5 głównych etapów procesu zarządzania podatnościami

Ograniczanie ryzyka jest centralnym elementem procesu zarządzania podatnościami. Chociaż usuwanie podatności zawsze pozostaje wartościowym celem, nie można całkowicie wyeliminować ryzyka, bez względu na to, jak dobrze zabezpieczony wydaje się system. Co więcej, główne źródło podatności w aplikacjach programowych znajduje się wewnątrz nich — w samym kodzie.

W tym artykule wyjaśnię poszczególne etapy zarządzania podatnościami oraz sposób wykorzystywania tego procesu do zarządzania ryzykiem cyberbezpieczeństwa, jego ograniczania i usuwania.

Dlaczego proces zarządzania podatnościami jest ważny?

W książce Code Complete Steve McConnell twierdzi, że na 1000 wierszy dostarczonego kodu przypada około 15–50 błędów lub usterek. McConnell zauważył jednak, że krytyczna dla misji aplikacja NASA — oprogramowanie promu kosmicznego — nie zawierała żadnych defektów kodu. To zdumiewające osiągnięcie zostało jednak osiągnięte kosztem tysięcy dolarów za każdy wiersz kodu!

Nie trzeba dodawać, że taki koszt jest po prostu zbyt wysoki dla większości firm. Poza tym większość z nich nie wysyła statków kosmicznych na orbitę, gdzie życie astronautów jest dosłownie zagrożone. Dlatego zarządzanie podatnościami jest bardziej osiągalnym celem dla typowej firmy.

Jako proces zarządzanie podatnościami obejmuje identyfikowanie, ocenę i ustalanie priorytetów podatności bezpieczeństwa w systemach, obciążeniach i punktach końcowych. Po sklasyfikowaniu podatności proces zazwyczaj obejmuje usuwanie podatności, raportowanie oraz zadowalające rozwiązywanie wykrytych zagrożeń.

Jaka jest różnica między programem zarządzania podatnościami a procesem zarządzania podatnościami?

Terminy „program zarządzania podatnościami” i „proces zarządzania podatnościami” są ze sobą powiązane, ale oznaczają różne aspekty postępowania z podatnościami w ramach praktyk bezpieczeństwa organizacji.

Program zarządzania podatnościami to kompleksowe i strategiczne podejście do zarządzania podatnościami w obrębie oprogramowania infrastruktury IT i systemów organizacji. Jest to pojęcie wyższego poziomu, obejmujące różne elementy, w tym zasady, procedury, narzędzia i zasoby, których celem jest ograniczenie ogólnego ryzyka powodowanego przez podatności.

Program zarządzania podatnościami zazwyczaj obejmuje następujące elementy:

• Oceny podatności: Regularne skanowanie systemów, aplikacji i sieci w celu identyfikowania potencjalnych podatności.
• Ustalanie priorytetów ryzyka: Ocena i ustalanie priorytetów podatności na podstawie ich poziomu ważności oraz potencjalnego wpływu na organizację.
• Zarządzanie poprawkami: Opracowywanie procesów stosowania poprawek i aktualizacji zabezpieczeń w celu ograniczenia zidentyfikowanych podatności (często ułatwiają to narzędzia do testowania bezpieczeństwa).
• Analiza informacji o zagrożeniach: Integracja informacji o zagrożeniach w celu zrozumienia najnowszych podatności i potencjalnych wektorów ataku.
• Raportowanie i wskaźniki: Tworzenie raportów i wskaźników umożliwiających śledzenie skuteczności działań związanych z zarządzaniem podatnościami.
• Obowiązki i role: Jasne określenie obowiązków i ról osób zaangażowanych w proces zarządzania podatnościami.

Proces zarządzania podatnościami jest bardziej szczegółową i operacyjną częścią programu zarządzania podatnościami. Odnosi się do procedur i działań wykonywanych krok po kroku w przypadku pojedynczej podatności lub zbioru podatności. Proces obejmuje realizację zadań i opiera się na uporządkowanym podejściu do skutecznego postępowania z podatnościami.

