Инвентаризация ресурсов

Первым этапом в стратегии управления уязвимостями должно стать прове- дение инвентаризации. Тем не менее во многих организациях нет эффектив- ного реестра ресурсов, поэтому они испытывают трудности при защите своих устройств. Инвентаризация ресурсов – это инструмент, который администра- торы безопасности могут использовать для просмотра устройств, имеющихся

ворганизации, и выделения тех, которые должны быть защищены программ- нымобеспечением.Когдаречьидетостратегииуправленияуязвимостями,ор- ганизация должна начать стого,чтобы сделать одного сотрудника ответствен- ным за инвентаризацию ресурсов с целью гарантировать, что все устройства зарегистрированыичторезультатинвентаризацииактуален(1).Инвентариза- ция ресурсов также является отличным инструментом, который сетевые и си- стемные администраторы могут использовать для быстрого поиска и исправ- ления устройств и систем.

Без этого о некоторых устройствах могут забыть при исправлении или уста- новке нового программного оборудования, используемого для обеспечения безопасности.Этоустройстваисистемы,накоторыебудутнацеленызлоумыш- ленники. Как было показано в главе 5 «Компрометация системы», существуют инструменты,которые могут сканировать сеть и определять,в каких системах не установлены исправления.Отсутствие инвентаризации ресурсов также мо- жет привести к недостаточному выделению или перерасходу средств на обес­ печение безопасности. Это связано с тем, что она не может правильно опре- делить устройства и системы,для которых ей необходимо приобрести защиту. Проблем, которые ожидаются на этом этапе, много. IT-отделы в современных организациях часто сталкиваются с плохим управлением изменениями, под- дельными серверами и отсутствием четких границ сети. Организациям также нехватаетэффективныхинструментов,чтобыподдерживатьинвентаризацию

всогласованном порядке.

Управление информацией

Вторым этапом стратегии управления уязвимостями является контроль того, как информация поступает в организацию. Наиболее важной информацией является интернет-трафик, поступающий из сети организации. Увеличилось количество червей, вирусов и других вредоносных программ, от которых нуж- но защищаться. Также усилился поток трафика как внутри, так и снаружи ло- кальных сетей. Возросший поток трафика угрожает распространением боль- шего количества вредоносных программ.Поэтому следует обратить внимание на этот информационный поток, чтобы не допустить проникновения угроз из сети. Помимо угрозы вредоносных программ, управление информацией также касается данных организации. Организации хранят разные типы дан- ных, и некоторые из них ни в коем случае не должны попасть в руки не тех людей. Если к коммерческой тайне и личной информации клиентов получат доступ хакеры, это может нанести непоправимый ущерб. Организация может

Это третий шаг в стратегии управления уязвимостями. Прежде чем риски мо- гутбытьнейтрализованы,команда по обеспечению безопасностидолжна про- вести углубленный анализ уязвимостей, с которыми она сталкивается. В иде- альной IT-среде команда по обеспечению безопасности может реагировать на все уязвимости, поскольку у нее достаточно ресурсов и времени. Однако вдействительности существуеточеньмного ограничивающих факторов,когда речьидеторесурсах,доступныхдлянейтрализациирисков.Вотпочемуоценка рисков имеет решающее значение.На этом этапе организация должна расста- вить приоритеты одних уязвимостей над другими и выделить ресурсы для их устранения. Оценка рисков состоит из 5 этапов.

Область действия

Оценка рисков начинается с определения области действия. Команда по обес­ печению безопасности имеет ограниченный бюджет. Поэтому она должна определитьобласти,которые будетохватывать,ите области,с которыми рабо- тать не будет.Она определяет объект защиты,его чувствительность и уровень, на котором его нужно защищать. Область действия должна быть тщательно выверена, поскольку ей предстоит определять, откуда будет проводиться ана- лиз внутренних и внешних уязвимостей.

