วงจรชีวิตการจัดการช่องโหว่

การจัดการช่องโหว่ (VM) ไม่ใช่การสแกนเพียงครั้งเดียว แต่เป็นโครงการที่ดำเนินการอย่างต่อเนื่อง การมองสิ่งนี้เป็นวงจรการทำงานช่วยให้ค้นพบ ประเมิน แก้ไข และยืนยันการปิดช่องโหว่ได้อย่างสม่ำเสมอ แทนที่จะปล่อยให้ช่องโหว่สะสมอยู่ในรายงานที่ถูกละเลย

วงจรแบบดั้งเดิมคือ: ค้นหา ประเมิน จัดลำดับความสำคัญ แก้ไข ตรวจสอบยืนยัน แล้วทำซ้ำ แต่ละระยะมีผู้รับผิดชอบ ข้อมูลนำเข้า และผลลัพธ์

คุณไม่สามารถปกป้องสิ่งที่คุณมองไม่เห็นได้ การค้นหาจะสร้างและดูแลบัญชีรายการทรัพยากรที่ถูกต้องแม่นยำ พร้อมค้นหาช่องโหว่ทั่วทั้งบัญชีรายการ:

• โฮสต์ อินสแตนซ์บนคลาวด์ คอนเทนเนอร์ บริการ และรุ่นซอฟต์แวร์
• การสแกนที่มีการยืนยันตัวตนและไม่มีการยืนยันตัวตน
• การค้นหาแบบพาสซีฟและการทำแผนผังพื้นผิวการโจมตีภายนอก

บัญชีรายการที่ไม่สมบูรณ์เป็นสาเหตุที่พบบ่อยที่สุดที่ทำให้โครงการ VM ล้มเหลว

การประเมินจะตรวจสอบความถูกต้องและเติมบริบทให้ผลการตรวจพบดิบ เครื่องสแกนรายงาน CVE หนึ่งรายการ การประเมินจะถามว่า:

• เป็นการเปิดรับการโจมตีจริงหรือเป็นผลบวกลวง?
• องค์ประกอบที่ได้รับผลกระทบถูกใช้งานจริงและเข้าถึงได้หรือไม่?
• ความรุนแรงทางเทคนิคและบริบทธุรกิจเป็นอย่างไร?

ระยะนี้จะแปลงผลลัพธ์จากการสแกนที่มีสัญญาณรบกวนให้เป็นผลการตรวจพบที่เชื่อถือได้และนำไปดำเนินการได้

คุณจะมีช่องโหว่มากกว่าขีดความสามารถในการแก้ไขอยู่เสมอ การจัดลำดับความสำคัญจะจัดอันดับช่องโหว่ เพื่อให้ความพยายามในการแก้ไขที่มีจำกัดมุ่งไปยังความเสี่ยงสูงสุดก่อน

การจัดลำดับความสำคัญที่ดีจะผสานความรุนแรง (CVSS) ความเป็นไปได้ที่จะถูกโจมตี (EPSS) การถูกโจมตีจริงที่ทราบแล้ว (KEV) และมูลค่าทางธุรกิจหรือการเปิดรับของทรัพย์สิน การติดตั้งแพตช์ตาม CVSS เพียงอย่างเดียวทำให้เสียความพยายามไปกับปัญหาเชิงทฤษฎี ขณะที่ภัยคุกคามจริงยังรอการแก้ไข

การแก้ไขจะปิดช่องว่างดังกล่าว ทางเลือกต่าง ๆ เรียงตามลำดับความต้องการโดยประมาณมีดังนี้:

• ติดตั้งแพตช์หรืออัปเกรดซอฟต์แวร์ที่มีช่องโหว่
• ลดความเสี่ยงหรือปรับตั้งค่า (ปิดใช้คุณลักษณะ จำกัดการเข้าถึง หรือเพิ่มกฎ WAF)
• ยอมรับความเสี่ยงโดยได้รับการอนุมัติอย่างเป็นทางการ เมื่อไม่สามารถแก้ไขได้

การแก้ไขต้องอาศัยหลายฝ่ายร่วมกัน ฝ่ายความปลอดภัยระบุปัญหา แต่โดยทั่วไป IT/ฝ่ายพัฒนา/ฝ่ายปฏิบัติการจะเป็นผู้ดำเนินการแก้ไข

การทำเครื่องหมายว่ารายการงานเสร็จแล้วไม่ใช่หลักฐาน การยืนยันผลจะสแกนหรือทดสอบซ้ำเพื่อยืนยันว่าช่องโหว่หายไปจริงและไม่มีปัญหาถดถอยเกิดขึ้น

หากไม่มีการยืนยันผล แดชบอร์ดก็จะให้ข้อมูลที่ไม่น่าเชื่อถือ ทีมต่าง ๆ ปิดรายการงานขณะที่การเปิดรับความเสี่ยงยังคงอยู่ การปิดวงจรด้วยหลักฐานต่างหากที่ทำให้โครงการนี้เชื่อถือได้

