Skanning og ressursinventar

Aktiv oppdagelse sonderer nettverket (ping-sveip og portskanning) for å finne aktive verter. Den er grundig, men støyende, og kan gå glipp av ressurser som er slått av under skanningen.

Passiv oppdagelse overvåker trafikk, DHCP og logger for å oppdage ressurser uten sondering. Kombiner begge: passiv oppdagelse for kontinuerlig oversikt, aktiv oppdagelse for dybde og verifisering.

Dette skillet er avgjørende for nøyaktigheten:

• Ikke-autentiserte skanninger ser det en ekstern angriper ser: åpne porter, bannere og eksponerte tjenester. Begrenset dybde og flere falske positive funn.
• Autentiserte skanninger (skanninger med legitimasjon) logger inn og leser installerte pakker, oppdateringsnivåer og konfigurasjon. De er langt mer nøyaktige.

Foretrekk autentisert skanning for interne ressurser, og reserver ikke-autentisert skanning for oversikt over den eksterne angrepsflaten.

Nettverksskannere kobler seg til ressurser etter en tidsplan. De gir god bredde, men oppdager ikke frakoblede eller kortvarige verter.

Agenter som er installert på endepunkter, rapporterer kontinuerlig, også for bærbare datamaskiner på farten og kortlivede skyarbeidslaster. Mange programmer kombinerer begge deler: agenter for administrerte endepunkter, nettverksskanning for IoT/OT og uadministrerte enheter.

Skannere sammenholder observerte programvareversjoner og konfigurasjoner med en sårbarhetsdatabase som bruker CVE- og CPE-identifikatorer som nøkler.

• CVE — unik identifikator for en bestemt sårbarhet.
• CPE — standardisert navn på et produkt/en versjon.

Hvis en vert kjører en CPE som kan knyttes til kjente CVE-er, flagger skanneren den. Nøyaktigheten avhenger av korrekt versjonsidentifikasjon.

Skannere er ikke perfekte:

• Falske positive funn — flagget, men ikke faktisk utnyttbare (for eksempel fordi en tilbakeportert oppdatering skjuler den faktiske versjonen).
• Falske negative funn — ikke oppdaget på grunn av mislykket autentisering, blokkerte porter eller ukjent programvare.

Autentisert skanning og validering reduserer begge deler. Juster og verifiser alltid før funn sendes videre til teamene som skal utbedre dem.

Skanning påvirker driften. Planlegg for dette:

• Begrens hastigheten for å unngå å overbelaste sårbare eller OT-/eldre systemer.
• Planlegg omfattende skanninger i vedlikeholdsvinduer.
• Bruk moduser for sikre kontroller, og unngå påtrengende programtillegg i produksjon.
• Samordne med NOC, slik at skanninger ikke forveksles med angrep.

En skanning som krasjer en produksjonskontroller, vil føre til at programmet mister mandatet sitt.

Skyressurser er kortlivede, så statiske oversikter blir raskt utdatert. Bruk API-basert oppdagelse:

• Hent informasjon fra API-ene til skyleverandøren om instanser, funksjoner, lagringsbøtter og sikkerhetsgrupper.
• Skann container-avbildninger i registeret, ikke bare containere som kjører.
• Tagg ressurser ved opprettelse, slik at eierskapet blir automatisk.

Integrer skanning i CI/CD, slik at avbildninger kontrolleres før utrulling.

En ressursoversikt er bare nyttig hvis den er oppdatert. Bygg den på autoritative kilder:

• Avstem nettverksskanninger, agenter og sky-API-er mot én samlet sannhetskilde (CMDB).
• Flagg ressurser som ikke er observert på N dager, for gjennomgang.
• Varsle om nye eller uventede ressurser (mulig Shadow IT).

Dekningsgrad (ressurser som er skannet, sammenlignet med kjente ressurser) er et sentralt mål på programmet.

Ressursoversikt og skanneresultater gir funn, men kontekst gjør dem om til risiko. Når ressurser merkes med kritikalitet, eksponering og datasensitivitet, kan de prioriteres: En server med kritiske data som er eksponert mot Internett, rangeres høyere enn en isolert test-VM med samme CVE.

Denne ressurskonteksten inngår direkte i prioriteringsteknikkene som gjennomgås neste gang.

En nøyaktig ressursoversikt er grunnlaget for VM: Følg opp verter, skyressurser, containere, programvare og den eksterne angrepsflaten med eiere og kritikalitet. Kombiner aktiv og passiv oppdagelse, foretrekk autentisert og agentbasert skanning for bedre nøyaktighet, og ta hensyn til falske positive og negative funn samt sikker skanning.

Hold ressursoversikten oppdatert gjennom API-basert avstemming, og merk ressurser med kontekst slik at funn kan prioriteres. Neste tema er hvordan man avgjør hva som skal utbedres først ved hjelp av CVSS, EPSS og KEV.