Сбор данных

Послеопределенияобластидействиянеобходимособратьданныеосуществую- щих политиках и процедурах, которые применяются для защиты организации откиберугроз.Этоможносделатьспомощьюинтервью,анкетиопросов,прово- димых для персонала, таких как пользователи и сетевые администраторы. Все сети, приложения и системы, которые охватываются областью действия,долж- нысобиратьсоответствующиеданные.Этиданныемогутвключатьвсебяпакет обновления, версию ОС, работающие приложения, местоположение, права на управление доступом, тесты на обнаружение вторжений, тесты брандмауэра­ , сетевые обзоры и сканирование портов. Эта информация позволит лучше по- нятьтип угроз,с которыми сталкиваются сети,системы и приложения.

Анализ политик и процедур

Организацииустанавливаютполитикиипроцедурыдляуправленияиспользо- ванием своих ресурсов. Они обеспечивают правильное и безопасное исполь- зование.Поэтому важно пересмотретьи проанализироватьсуществующие по- литики и процедуры. Там могут быть недостатки. Некоторые политики также могутбытьнепрактичными.Анализируяполитикиипроцедуры,следуеттакже определить уровень их соответствия со стороны пользователей и администра- торов.То,что политика и процедуры сформулированы и распространяются,не означает, что они соблюдаются. Наказания, установленные за несоблюдение, также следуетпроанализировать.В конце концов,станетизвестно,достаточно ли у организации политик и процедур для устранения уязвимостей.

После анализа политик и процедур необходимо провести анализ уязвимо- стей, чтобы определить уязвимость организации и выяснить, достаточно ли у нее защитных мер, чтобы защитить себя. Анализ уязвимостей выполняется с помощью инструментов, которые мы обсуждали в главе 4 «Разведка и сбор данных». Здесь используются те же инструменты, что применяют хакеры для определения уязвимостей организации, чтобы принять решение, какие экс- плойты использовать.Обычнодля этого процесса организации вызываютспе- циалистов, проводящих тестирование на проникновение в сеть. Самым боль- шим недостатком в анализе уязвимостей является количество выявленных ложных срабатываний, которые необходимо отфильтровать. Поэтому следует использовать вместе разные инструменты, чтобы составить надежный список существующих в организации уязвимостей.

Специалисты, проводящие тестирование на проникновение, должны ими- тировать реальные атаки и выявлять системы и устройства, которые испы- тывают стресс и подвергаются компрометации в процессе этого. В конце вы- явленные уязвимости классифицируются в соответствии с рисками, которые они представляют для организации. Уязвимости с меньшей степенью серьез- ности и подверженности воздействию обычно имеют низкий рейтинг. В си- стеме оценки уязвимостей есть три класса. Младший класс предназначен для уязвимостей, которые требуют много ресурсов для эксплуатации, но при этом оказываюточеньнебольшое влияние на организацию.Умеренный класс пред- назначен для уязвимостей с разумным потенциалом для повреждения, экс- плуатации и воздействия. Класс повышенной серьезности предназначен для уязвимостей, которые требуют мало ресурсов для эксплуатации, но могут на- нести большой ущерб организации при их наличии.

Анализ угроз

Угрозы организации представляют собой действия, код или программное обеспечение, которые могут привести к подделке, уничтожению данных или прерыванию функционирования служб. Анализ угроз проводится для оценки рисков, которые могут возникнуть в организации. Выявленные угрозы долж- ны бытьпроанализированы с целью определения их влияния на организацию. Угрозы классифицируются аналогично уязвимостям, но измеряются с точки зрения мотивации и возможностей. Например, у инсайдера может быть низ- кая мотивация для осуществления злонамеренной атаки на организацию, но множество возможностей, благодаря тому что он знает, как работает органи- зация изнутри. Поэтому система оценок может несколько отличаться от той, что используется при анализе уязвимостей. В конце определяется количество выявленных угроз, а также проводится их классификация.

Анализ приемлемых рисков

Анализ приемлемых рисков–последний этап.Здесь существующие политики, процедуры и механизмы безопасности сначала оцениваются, чтобы опреде-