Pengurusan Tampalan dan SLA

SLA menukarkan niat kepada tarikh akhir. SLA menetapkan tempoh maksimum yang dibenarkan dari penemuan hingga pembaikan, mengikut tahap keterukan. Contoh sasaran:

• Kritikal / KEV: 7-15 hari (atau lebih cepat bagi aset yang menghadap Internet).
• Tinggi: 30 hari.
• Sederhana: 90 hari.
• Rendah: usaha terbaik / kitaran seterusnya.

SLA menjadikan tempoh tertunggak boleh diukur dan mewujudkan tekanan untuk menutup penemuan, bukan sekadar mengakuinya.

Kaitkan tempoh dengan risiko sebenar, bukan CVSS semata-mata. Kerentanan kritikal yang tersenarai dalam KEV atau menghadap Internet sepatutnya mempunyai SLA yang lebih ketat berbanding kerentanan sederhana dalaman.

Rangka kerja rujukan dapat membantu: CISA mewajibkan pembaikan KEV dalam tempoh yang ditetapkan bagi agensi persekutuan, dan banyak perusahaan menggunakan tempoh dipercepatkan yang serupa untuk kerentanan yang dieksploitasi secara aktif tanpa mengira CVSS.

Tampalan boleh menyebabkan masalah. Pengujian dalam persekitaran pementasan mengesan regresi sebelum masalah tersebut menjejaskan produksi:

• Gunakan tampalan pada kumpulan ujian yang mewakili sistem sebenar terlebih dahulu.
• Sahkan fungsi kritikal dan prestasi.
• Pastikan tiada konflik dengan perisian sedia ada.

Seimbangkan kelajuan dan keselamatan: bagi KEV yang sedang dieksploitasi di dunia sebenar, terima lebih banyak risiko dan laksanakan tampalan dengan lebih pantas berbanding kemas kini rutin.

Laksanakan dalam gelombang (pelaksanaan mengikut gelang): kumpulan perintis, kemudian gelang yang lebih luas, dan akhirnya semua sistem. Pantau keadaan sistem pada setiap gelang sebelum meneruskan.

Sentiasa sediakan pelan pengembalian: syot kilat, penurunan taraf pakej, atau pemulihan konfigurasi. Jika tampalan menyebabkan gangguan, anda mesti dapat mengembalikan perubahan dengan cepat sementara menyiasatnya.

Penampalan manual tidak dapat diskalakan. Gunakan alat berpusat:

• WSUS / SCCM / Intune untuk Windows.
• Pengurusan konfigurasi (Ansible, Puppet, Chef) untuk kumpulan sistem Linux.
• Imej induk/asas yang dibina semula dengan tampalan untuk awan dan bekas.

Automasi menguatkuasakan konsistensi dan memendekkan tempoh antara keluaran tampalan dengan pelaksanaannya.

Adakalanya anda tidak dapat memasang tampalan serta-merta: kelewatan pembekal, sistem legasi yang rapuh, atau keperluan masa beroperasi yang tinggi. Gunakan kawalan pampasan untuk mengurangkan risiko buat sementara waktu:

• Pembahagian rangkaian / peraturan tembok api.
• Tampalan maya melalui tandatangan WAF atau IPS.
• Melumpuhkan ciri atau perkhidmatan yang terdedah.

Langkah-langkah ini memberi masa, tetapi bukan pengganti kekal untuk pembaikan sebenar.

Sistem yang telah tamat hayat mungkin langsung tiada tampalan. Pilihan yang tersedia:

• Asingkannya pada segmen rangkaian yang terhad.
• Lindunginya dengan kawalan akses dan pemantauan yang ketat.
• Rancang penghijrahan atau penyahaktifan dengan tarikh akhir.
• Terima risiko baki secara rasmi dengan tarikh luput.

Dokumentasikan semuanya; sistem yang tidak boleh ditampal dan dibiarkan tanpa dokumentasi menimbulkan risiko audit serta pelanggaran keselamatan.

Jejaki sama ada program benar-benar memenuhi komitmennya:

• MTTR mengikut tahap keterukan berbanding sasaran SLA.
• Kadar pematuhan SLA (peratus penemuan yang ditutup dalam tempoh akhir).
• Penemuan tertunggak / mengikut tempoh berdasarkan pasukan dan aset.
• Liputan tampalan (peratus kumpulan sistem yang dikemas kini).

Laporkan mengikut pasukan pemilik supaya akauntabiliti dapat dilihat dan bahagian yang ketinggalan mendapat perhatian.

Selepas pelaksanaan, sahkan: imbas semula untuk memastikan kerentanan CVE telah ditangani dan sistem berfungsi dengan baik, kemudian tutup penemuan dengan bukti. Masukkan masalah yang berulang (pustaka yang terus muncul semula, pasukan yang sentiasa lewat) ke dalam penambahbaikan proses.

Pengurusan tampalan yang dilakukan dengan baik menukarkan risiko yang telah diutamakan kepada pengurangan risiko yang boleh diukur dan tepat pada masanya.

Pengurusan tampalan membawa penemuan yang telah diutamakan hingga selesai melalui langkah mengenal pasti, menilai, menguji, melaksanakan secara berperingkat, dan mengesahkan, dengan sokongan pelan pengembalian serta automasi. SLA menetapkan tempoh akhir mengikut tahap keterukan dan risiko, dengan tempoh yang lebih ketat bagi KEV atau aset yang menghadap Internet, supaya pembaikan diselesaikan tepat pada masanya.

Apabila penampalan mustahil dilakukan, gunakan kawalan pampasan serta penerimaan risiko yang didokumentasikan dan mempunyai tempoh yang jelas. Ukur MTTR, pematuhan SLA, dan liputan, kemudian masukkan pengajaran ke dalam kitar hayat.