Proces zarządzania podatnościami zazwyczaj obejmuje następujące etapy:

• Identyfikacja: Ten etap obejmuje wykrywanie i katalogowanie podatności za pomocą różnych metod, takich jak skanowanie podatności, oceny manualne lub testy penetracyjne.
• Ocena: Po zidentyfikowaniu podatności są one oceniane w celu określenia ich poziomu ważności i potencjalnego wpływu na zasoby oraz działania organizacji.
• Usuwanie podatności: W tej fazie organizacja podejmuje działania mające na celu rozwiązanie problemu zidentyfikowanych podatności. Może to obejmować zastosowanie poprawek zabezpieczeń, zmiany konfiguracji lub wdrożenie obejść.
• Weryfikacja: Po wykonaniu działań związanych z usuwaniem podatności organizacja weryfikuje, czy podatności zostały skutecznie usunięte i ograniczone.
• Raportowanie: W całym procesie dokumentacja i raportowanie mają kluczowe znaczenie dla śledzenia postępów, utrzymania zgodności oraz komunikacji z interesariuszami.

Podsumowując, program zarządzania podatnościami to kompleksowa strategia obejmująca różne elementy umożliwiające skuteczne zarządzanie podatnościami w organizacji. Z kolei proces zarządzania podatnościami to konkretny zestaw kroków i działań podejmowanych w celu identyfikowania, oceny i usuwania poszczególnych podatności w ramach większego programu. Proces stanowi integralną część programu i przyczynia się do jego ogólnego sukcesu.

Pięć etapów procesu zarządzania podatnościami

W przeciwieństwie do oceny podatności, która jest jednorazowym działaniem, zarządzanie podatnościami jest ciągłym, nieprzerwanym procesem. Oto kroki, które należy wykonać w cyklu życia zarządzania podatnościami.

Krok 1: Identyfikowanie podatności

Ten etap koncentruje się na identyfikowaniu i klasyfikowaniu podatności. Podatności są zazwyczaj oceniane przy użyciu Wspólnego systemu oceny podatności (CVSS).

Rola CVSS jest bardziej znacząca w drugim etapie; jednak na tym etapie najważniejsze jest skanowanie podatności. Skanowanie podatności jest często przeprowadzane w ramach testów penetracyjnych przez pentestera lub zespół ds. bezpieczeństwa zajmujący się testami penetracyjnymi.

W tym procesie skaner podatności jest zautomatyzowanym narzędziem służącym do wyszukiwania, identyfikowania i raportowania znanych podatności występujących w infrastrukturze IT firmy.

Tworzy on inwentaryzację wszystkich zasobów IT dostępnych w systemie, szczególnie tych aktywnie połączonych z siecią organizacji. Zazwyczaj obejmują one zapory sieciowe, serwery, systemy operacyjne, kontenery, maszyny wirtualne, routery, drukarki, laptopy, komputery stacjonarne i przełączniki.

Skanery badają również punkty końcowe, takie jak otwarte porty, urządzenia IoT, konfiguracje systemów, zainstalowane oprogramowanie, aplikacje innych firm i struktury systemów plików.

Ponieważ skanery podatności wykonują skany w całej sieci organizacji w celu wyszukania podatności, ryzyko zakłócenia działania systemu lub jego elementów jest wysokie. Dlatego hakerzy działający w dobrej wierze zazwyczaj dostosowują swoje metody, aby uwzględnić to podczas testów penetracyjnych. W rezultacie mogą wykluczyć systemy podatne na niestabilne lub nieprzewidywalne działanie albo dostosować swoje metody tak, aby powodowały mniej zakłóceń. Na przykład, jeśli przepustowość sieci stanowi problem, mogą zdecydować się na przeprowadzenie skanowania sieci poza godzinami szczytu, gdy przepustowość sieci nie jest ograniczona. 

Rozwiązania do zarządzania podatnościami sprawnie, w sposób ciągły, gromadzą również dane z systemów za pomocą agentów punktów końcowych. Wraz z rozwojem stały się także bardziej elastyczne, dlatego skanują nowy system lub urządzenie natychmiast po jego połączeniu z siecią.

