एक भी स्कैन नहीं, या 9 चरणों में भेद्यता प्रबंधन प्रक्रिया का निर्माण कैसे करें

4 जुलाई को हमने भेद्यता प्रबंधन पर एक बड़ा सेमिनार आयोजित किया। आज हम Qualys से आंद्रेई नोविकोव के एक भाषण की एक प्रतिलिपि प्रकाशित करते हैं। वह आपको बताएगा कि भेद्यता प्रबंधन वर्कफ़्लो के निर्माण के लिए आपको किन कदमों की ज़रूरत है। Spoiler: स्कैन से पहले, हम केवल पथ के मध्य में पहुंचेंगे।

चरण # 1: भेद्यता प्रबंधन प्रक्रियाओं की परिपक्वता स्तर निर्धारित करें

शुरुआत में, आपको यह समझने की आवश्यकता है कि भेद्यता प्रबंधन प्रक्रियाओं की परिपक्वता के मामले में आपका संगठन किस स्तर पर है। उसके बाद ही आप समझ पाएंगे कि आपको कहां जाना है और आपको क्या कदम उठाने हैं। स्कैन और अन्य गतिविधियों को शुरू करने से पहले, संगठनों को आंतरिक कार्य करने और यह समझने की आवश्यकता है कि आईटी और सूचना सुरक्षा के संदर्भ में आपकी वर्तमान प्रक्रियाएं कैसे काम करती हैं।

बुनियादी सवालों के जवाब देने की कोशिश करें:

• क्या आपके पास संपत्ति को सूचीबद्ध करने और वर्गीकृत करने के लिए प्रक्रियाएं हैं?
• नियमित रूप से आईटी अवसंरचना कैसे स्कैन की जाती है और क्या पूरा ढाँचा ढँका है, क्या आप पूरी तस्वीर देखते हैं;
• क्या आपके आईटी संसाधनों की निगरानी की जाती है?
• क्या कोई KPI आपकी प्रक्रियाओं में लागू किया गया है और आप कैसे समझते हैं कि उन्हें लागू किया जा रहा है?
• क्या ये सभी प्रक्रियाएँ प्रलेखित हैं?

चरण # 2: पूर्ण अवसंरचना कवरेज प्रदान करें

आप जो नहीं जानते, उसकी रक्षा आप नहीं कर सकते। जब तक आपके पास आईटी इन्फ्रास्ट्रक्चर की पूरी तस्वीर नहीं है, तब तक आप उसकी सुरक्षा नहीं कर सकते। आधुनिक बुनियादी ढांचा जटिल है और लगातार मात्रात्मक और गुणात्मक रूप से बदल रहा है।
अब आईटी अवसंरचना न केवल शास्त्रीय प्रौद्योगिकियों (कार्यस्थानों, सर्वरों, आभासी मशीनों) के ढेर पर आधारित है, बल्कि अपेक्षाकृत नए - कंटेनरों, माइक्रोसर्विस पर भी आधारित है। हर संभव तरीके से सूचना सुरक्षा सेवा बाद से बच जाती है, क्योंकि मौजूदा टूलकिट का उपयोग करके उनके साथ काम करना बहुत मुश्किल होता है, जिसमें मुख्य रूप से स्कैनर शामिल होते हैं। समस्या यह है कि कोई भी स्कैनर पूरे बुनियादी ढांचे को कवर नहीं कर सकता है। बुनियादी ढांचे में किसी भी नोड तक पहुंचने के लिए स्कैनर के लिए, कई कारकों को एक बार में मेल खाना चाहिए। स्कैनिंग के समय संपत्ति संगठन की परिधि के अंदर होनी चाहिए। संपूर्ण जानकारी एकत्र करने के लिए स्कैनर के पास संपत्ति, उनके खातों तक नेटवर्क पहुंच होनी चाहिए।

