Что такое управление уязвимостями?

1. Обнаружение и инвентаризация активов. Невозможно управлять тем, чего не видишь. Начните с идентификации и каталогизации всех ваших ИТ-активов в локальных, облачных и гибридных средах. Создайте полный перечень, включая серверы, конечные точки, сетевые устройства и облачные рабочие нагрузки. Надежное управление направлениями атак помогает поддерживать ь прозрачность и выявлять уязвимости, обеспечивая постоянный обзор во всех средах.

2. Оценка и категоризация. Затем просканируйте среду, чтобы обнаружить неверные настройки, отсутствующие исправления и ошибки в коде. Используйте такие системы, как Распространенные уязвимости и риски (CVE), чтобы выявлять известные уязвимости, и Common Vulnerability Scoring System (CVSS), чтобы оценивать их степень серьезности. Для получения дополнительной информации и классификации вы также можете обратиться к национальной базе данных уязвимостей (NVD). Этот шаг поможет вам понять масштаб и серьезность уязвимостей, чтобы вы могли принять соответствующие меры.

3. Определение приоритетов. Не все уязвимости несут одинаковый риск. Управление уязвимостями на основе рисков (RBVM) помогает сосредоточиться на самых серьезных угрозах для вашей организации, измеряя как техническую серьезность, так и потенциальное влияние на бизнес. Такие инструменты как Exploit Prediction Scoring System (EPSS) и каталог Known Exploited Vulnerabilities (KEV), могут помочь в определении приоритетов.

4. Исправление и устранение рисков. После определения приоритетов уязвимостей настает время для принятия мер. Это может включать установку исправлений программного обеспечения, обновление конфигураций, изоляцию активов или, в некоторых случаях, принятие остаточного риска, требующего постоянного мониторинга и устранения рисков. Автоматизация рабочих процессов по устранению уязвимостей, где это возможно, может помочь вам быстрее реагировать и поддерживать соответствие требованиям.

5. Проверка и создание отчетов. Затем убедитесь, что уязвимости устранены, повторно просканировав затронутые активы. Отслеживайте ключевые показатели, такие как среднее время устранения (MTTR) и общее снижение риска. Эти результаты дают вам представление о прогрессе, о котором вы можете сообщать своей организации. Для получения постоянной информации интегрируйте данные об уязвимостях в более широкие системы управления информационной безопасностью и событиями безопасности (SIEM), чтобы сопоставить уязвимости с активными угрозами.

Чтобы эффективно управлять уязвимостями, полезно понимать, какие типы слабых мест обычно встречаются в корпоративной среде. Ниже перечислены наиболее распространенные:

• Уязвимости оборудования Ошибки встроенного ПО или устаревшие компоненты устройств могут сделать организацию уязвимой для атак. Серверы, сетевые устройства и конечные точки Интернета вещей могут содержать уязвимости, которые киберпреступники могут использовать, если их не устранить.

• Уязвимости программного обеспечения. Неустановленные обновления в приложениях и неправильно настроенное программное обеспечение являются распространенными направлениями атак. Уязвимости нулевого дня — атаки, направленные на ранее неизвестную уязвимость до появления исправления, — могут быть особенно опасны. Поддержание программного обеспечения в актуальном состоянии и мониторинг возникающих угроз посредством оценки рисков кибербезопасности имеют важное значение для управления уязвимостями.

• Сетевые уязвимости. Неверно настроенные брандмауэры, открытые порты и небезопасные сетевые протоколы могут сделать системы уязвимыми. Регулярное сканирование и сегментация сети снижают риск горизонтального перемещения злоумышленников.

• Уязвимости операционной системы. Устаревшие версии операционных систем или отсутствие обновлений безопасности могут создавать возможности для эксплуатации уязвимостей. Своевременное обновление операционных систем является основополагающей частью процесса управления уязвимостями.

• Неправильные настройки в облаке. Открытые хранилища данных, неправильно назначенные разрешения или некорректно настроенные рабочие нагрузки в облачных средах могут создавать значительные риски.