การสแกนปีละครั้งหรือไตรมาสละครั้งทำให้เกิดช่วงเวลาที่มองไม่เห็นความเสี่ยงเป็นเวลานาน VM สมัยใหม่ต้องทำงานอย่างต่อเนื่อง เพราะมีทรัพย์สิน โค้ด และ CVE ใหม่เกิดขึ้นทุกวัน

ผสานการสแกนเข้ากับกระบวนการผสานรวมและส่งมอบอย่างต่อเนื่อง การสร้างอิมเมจ และการจัดเตรียมทรัพยากรบนคลาวด์ เพื่อให้ตรวจพบช่องโหว่ได้ตั้งแต่ระยะแรก และให้วงจรทำงานอยู่ตลอดแทนการทำงานเป็นชุดใหญ่ที่สร้างความกดดัน

VM จะทำงานได้ก็ต่อเมื่อมีผู้รับผิดชอบที่ชัดเจน:

• ฝ่ายความปลอดภัยดำเนินการสแกน จัดลำดับความสำคัญ และจัดทำรายงาน
• IT / DevOpsรับผิดชอบการติดตั้งแพตช์และการปรับตั้งค่าทรัพย์สิน
• ทีมแอปพลิเคชันแก้ไขปัญหาระดับโค้ดและปัญหาจากส่วนประกอบที่ต้องพึ่งพา
• ผู้รับผิดชอบความเสี่ยงอนุมัติข้อยกเว้นและยอมรับความเสี่ยงคงเหลือ

ผลการตรวจพบทุกรายการต้องมีผู้รับผิดชอบที่ระบุชื่อและวันครบกำหนด มิฉะนั้นงานจะหยุดชะงัก

วัดผลโครงการ ไม่ใช่เพียงนับจำนวนผลการตรวจพบ:

• เวลาเฉลี่ยในการแก้ไข (MTTR)แยกตามระดับความรุนแรง
• อัตราการปฏิบัติตาม SLA
• แนวโน้มรายการที่เปิดเทียบกับรายการที่ปิดเมื่อเวลาผ่านไป
• ความครอบคลุม (เปอร์เซ็นต์ของทรัพย์สินที่สแกน)
• อัตราการเปิดรายการอีกครั้งหรือการเกิดซ้ำ

ติดตามการจัดกลุ่มตามระยะเวลาค้าง เพื่อไม่ให้ช่องโหว่ร้ายแรงที่เก่าค้างอยู่โดยไม่มีใครสังเกต

ช่องโหว่บางรายการไม่สามารถแก้ไขได้อย่างทันท่วงที กระบวนการจัดการข้อยกเว้นอย่างเป็นทางการจะบันทึกข้อมูลต่อไปนี้:

• เหตุผลที่เลื่อนการแก้ไข
• มาตรการควบคุมทดแทนที่ใช้
• ผู้รับผิดชอบความเสี่ยงที่ยอมรับความเสี่ยงดังกล่าว
• วันหมดอายุเพื่อบังคับให้ทบทวนอีกครั้ง

ข้อยกเว้นต้องจำกัดระยะเวลา ข้อยกเว้นที่ไม่มีกำหนดสิ้นสุดก็คือความเสี่ยงที่ถูกเพิกเฉย

วงจรนี้ควรปรับปรุงตัวเอง ใช้การยืนยันผลและตัวชี้วัดเพื่อค้นหาปัญหาเชิงระบบ เช่น CVE ที่เกิดซ้ำจากไลบรารีเดียวกัน ทีมที่ทำงานล่าช้า หรือช่องว่างในการสแกน

นำผลดังกล่าวกลับไปปรับปรุงการค้นหา (เพิ่มความครอบคลุม) การจัดลำดับความสำคัญ (ปรับเกณฑ์) และการแก้ไข (ระบบอัตโนมัติและอิมเมจมาตรฐาน) ระดับความพร้อมของ VM วัดได้จากความรวดเร็วและความน่าเชื่อถือของการทำงานของวงจรนี้

ยืนยันจุดประสงค์ของระยะสุดท้าย

วงจร VM เป็นวงจรต่อเนื่อง ได้แก่ ค้นหาทรัพย์สินและจุดอ่อน ประเมินและตรวจสอบความถูกต้อง จัดลำดับตามความเสี่ยงจริง แก้ไขด้วยการติดตั้งแพตช์ ลดความเสี่ยง หรือยอมรับความเสี่ยง และยืนยันว่าการแก้ไขยังคงมีผล การกำหนดผู้รับผิดชอบที่ชัดเจน SLA ตัวชี้วัด และข้อยกเว้นที่จำกัดเวลาจะช่วยให้กระบวนการดำเนินไปอย่างตรงไปตรงมา

ถัดไป เราจะเจาะลึกพื้นฐานของการค้นหา ได้แก่ การสแกนและการสร้างบัญชีทรัพย์สินที่ถูกต้อง