हमारे आंकड़ों के अनुसार, जब मध्यम या बड़े संगठनों की बात आती है, तो लगभग 15-20% बुनियादी ढांचे को एक कारण या किसी अन्य के लिए स्कैनर द्वारा कब्जा नहीं किया जाता है: संपत्ति परिधि से बाहर चली गई है या कार्यालय में कभी भी प्रकट नहीं होती है। उदाहरण के लिए, एक कर्मचारी का लैपटॉप जो दूरस्थ रूप से काम करता है, लेकिन एक ही समय में कॉर्पोरेट नेटवर्क तक पहुंच है, या संपत्ति अमेज़ॅन जैसे बाहरी क्लाउड सेवाओं में स्थित है। और स्कैनर, सबसे अधिक संभावना है, इन परिसंपत्तियों के बारे में कुछ भी नहीं जानता होगा, क्योंकि वे इसकी दृश्यता से बाहर हैं।

पूरे बुनियादी ढांचे को कवर करने के लिए, आपको न केवल स्कैनर का उपयोग करने की आवश्यकता है, बल्कि आपके बुनियादी ढांचे में नए उपकरणों का पता लगाने के लिए निष्क्रिय श्रवण तकनीक सहित सेंसर का एक पूरा सेट, जानकारी प्राप्त करने के लिए डेटा एकत्र करने का एक एजेंट-आधारित तरीका - आपको ऑनलाइन डेटा प्राप्त करने की अनुमति देता है, बिना स्कैनिंग के, बिना प्रकाश डाला। साख।

चरण # 3: परिसंपत्तियों को वर्गीकृत करें

सभी संपत्तियां समान रूप से उपयोगी नहीं हैं। यह निर्धारित करना कि कौन सी संपत्ति महत्वपूर्ण है और जो आपके काम नहीं हैं। एक भी उपकरण, एक ही स्कैनर, आपके लिए नहीं करेगा। आदर्श रूप से, सूचना सुरक्षा, आईटी और व्यवसाय व्यापार महत्वपूर्ण प्रणालियों को उजागर करने के लिए एक साथ बुनियादी ढांचे का विश्लेषण करते हैं। उनके लिए, वे उपलब्धता, अखंडता, गोपनीयता, आरटीओ / आरपीओ, आदि के लिए स्वीकार्य मीट्रिक को परिभाषित करते हैं।

यह भेद्यता प्रबंधन को प्राथमिकता देने में मदद करेगा। जब आपके विशेषज्ञ भेद्यता डेटा प्राप्त करते हैं, तो यह पूरे इन्फ्रास्ट्रक्चर में हजारों कमजोरियों के साथ एक शीट नहीं होगी, लेकिन सिस्टम की आलोचनात्मकता को ध्यान में रखते हुए, बारीक जानकारी।

चरण # 4: बुनियादी ढांचे का आकलन करें

और केवल चौथे चरण में हम कमजोरियों के संदर्भ में बुनियादी ढांचे का आकलन करने के लिए आते हैं। हम अनुशंसा करते हैं कि आप इस स्तर पर न केवल सॉफ़्टवेयर भेद्यताओं पर ध्यान दें, बल्कि कॉन्फ़िगरेशन त्रुटियों के लिए भी ध्यान दें, जो एक भेद्यता भी हो सकती है। यहां हम जानकारी एकत्र करने के एजेंट के तरीके का सुझाव देते हैं। परिधि सुरक्षा का आकलन करने के लिए स्कैनर्स का उपयोग और किया जा सकता है। यदि आप क्लाउड प्रदाताओं के संसाधनों का उपयोग करते हैं, तो वहां से आपको संपत्ति और कॉन्फ़िगरेशन के बारे में जानकारी एकत्र करने की भी आवश्यकता है। डॉकटर कंटेनरों का उपयोग करके इन्फ्रास्ट्रक्चर में कमजोरियों के विश्लेषण पर विशेष ध्यान दें।