• Человеческий фактор. Сотрудники организации могут стать слабым звеном, если они станут жертвами фишинга, будут использовать слабые пароли или игнорировать рекомендации обеспечения безопасности. Регулярное повышение осведомленности и политики надежной проверки подлинности являются ключевыми для снижения этого риска.

Для эффективного управления уязвимостями необходимы соответствующие инструменты и технологии на каждом этапе процесса. Эти решения помогают выявлять, определять приоритеты и устранять уязвимости в локальных, облачных и гибридных средах.

• Сканеры уязвимости. Автоматизированные сканеры проверяют ваши системы на наличие уязвимостей, неправильных настроек и отсутствующих исправлений. Они помогают обнаружить уязвимости до того, как киберпреступники смогут ими воспользоваться.
• Программное обеспечение для управления исправлениями. Средства управления обновлениями помогают эффективно развертывать обновления на конечных устройствах и серверах. Автоматизация установки исправлений позволяет сократить время, в течение которого уязвимости остаются неустраненными.
• Управление состоянием безопасности облака (CSPM). Решения CSPM оценивают конфигурации облака на наличие неправильных настроек или нарушений политик. Они обеспечивают прозрачность облачных рисков и поддерживают управление направлениями атак в различных средах.
• Платформы защиты облачных приложений (CNAPP). Инструменты CNAPP защищают облачные рабочие нагрузки и поддерживают проверки без агента. Они дополняют CSPM, выявляя уязвимости в облачных приложениях, инфраструктуре и хранилище.
• Управление информационной безопасностью и событиями безопасности (SIEM). В то время как SIEM в основном фокусируется на обнаружении угроз в реальном времени и реагировании на инциденты, предоставление данных об уязвимостях позволяет сопоставлять известные слабые места с активными событиями безопасности, предоставляя вам полезную информацию для более быстрого реагирования.

Новые инструменты помогут вам опережать риски. К числу более современных инструментов для управления уязвимостями относятся:

• Технология приоритезации уязвимостей (VPT), ​​которая помогает сосредоточить усилия по устранению уязвимостей на тех, которые представляют наибольший риск.
• Система непрерывного управления угрозами (CTEM), которая позволяет постоянно отслеживать активность угроз и степень их уязвимости, что повышает эффективность программы управления уязвимостями в сфере кибербезопасности.

Эти рекомендации помогут укрепить стратегию и снизить риски с течением времени.

• Обеспечьте полную прозрачность в отношении активов. Убедитесь, что у вас есть полный и актуальный перечень всех активов, включая облачные ресурсы, конечные устройства и неуправляемые устройства.
• Используйте непрерывное сканирование. Откажитесь от периодического сканирования и начните непрерывно отслеживать состояние среды. Это поможет обнаруживать новые уязвимости по мере их появления и реагировать до того, как их удастся использовать.
• Четко определите права собственности и соглашения об уровне обслуживания. Определите, кто отвечает за устранение проблем в разных командах, и установите соглашения об уровне обслуживания (SLA) в зависимости от степени серьезности риска. Ответственность помогает обеспечить своевременное устранение уязвимостей.
• Объедините команды безопасности, ИТ и DevOps. Эффективное управление уязвимостями требует взаимодействия между командами. Согласовав безопасность с ИТ-подразделениями и DevOps, вы можете оптимизировать процесс устранения уязвимостей и уменьшить количество проблем в рабочих процессах.
• Автоматизируйте рабочие процессы там, где это возможно. Используйте автоматизацию для выполнения повторяющихся задач, таких как сканирование, установка исправлений и составление отчетов. Это позволит командам сосредоточиться на более приоритетных рисках и повысит согласованность процесса управления уязвимостями.
• Объясняйте риски на языке бизнеса. Переводите полученные данные об уязвимостях в контекст потенциального влияния на бизнес, чтобы заинтересованные стороны могли понять их и принять соответствующие меры. Представление уязвимостей с точки зрения риска для операций, данных или доходов помогает принимать более быстрые и обоснованные решения.