Jednak samo skanowanie systemu nie jest głównym celem tego etapu. 

Ogólnie rzecz biorąc, bezpieczeństwo systemów i sieci organizacji zwiększa się dzięki mapie drogowej zasobów IT utworzonej na tym etapie. Dzięki wykrywaniu zasobów organizacja może łatwo ustalić, które urządzenia są chronione, których komponentów nie chroni się oraz w jaki sposób można potencjalnie uzyskać dostęp do punktów końcowych systemu.

Ten etap ma kluczowe znaczenie, ponieważ pomaga określić powierzchnię ataku narażoną na wykorzystanie lub podatną na wykorzystanie. Ponadto informacje zebrane przez rozwiązanie do zarządzania podatnościami służą do tworzenia raportów i metryk systemowych wykorzystywanych w kolejnym kroku procesu zarządzania podatnościami.

Zapewnienie bezpiecznego przechowywania danych ma kluczowe znaczenie w zarządzaniu podatnościami. Jednym ze sposobów osiągnięcia tego celu jest korzystanie z najlepszej klasy oprogramowania do zarządzania bazami danych.

Krok 2: Ocena podatności

Po wykryciu podatności kolejnym krokiem jest ocena zidentyfikowanych podatności pod kątem poziomu ryzyka. W kroku 1 krótko wspomniano o CVSS i jego zastosowaniu jako systemu oceniania podatności cyberbezpieczeństwa.

CVSS to bezpłatny, otwarty standard służący do komunikowania poziomu dotkliwości podatności. Zapewnia on wynik w zakresie od 0.0 do 10.0. W celu uzupełnienia oceny podatności Krajowa baza danych podatności (NVD) zawiera ocenę dotkliwości dla wyników CVSS, jak wskazano w poniższej tabeli.

Wyniki te informują organizacje o ryzyku, jakie każda podatność stwarza dla ich infrastruktury. Dzięki temu organizacje mogą ustalać priorytety dotyczące podatności i zagrożeń, na których należy się skupić. Ocena ta wpływa również na strategię zarządzania ryzykiem organizacji i działania naprawcze.

Chociaż skanery podatności i wyniki CVSS są doskonałymi narzędziami, nie zawsze zapewniają pełny obraz ryzyka, na jakie narażona jest organizacja.

Dzieje się tak, ponieważ te gotowe wyniki ocen nie zawsze zapewniają najlepszy wgląd w zagrożenia, z którymi mierzy się Twoja firma, ze względu na jej specyficzny profil ryzyka. Chociaż inteligentne narzędzia do zarządzania podatnościami mogą ustalać priorytety ryzyka, nie zawsze są wystarczająco precyzyjne, aby uwzględnić inne dodatkowe czynniki.

Specjaliści ds. cyberbezpieczeństwa mogą zapewnić lepszy, całościowy kontekst ekspozycji na ryzyko, korzystając ze zgromadzonego zbioru informacji o zagrożeniach. Ci specjaliści ds. bezpieczeństwa często biorą pod uwagę wiele czynników, takich jak poniższe, aby określić odpowiednią ocenę ryzyka:

• Czy jest to rzeczywista podatność, czy tylko fałszywy alarm?
• Jaki jest stopień trudności wykorzystania podatności?
• Czy tę podatność można wykorzystać zdalnie?
• Jak łatwo można wykorzystać tę podatność?
• Czy dla tej podatności opublikowano publicznie dostępne exploity?
• Ile urządzeń zgłoszono jako podatne na tę podatność?
• Czy jest to nowa podatność (starsze podatności zwykle wiążą się z większym obciążeniem ryzykiem) i czy wiadomo, jak długo istnieje ona w sieci?
• Czy w infrastrukturze istnieją zasady bezpieczeństwa, protokoły i mechanizmy kontroli, które ograniczą wpływ podatności w przypadku jej wykorzystania?
• Jaki będzie wpływ pomyślnego wykorzystania podatności na całą organizację?

Krok 3: Usuwanie podatności

Ten krok koncentruje się na usuwaniu i ograniczaniu skutków wykrytych podatności. Wdraża się kilka strategii mających na celu ustalanie priorytetów i eliminowanie podatności na podstawie poziomu ryzyka, jakie stanowią dla firmy.