चरण # 5: रिपोर्टिंग सेट करें

यह भेद्यता प्रबंधन प्रक्रिया के भीतर महत्वपूर्ण तत्वों में से एक है।
पहला बिंदु: कोई भी कमजोरियों की यादृच्छिक सूची और उन्हें ठीक करने के तरीके के विवरण के साथ बहु-पृष्ठ रिपोर्ट के साथ काम नहीं करेगा। सबसे पहले, सहकर्मियों के साथ संवाद करना और यह पता लगाना आवश्यक है कि रिपोर्ट में क्या होना चाहिए और डेटा प्राप्त करने के लिए उनके लिए यह कितना सुविधाजनक है। उदाहरण के लिए, कुछ व्यवस्थापक को भेद्यता के विस्तृत विवरण की आवश्यकता नहीं होती है और केवल पैच और इसके बारे में जानकारी की आवश्यकता होती है। किसी अन्य विशेषज्ञ के लिए, नेटवर्क के बुनियादी ढांचे में पाई जाने वाली कमजोरियां ही महत्वपूर्ण हैं।

दूसरा बिंदु: रिपोर्टिंग से मेरा मतलब केवल कागजी रिपोर्ट नहीं है। यह जानकारी प्राप्त करने और एक स्थिर इतिहास के लिए एक पुराना प्रारूप है। एक व्यक्ति एक रिपोर्ट प्राप्त करता है और यह प्रभावित नहीं कर सकता है कि इस रिपोर्ट में डेटा कैसे प्रस्तुत किया जाएगा। रिपोर्ट को सही रूप में प्राप्त करने के लिए, आईटी विशेषज्ञ को सूचना सुरक्षा विशेषज्ञ से संपर्क करना चाहिए और उसे रिपोर्ट के पुनर्निर्माण के लिए कहना चाहिए। समय बीतता जाता है, नई कमजोरियाँ दिखाई देती हैं। रिपोर्ट को विभाग से विभाग में स्थानांतरित करने के बजाय, दोनों क्षेत्रों के विशेषज्ञ ऑनलाइन डेटा का निरीक्षण करने और एक ही तस्वीर देखने में सक्षम होना चाहिए। इसलिए, हमारे मंच में हम कस्टम डैशबोर्ड के रूप में गतिशील रिपोर्ट का उपयोग करते हैं।

चरण 6: प्राथमिकता दें

यहाँ आप निम्न कार्य कर सकते हैं:

1. प्रणालियों के सुनहरे चित्रों के साथ एक भंडार बनाना। सुनहरे चित्रों के साथ काम करें, कमजोरियों के लिए उनकी जांच करें और निरंतर आधार पर सही कॉन्फ़िगरेशन करें। यह उन एजेंटों का उपयोग करके किया जा सकता है जो स्वचालित रूप से एक नई संपत्ति की उपस्थिति की रिपोर्ट करेंगे और इसकी कमजोरियों के बारे में जानकारी प्रदान करेंगे।

2. उन परिसंपत्तियों पर ध्यान केंद्रित करें जो व्यवसाय के लिए महत्वपूर्ण हैं। दुनिया में ऐसा कोई संगठन नहीं है जो एक बार में कमजोरियों को दूर कर सके। कमजोरियों को ठीक करने की प्रक्रिया लंबी है और यहां तक ​​कि नीरस भी।

3. हमलों की सतह को कम करना। अनावश्यक सॉफ्टवेयर, सेवाओं से अपने बुनियादी ढांचे को साफ करें, अनावश्यक बंदरगाहों को बंद करें। हमारे पास हाल ही में एक कंपनी के साथ एक मामला था जिसमें मोज़िला ब्राउज़र के पुराने संस्करण से संबंधित 40 हजार उपकरणों पर लगभग 40 हज़ार कमजोरियां पाई गई थीं। जैसा कि बाद में पता चला, मोज़िला को कई साल पहले सुनहरी छवि में पेश किया गया था, कोई भी इसका उपयोग नहीं करता है, लेकिन यह बड़ी संख्या में कमजोरियों का स्रोत है। जब ब्राउज़र को कंप्यूटर से हटा दिया गया था (यह कुछ सर्वरों पर भी खड़ा था), ये दसियों हज़ारों कमजोरियाँ गायब हो गईं।

4. खतरा खुफिया डेटाबेस पर कमजोरियों को रैंक करें। भेद्यता की न केवल महत्वपूर्णता पर विचार करें, बल्कि एक सार्वजनिक शोषण की उपस्थिति, मैलवेयर, पैच, भेद्यता के साथ सिस्टम तक बाहरी पहुंच। महत्वपूर्ण व्यावसायिक प्रणालियों पर इस भेद्यता के प्रभाव का आकलन करें: क्या यह डेटा हानि, सेवा से वंचित, आदि हो सकता है।

