Cykl zarządzania podatnościami

Zarządzanie podatnościami (VM) nie polega na jednorazowym skanowaniu; jest ciągłym programem. Traktowanie go jako cyklu życia zapewnia systematyczne wykrywanie, ocenianie, usuwanie i potwierdzanie zamknięcia podatności, zamiast pozwalać, by narastały w ignorowanym raporcie.

Klasyczna pętla wygląda następująco: wykrywanie, ocena, ustalanie priorytetów, usuwanie, weryfikacja, a następnie powtórzenie. Każda faza ma właścicieli, dane wejściowe i wyniki.

Nie można chronić tego, czego nie widać. Wykrywanie służy do utworzenia i utrzymywania dokładnego wykazu zasobów oraz znajdowania w nim podatności:

• Hosty, instancje chmurowe, kontenery, usługi i wersje oprogramowania.
• Skanowanie uwierzytelnione i nieuwierzytelnione.
• Pasywne wykrywanie oraz mapowanie zewnętrznej powierzchni ataku.

Niekompletny wykaz zasobów jest najczęstszym powodem niepowodzeń programów zarządzania podatnościami.

Ocena weryfikuje surowe wyniki i nadaje im kontekst. Skaner zgłasza CVE, a ocena zadaje pytania:

• Czy mamy do czynienia z rzeczywistym narażeniem, czy z fałszywie dodatnim wynikiem?
• Czy podatny komponent jest rzeczywiście używany i dostępny?
• Jaki jest techniczny poziom dotkliwości oraz kontekst biznesowy?

Ta faza przekształca zaszumione wyniki skanowania w wiarygodne ustalenia, na podstawie których można działać.

Zawsze będzie więcej podatności niż dostępnych zasobów na ich usunięcie. Ustalanie priorytetów szereguje je tak, aby ograniczane w pierwszej kolejności były najpoważniejsze zagrożenia.

Dobre ustalanie priorytetów łączy poziom dotkliwości (CVSS), prawdopodobieństwo wykorzystania (EPSS), potwierdzone aktywne wykorzystanie (KEV) oraz wartość biznesową i ekspozycję zasobu. Stosowanie wyłącznie wyniku CVSS marnuje wysiłek na teoretyczne problemy, podczas gdy rzeczywiste zagrożenia czekają.

Usuwanie podatności zamyka tę lukę. Możliwe rozwiązania, w przybliżeniu w kolejności preferencji:

• Załatać / zaktualizować podatne oprogramowanie.
• Ograniczyć ryzyko / skonfigurować system (wyłączyć funkcję, ograniczyć dostęp, dodać regułę WAF).
• Zaakceptować ryzyko na podstawie formalnej akceptacji, gdy usunięcie podatności jest niewykonalne.

Usuwanie podatności wymaga współpracy różnych zespołów: zespół bezpieczeństwa identyfikuje problem, ale poprawkę zwykle wprowadzają zespoły IT/Dev/Ops.

Zgłoszenie oznaczone jako zakończone nie jest dowodem. Weryfikacja polega na ponownym skanowaniu lub testowaniu, aby potwierdzić, że podatność rzeczywiście została usunięta i nie wystąpiła regresja.

Bez weryfikacji pulpity nawigacyjne wprowadzają w błąd: zespoły zamykają zgłoszenia, podczas gdy narażenie nadal istnieje. Zamknięcie pętli na podstawie dowodów zapewnia wiarygodność programu.

Coroczne lub kwartalne skanowanie pozostawia długie okresy braku widoczności. Nowoczesne zarządzanie podatnościami (VM) odbywa się w sposób ciągły: każdego dnia pojawiają się nowe zasoby, nowy kod i nowe CVE.

Należy zintegrować skanowanie z CI/CD, procesem budowania obrazów i udostępnianiem zasobów w chmurze, aby podatności były wykrywane wcześnie, a cykl działał stale, zamiast odbywać się w dużych i stresujących seriach.

VM działa tylko przy jasnym podziale odpowiedzialności:

• Zespół bezpieczeństwa prowadzi skanowanie, ustalanie priorytetów i raportowanie.
• IT / DevOps odpowiada za łatanie zasobów i konfigurację.
• Zespoły aplikacyjne usuwają problemy na poziomie kodu i zależności.
• Właściciele ryzyka zatwierdzają wyjątki i akceptują ryzyko rezydualne.

Każde ustalenie wymaga wskazania konkretnego właściciela i terminu realizacji, w przeciwnym razie prace utkną.

Należy mierzyć działanie programu, a nie tylko liczbę ustaleń:

• Średni czas usunięcia podatności (MTTR) według poziomu dotkliwości.
• Wskaźnik zgodności z SLA.
• Trend liczby otwartych i zamkniętych ustaleń w czasie.
• Pokrycie (odsetek zeskanowanych zasobów).
• Wskaźnik ponownego otwarcia / nawrotów.

Należy śledzić przedziały czasu od wykrycia, aby stare krytyczne podatności nie pozostawały niezauważone.

Nie każdą podatność można szybko usunąć. Formalny proces wyjątków rejestruje:

• Powód odroczenia usunięcia podatności.
• Zastosowane mechanizmy kompensacyjne.
• Właściciela ryzyka, który je akceptuje.
• Datę wygaśnięcia, która wymusza ponowny przegląd.

Wyjątki muszą mieć określony termin obowiązywania; bezterminowy wyjątek to po prostu zignorowane ryzyko.

Cykl powinien doskonalić się sam. Należy wykorzystać weryfikację i metryki do wykrywania problemów systemowych: powtarzających się CVE pochodzących z jednej biblioteki, powolnie działających zespołów lub luk w skanowaniu.

Wnioski należy uwzględniać w wykrywaniu (lepsze pokrycie), ustalaniu priorytetów (dostosowane progi) i usuwaniu podatności (automatyzacja, obrazy bazowe). Dojrzałość VM mierzy się tym, jak szybko i niezawodnie działa ten cykl.

Potwierdź cel ostatniej fazy.

Cykl VM to ciągła pętla: wykrywanie zasobów i słabości, ich ocena i weryfikacja, ustalanie priorytetów na podstawie rzeczywistego ryzyka, usuwanie podatności przez łatanie, ograniczanie ryzyka lub akceptację oraz weryfikacja trwałości poprawki. Jasny podział odpowiedzialności, umowy SLA, metryki i ograniczone czasowo wyjątki zapewniają rzetelność procesu.

W następnej części szczegółowo omówimy podstawę wykrywania: skanowanie i tworzenie dokładnej inwentaryzacji zasobów.