk bestaat?
- Zijn er beveiligingsbeleidsregels, protocollen en beheersmaatregelen aanwezig in je infrastructuur om de impact van de kwetsbaarheid te beperken als deze wordt uitgebuit?
- Wat is de impact op de organisatie als geheel wanneer de kwetsbaarheid succesvol wordt uitgebuit?
Stap 3: Kwetsbaarheden verhelpen
Deze stap richt zich op het aanpakken en beperken van de ontdekte kwetsbaarheden. Er worden verschillende strategieën toegepast om kwetsbaarheden te prioriteren en te elimineren op basis van het risiconiveau dat ze voor het bedrijf vormen.
Patches installeren
Het installeren van patches is vaak de eenvoudigste maatregel waarmee een groot deel van de in software gevonden kwetsbaarheden kan worden verholpen. De meeste cybersecurityinbreuken zijn namelijk het gevolg van software waarvoor geen patches zijn geïnstalleerd. Daarom is een systeem voor patchbeheer dat ervoor zorgt dat besturingssystemen en software van derden up-to-date zijn van cruciaal belang.
Het kan echter voorkomen dat een leverancier nog geen patch heeft uitgebracht voor een bepaalde kwetsbaarheid. In dat geval moeten organisaties overschakelen op beperkende maatregelen om de impact van mogelijke uitbuiting van de kwetsbaarheid te verkleinen.
Deze maatregelen kunnen bestaan uit het beperken van gebruikersrechten voor die activiteiten of—afhankelijk van de ernst ervan—het beperken van de netwerktoegang tot de getroffen apparaten of het volledig uitsluiten ervan.
Wanneer bedreigingen en kwetsbaarheden worden aangepakt, moeten beheersmaatregelen worden vastgesteld en moet vooruitgang worden aangetoond op weg naar een veiligere beveiligingspositie binnen de organisatie.
Acceptatie
Acceptatie is ook een contra-intuïtieve strategie voor kwetsbaarhedenbeheer. Hierbij wordt geen actie ondernomen met ontdekte kwetsbaarheden. Deze strategie is zinvol bij kwetsbaarheden met een laag risico die minimale bedreigingen voor het bedrijf vormen. Dit geldt vooral wanneer de kosten voor het verhelpen van de kwetsbaarheid hoger zijn dan de mogelijke kosten die door uitbuiting ervan ontstaan.
Zelfs wanneer er alleen onschadelijke kwetsbaarheden moeten worden verholpen, moeten organisaties ernaar blijven streven hun gerapporteerde statistieken over kwetsbaarheden te optimaliseren. Hoe meer het systeem voor kwetsbaarhedenbeheer is gericht op het verbeteren van deze statistieken, hoe verder het aanvalsoppervlak van de organisatie wordt verkleind.
Bovendien kan dit herstelproces een basislijn voor risicobeheer vastleggen die de organisatie voortdurend kan bijstellen met nieuwe en ambitieuzere doelstellingen.
Stap 4: Kwetsbaarheden verifiëren
Deze stap zorgt ervoor dat de bedreigingen in het systeem door middel van vervolgaudits zijn geëlimineerd. Er moeten ook penetratietests worden uitgevoerd om de doeltreffendheid van de genomen herstelmaatregelen te verifiëren. Daarnaast wordt zo gecontroleerd dat er tijdens het proces niet onbedoeld nieuwe kwetsbaarheden zijn gecreëerd.
Stap 5: Kwetsbaarheden rapporteren
Het is belangrijk om niet alleen de ontdekte kwetsbaarheden te documenteren, maar ook een beveiligingsplan op te stellen voor het beschrijven van bekende kwetsbaarheden en het bewaken van verdachte activiteiten. Deze rapporten zijn van cruciaal belang omdat ze gegevens vastleggen die bedrijven helpen hun beveiligingsreacties in de toekomst te verbeteren.
Het is ook belangrijk om deze rapporten te delen met het hogere management en te gebruiken voor nalevingsaudits. Dit komt doordat het aantonen en vastleggen van verholpen kwetsbaarheden en problemen blijk geeft van verantwoordelijkheid. Die verantwoordelijkheid is vaak vereist om aan nalevingsnormen te blijven voldoen.
Gelukkig zijn er slimme en geavanceerde software voor kwetsbaarhedenbeheer en tools voor penetratietesten van webapplicaties die deze rapporten automatisch kunnen genereren, zodat je dit niet handmatig hoeft te doen.
Het belang van kwetsbaarhedenbeheer
Processen voor kwetsbaarhedenbeheer zijn van vitaal belang als u uw netwerk veilig wilt houden door de aanwezigheid van bedreigingen en exploits tot een minimum te beperken.
Lees meer over kwetsbaarheden- en dreigingsbeheer door andere artikelen op onze blog te bekijken, of u kunt zich abonneren op de nieuwsbrief van The QA Lead.