चरण # 7: KPI पर सहमत हैं

स्कैन करने के लिए स्कैन न करें। यदि पाया कमजोरियों के साथ कुछ नहीं होता है, तो यह स्कैन एक बेकार ऑपरेशन में बदल जाता है। कमजोरियों को औपचारिकता बनने से रोकने के लिए, विचार करें कि आप इसके परिणामों का मूल्यांकन कैसे करेंगे। आईएस और आईटी को इस बात पर सहमत होना चाहिए कि कमजोरियों को खत्म करने का काम कैसे बनाया जाएगा, कितनी बार स्कैन किया जाएगा, पैच लगाए जाएंगे आदि।
स्लाइड पर आप संभावित KPI के उदाहरण देखते हैं। एक विस्तारित सूची भी है जो हम अपने ग्राहकों को सुझाते हैं। यदि यह दिलचस्प है, तो कृपया संपर्क करें, मैं इस जानकारी को आपके साथ साझा करूंगा।

चरण 8: स्वचालित

वापस फिर से स्कैनिंग के लिए। क्वालिस में, हम मानते हैं कि स्कैनिंग सबसे महत्वपूर्ण चीज नहीं है जो आज कमजोरियों को प्रबंधित करने की प्रक्रिया में हो सकती है, और सबसे पहले यह आवश्यक है कि इसे जितना संभव हो उतना स्वचालित किया जाए ताकि सूचना सुरक्षा विशेषज्ञ की भागीदारी के बिना भी प्रदर्शन किया जा सके। आज कई उपकरण हैं जो आपको ऐसा करने की अनुमति देते हैं। यह पर्याप्त है कि उनके पास एक खुला एपीआई और आवश्यक संख्या में कनेक्टर हैं।

एक उदाहरण जो मुझे देना पसंद है वह है DevOps। यदि आप एक भेद्यता स्कैनर लागू करते हैं, तो आप बस DevOps के बारे में भूल सकते हैं। पुरानी तकनीकों के साथ, जो एक क्लासिक स्कैनर है, आपको बस इन प्रक्रियाओं में अनुमति नहीं दी जाएगी। डेवलपर्स तब तक इंतजार नहीं करेंगे जब तक आप स्कैन करके उन्हें बहु-पृष्ठ असुविधाजनक रिपोर्ट नहीं देंगे। डेवलपर्स को उम्मीद है कि भेद्यता जानकारी उनके कोड बिल्डिंग सिस्टम में बग जानकारी के रूप में आती है। सुरक्षा को इन प्रक्रियाओं में मूल रूप से एकीकृत किया जाना चाहिए, और यह सिर्फ एक फ़ंक्शन होना चाहिए जो आपके डेवलपर्स द्वारा उपयोग की जाने वाली प्रणाली द्वारा स्वचालित रूप से कहा जाता है।

चरण # 9: आवश्यक पर ध्यान दें

फोकस करें कि वास्तव में आपकी कंपनी को क्या लाभ होता है। स्कैन स्वचालित हो सकते हैं, रिपोर्ट स्वचालित रूप से भी भेजी जा सकती हैं।
प्रक्रियाओं में सुधार पर ध्यान दें, ताकि वे सभी शामिल के लिए अधिक लचीले और सुविधाजनक हों। यह सुनिश्चित करने पर ध्यान दें कि आपके ठेकेदारों के साथ सभी अनुबंधों में सुरक्षा अंतर्निहित है, उदाहरण के लिए, जो आपके लिए वेब एप्लिकेशन विकसित करते हैं।

यदि आपको किसी कंपनी में भेद्यता प्रबंधन प्रक्रिया का निर्माण करने के बारे में अधिक विस्तृत जानकारी की आवश्यकता है, तो कृपया मुझसे और मेरे सहयोगियों से संपर्क करें। मुझे मदद करने में खुशी होगी।