U prvom tekstu iz serijala Back to Basics objasnili smo zašto je Asset Management temelj dobre sajber bezbednosti. Ako ne znate šta sve posedujete, ne možete to ni zaštititi.

U drugom delu prelazimo na sledeću ključnu disciplinu, Vulnerability Management, odnosno upravljanje ranjivostima.

Previše organizacija ovaj proces i dalje svodi na to da jednom godišnje pokrenu skeniranje ranjivosti i IT timu pošalju izveštaj sa stotinama ili hiljadama pronađenih problema. Ili još gore, angažuju nekoga da jednom uradi skeniranje i smatraju da je posao završen.

Rezultat? Zamor od beskrajnih izveštaja, hiljade nezakrpljenih ranjivosti, stotine onih označenih kao "High" ili "Critical" i lažni osećaj sigurnosti kada konačno zakrpimo ono što smo stigli.

A kada se dogodi bezbednosni incident iskorišćavanjem poznate ranjivosti, svi postavljaju ista pitanja:

Kako se ovo dogodilo? Zašto nije sprečeno?

Duboko u sebi znamo odgovor. Ta ranjivost jeste bila poznata, ali nikada nije zaista rešena.

Pravi Vulnerability Management nije pronalaženje svake moguće ranjivosti. Njegov cilj je da što pre otkloni one koje predstavljaju najveći rizik za poslovanje.

Iz iskustva stečenog kroz više od dve decenije rada sa organizacijama različitih veličina, jedno se stalno potvrđuje: najuspešniji timovi nisu oni koji pronađu najviše ranjivosti, već oni koji najbolje određuju prioritete na osnovu rizika i kontinuirano smanjuju izloženost.

Zašto je upravljanje ranjivostima danas teže nego ikada?

Broj ranjivosti neprestano raste

Svake godine objavljuju se desetine hiljada novih ranjivosti. Razvoj AI alata dodatno ubrzava njihovo otkrivanje, ali i omogućava napadačima da mnogo brže pronađu sisteme koji još nisu ažurirani.

Složeniji lanci snabdevanja

Sve više koristimo softver i komponente trećih strana. Ranjivost u samo jednoj biblioteci ili servisu može uticati na veliki broj organizacija.

Sve raznovrsnija IT okruženja

Pored lokalne infrastrukture, danas treba voditi računa o cloud okruženjima, kontejnerima, SaaS servisima, ali i starim sistemima koji su i dalje deo poslovanja.

Malo vremena za instalaciju zakrpa

Produkcioni sistemi često imaju veoma ograničene termine za održavanje, pa nije moguće odmah primeniti svaku zakrpu. Zbog toga je određivanje prioriteta još važnije.

Napadači ne čekaju

Poznate ranjivosti danas se često zloupotrebljavaju već nekoliko dana, nekada čak i nekoliko sati nakon objavljivanja.

Istovremeno, regulative poput NIS2 sve više insistiraju ne samo na identifikaciji ranjivosti, već i na njihovom blagovremenom otklanjanju, uz mogućnost da organizacija dokaže kako prioritete određuje na osnovu rizika.

Kako izgleda dobar proces upravljanja ranjivostima?

1. Otkrijte šta imate i vodite evidenciju

Da, ponovo se vraćamo na Asset Management.

Možete skenirati samo ono za šta znate da postoji. Kvalitetna evidencija IT resursa značajno povećava obuhvat skeniranja i smanjuje mogućnost da neki sistem ostane potpuno nevidljiv.

2. Skenirajte kontinuirano, ali pametno

Jedno godišnje skeniranje nije dovoljno.

Dobar program uključuje:

• autentifikovana skeniranja kada god je to moguće, jer daju znatno preciznije rezultate,
• kombinaciju agent-based i agentless pristupa,
• skeniranje infrastrukture, aplikacija, cloud konfiguracija, kontejnera, API-ja i izvornog koda,
• proveru spoljašnje površine napada, uključujući domene i javno dostupne servise.

3. Odredite prioritete bez kompromisa

Prestanite da CVSS skor posmatrate kao jedini kriterijum.

Prilikom određivanja prioriteta uzmite u obzir:

• ozbiljnost ranjivosti (CVSS),
• mogućnost zloupotrebe, odnosno da li postoji javno dostupan exploit, kolika je EPSS ocena ili da li se ranjivost već aktivno koristi u napadima,
• poslovni značaj sistema na kome se nalazi,
• da li sistem sadrži osetljive podatke ili je dostupan sa interneta,
• mogućnost kombinovanja sa drugim ranjivostima u lancu napada.

Fokusirajte se na 20 do 30% ranjivosti koje predstavljaju najveći rizik za vaše poslovanje.

4. Jasno definišite odgovornost

Za svaku ranjivost mora biti jasno:

• ko je odgovoran za njeno otklanjanje,
• u kom roku treba da bude rešena,
• kako se prati napredak.

Dobro je definisati i rokove u skladu sa nivoom rizika. Na primer:

• kritične ranjivosti, 7 dana,
• visoke, 30 dana.

Ako ranjivost nije moguće odmah otkloniti, potrebno je imati formalno definisan proces prihvatanja rizika, uz dodatne mere zaštite koje će privremeno smanjiti izloženost.

5. Proverite rezultate i merite ono što je važno

Nakon otklanjanja ranjivosti potrebno je ponovo izvršiti skeniranje i potvrditi da problem više ne postoji.

Pored toga, pratite pokazatelje koji zaista govore o uspešnosti procesa:

• prosečno vreme potrebno za otklanjanje ranjivosti (MTTR),
• broj kritičnih i visokih ranjivosti kroz vreme,
• procenat skeniranih resursa,
• gustinu ranjivosti po kategorijama IT resursa.

6. Kontinuirano unapređujte proces

Redovno analizirajte osnovni uzrok problema.

Zašto se ova ranjivost pojavila?

Da li je problem u procesu razvoja softvera? Upravljanju zakrpama? Lošoj konfiguraciji? Nedostatku kontrole?

Ako otklonite uzrok, smanjićete verovatnoću da se isti problem ponovi.

Kako početi već danas?

Ako vam sve ovo deluje komplikovano, počnite od nekoliko jednostavnih koraka.

Napravite pregled koji prikazuje ranjivosti prema nivou rizika, umesto beskonačne liste svih pronađenih problema.

Povežite podatke o ranjivostima sa sistemom za upravljanje IT resursima.

Koristite izvore informacija o aktuelnim pretnjama kako biste znali koje se ranjivosti trenutno aktivno zloupotrebljavaju.

I na kraju, dokumentujte sve. Dobro vođena dokumentacija biće dragocena tokom revizija, ali i kada bude potrebno brzo odgovoriti na bezbednosni incident.

Najčešća greška

Jedna od najvećih grešaka jeste posmatranje Vulnerability Management-a kao isključivo IT aktivnosti.

Određivanje prioriteta ne može biti samo tehnička odluka. U proces treba uključiti i vlasnike poslovnih sistema, jer oni najbolje razumeju kakve posledice po poslovanje može imati prekid rada ili kompromitovanje podataka.

Vulnerability Management je proces, a ne projekat

Skeniranje ranjivosti je samo početak.

Prava vrednost nastaje kada organizacija kontinuirano prati rizike, određuje prioritete i sistematski smanjuje broj ranjivosti koje zaista mogu ugroziti poslovanje.

Drugim rečima, cilj nije imati najduži izveštaj sa skenera, već najmanji broj ranjivosti koje predstavljaju stvarni rizik.