Для понимания и повышения эффективности программы управления уязвимостями необходимо измерять прогресс. Отслеживание правильных показателей помогает выявлять пробелы, демонстрировать ценность и постоянно совершенствовать ваш подход к управлению уязвимостями в сфере кибербезопасности.

Вот несколько ключевых метрик управления уязвимостями, которые можно отслеживать:

• Среднее время исправления уязвимостей (MTTR). MTTR измеряет, насколько быстро устраняются уязвимости после их обнаружения. Более низкое значение MTTR указывает на более быстрое время реагирования и более эффективный процесс управления уязвимостями.
• Снижение риска со временем. Отслеживайте, как снижается общий уровень риска по мере устранения уязвимостей. Это поможет понять, действительно ли ваши усилия повышают уровень безопасности.
• Охват и видимость активов. Оценивайте, какая часть среды активно отслеживается и сканируется. Пробелы в видимости могут привести к уязвимости критически важных активов, поэтому расширение охвата является ключом к снижению рисков.
• Тенденции в объеме невыполненных работ по устранению проблем. Отслеживайте количество неустраненных уязвимостей со временем. Растущее количество невыполненных работ может указывать на нехватку ресурсов или неэффективность ваших рабочих процессов по устранению проблем.
• Процент критических уязвимостей, устраненных в рамках соглашения об уровне обслуживания. Отслеживайте, сколько уязвимостей высокого риска устранено в рамках установленных соглашений об уровне обслуживания. Этот показатель помогает убедиться, что ваша команда расставляет приоритеты в решении наиболее важных задач.

Постоянно отслеживая и сообщая об этих показателях, вы можете улучшить процесс принятия решений, согласовать усилия по обеспечению безопасности с приоритетами бизнеса и создать более устойчивую программу управления уязвимостями.

Если вы разрабатываете или совершенствуете программу управления уязвимостями, начните с оценки текущей среды вашей организации и выявления пробелов в прозрачности, определении приоритетов и устранении проблем. Переход к непрерывному, основанному на рисках подходу требует времени, но даже небольшие шаги могут значительно снизить вашу уязвимость перед угрозами.

Для начала сосредоточьтесь на этих базовых действиях:

• Проведите инвентаризацию активов. Определите все аппаратные, программные и облачные ресурсы в вашей среде. Полная инвентаризация необходима для понимания ваших рисков и улучшения управления направлений атак.
• Выберите подходящие инструменты сканирования. Выбирайте инструменты сканирования и оценки уязвимостей, соответствующие вашей среде, включая поддержку локальных, облачных и гибридных систем.
• Четко определите ответственных за устранение уязвимостей. Четко распределите ответственность за их устранение между командами. Назначьте ответственных, чтобы проблемы не оставались без внимания.
• Установите соглашения об уровне обслуживания (SLA). Определите сроки устранения уязвимостей в зависимости от их серьезности и влияния на бизнес. Это поможет обеспечить быстрое и последовательное устранение критических рисков.
• Начните с критических уязвимостей. В первую очередь определите приоритетность уязвимостей с высокой степенью риска, особенно тех, которые содержат известные эксплойты или оказывают большое влияние на бизнес. Такой подход, основанный на оценке рисков, поможет вам добиться существенного прогресса на раннем этапе.

По мере развития вашей программы вы сможете расширять свои возможности за счет автоматизации, более глубокой аналитики угроз и более тесной интеграции ваших средств обеспечения безопасности. Со временем это поможет вам выработать более проактивный и устойчивый подход к управлению уязвимостями в сфере кибербезопасности.

В локальных, облачных и гибридных средах решения безопасности Microsoft поддерживают управление уязвимостями. Управление уязвимостями Microsoft Defender помогает снизить риски благодаря непрерывной оценке уязвимостей, приоритизации на основе рисков и устранению.

Это часть платформы Unified SecOps, которая объединяет управление уязвимостями и рисками с обнаружением угроз и реагированием на инциденты, обеспечивая более адаптивную защиту в различных средах. Это помогает снизить риски, связанные с уязвимостями, и опережать развивающиеся угрозы.