Instalowanie poprawek

Instalowanie poprawek jest często najłatwiejszym sposobem usunięcia dużej części podatności występujących w oprogramowaniu. W rzeczywistości większość naruszeń cyberbezpieczeństwa wynika z niezałatanych luk w oprogramowaniu. Dlatego niezbędny jest system zarządzania poprawkami, który zapewnia aktualność systemów operacyjnych i oprogramowania innych firm.

Może się jednak zdarzyć, że dostawca nie wydał jeszcze poprawki dotyczącej konkretnej podatności. W takim przypadku organizacje powinny przejść na środki ograniczające ryzyko, aby zmniejszyć wpływ możliwego wykorzystania podatności.

Środki te mogą obejmować ograniczenie uprawnień użytkowników w odniesieniu do tych działań lub — w zależności od ich dotkliwości — odłączenie bądź umieszczenie na czarnej liście urządzeń, których dotyczy problem, tak aby nie miały dostępu do sieci.

W przypadku zajęcia się zagrożeniami i podatnościami należy ustanowić mechanizmy kontroli oraz wykazać postępy w kierunku bezpieczniejszej pozycji organizacji w zakresie bezpieczeństwa.

Akceptacja

Akceptacja jest również nieintuicyjną strategią zarządzania podatnościami. Polega ona na niepodejmowaniu żadnych działań w związku z wykrytymi podatnościami. Strategia ta ma sens w przypadku podatności niskiego ryzyka, które stanowią minimalne zagrożenie dla firmy. Tym bardziej gdy koszt usunięcia podatności przewyższa potencjalny koszt poniesiony w wyniku jej wykorzystania. 

Nawet gdy do usunięcia pozostają tylko niegroźne podatności, organizacje powinny nadal dążyć do optymalizacji zgłaszanych wskaźników podatności. Im bardziej system zarządzania podatnościami jest ukierunkowany na poprawę tych wskaźników, tym bardziej zmniejsza powierzchnię ataku organizacji.

Ponadto ten proces usuwania podatności może wyznaczyć punkt odniesienia dla zarządzania ryzykiem, który organizacja może stale aktualizować za pomocą nowych i ambitniejszych celów.

Krok 4: Weryfikacja podatności

Ten krok zapewnia eliminację zagrożeń z systemu poprzez przeprowadzanie audytów następczych. Testy penetracyjne powinny być również wykorzystywane do weryfikacji skuteczności podjętych działań naprawczych. Ponadto pozwalają upewnić się, że podczas tego procesu nie powstaną przypadkowo nowe podatności.

Krok 5: Raportowanie podatności

Ważne jest dokumentowanie nie tylko wykrytych podatności, lecz także planu bezpieczeństwa dotyczącego sposobu opisywania znanych podatności i monitorowania podejrzanej aktywności. Raporty te mają kluczowe znaczenie, ponieważ pozostawiają dokumentację, która pomaga firmom w przyszłości usprawniać reakcje na zagrożenia.

Raporty te należy również udostępniać kierownictwu wyższego szczebla oraz wykorzystywać podczas audytów zgodności. Wynika to z faktu, że wykazywanie i rejestrowanie usuniętych podatności oraz problemów świadczy o odpowiedzialności. Odpowiedzialność ta jest często wymagana do utrzymania zgodności ze standardami.

Na szczęście istnieją inteligentne i zaawansowane oprogramowanie do zarządzania podatnościami oraz narzędzia do testów penetracyjnych aplikacji internetowych, które mogą automatycznie generować te raporty, dzięki czemu nie trzeba robić tego ręcznie.

Znaczenie zarządzania podatnościami

Procesy zarządzania podatnościami są niezbędne, jeśli chcesz zapewnić bezpieczeństwo swojej sieci, minimalizując obecność zagrożeń i exploitów. 

Dowiedz się więcej o zarządzaniu podatnościami i zagrożeniami, czytając inne artykuły na naszym blogu, lub zasubskrybuj newsletter The QA Lead.