Многие успешные атаки на компании начинаются не с нового, никому не известного вируса, а с давно опубликованной, но не закрытой уязвимости: необновлённого VPN-устройства, забытого тестового сервера или сайта со старым плагином. Антивирус такие бреши не закрывает – он защищает от вредоносных программ, но не от того, что система сама оставляет дверь открытой.
Управление уязвимостями – это непрерывный процесс, в ходе которого компания находит слабые места своих систем, оценивает их опасность и устраняет их раньше, чем ими воспользуются злоумышленники. В этой статье объясняем, как такой процесс выглядит на практике и с чего стоит начать.
Чем управление уязвимостями отличается от антивирусной защиты
- Антивирусная или EPP-защита реагирует на вредоносную активность, когда она уже происходит на устройстве.
- Управление уязвимостями работает раньше – оно ищет бреши, которыми могла бы воспользоваться вредоносная активность.
- Первая защищает рабочие станции, второе охватывает и серверы, сетевые устройства, сайты, API и облачные сервисы.
- Оба уровня дополняют друг друга, поэтому в контексте NIS2 и других требований обычно нужны оба.
Цикл управления уязвимостями
Работающий процесс – это не разовая проверка, а повторяющийся цикл:
- Инвентаризация. Составьте список всех устройств, серверов, программ, доменов и публично доступных сервисов. Невключённые системы проверяться не будут.
- Сканирование. Регулярно проверяйте системы автоматизированными инструментами – и во внутренней сети, и со стороны интернета.
- Приоритеты. Оцените найденные уязвимости по опасности, важности системы и тому, используется ли уязвимость уже активно.
- Исправление. Установите исправления, измените конфигурацию или, если исправления ещё нет, примените временные меры защиты.
- Проверка. Повторно просканируйте и убедитесь, что уязвимость действительно устранена.
- Отчёты. Фиксируйте, что найдено и что исправлено, – это важно и для руководства, и для проверок соответствия. После этого цикл начинается заново, ведь каждый месяц публикуются новые уязвимости.
Расстановка приоритетов – важнейший шаг цикла. Первое сканирование часто показывает сотни находок, и попытка исправить всё сразу заканчивается тем, что не исправляется ничего. Начинать стоит с уязвимостей в публично доступных системах с высокой оценкой опасности, например по шкале CVSS, которые злоумышленники уже активно используют. Менее критичные уязвимости во внутренних системах можно планировать на время обычных обновлений.
Внешняя поверхность атаки – то, что видит злоумышленник
Большая часть риска находится не во внутренней сети, а в том, что доступно из интернета: сайты, клиентские порталы, API, почтовые серверы и серверы удалённого доступа, забытые поддомены. Компании часто даже не знают всех своих публично доступных ресурсов, особенно если их создавали разные подрядчики или подразделения.
- Мониторинг внешней поверхности атаки помогает находить неизвестные или забытые ресурсы.
- Автоматизированное сканирование сайтов и API выявляет самые распространённые уязвимости между периодическими тестами.
- Тест на проникновение (penetration test), который проводят специалисты, показывает, как уязвимости можно реально использовать.
- Тестирование мобильных приложений важно для компаний, которые предоставляют клиентам свои приложения.
Важно и то, что внешняя картина постоянно меняется. Выходит новая версия сайта, открывается порт для удалённой работы, подрядчик устанавливает тестовую среду – и появляется новая точка, которой вчера ещё не было. Поэтому разовая проверка раз в год даёт лишь моментальный снимок, а постоянный мониторинг позволяет сразу замечать изменения.
Управление исправлениями – самый забываемый шаг
Найти уязвимость легче, чем её исправить. Обновления операционных систем часто устанавливаются автоматически, но сторонние программы – браузеры, PDF-просмотрщики, архиваторы, инструменты удалённого доступа – месяцами остаются без внимания. Централизованное управление исправлениями позволяет видеть, на каких компьютерах не хватает обновлений, и устанавливать их по графику.
- Определите, за какое время устанавливаются критические исправления и за какое – все остальные.
- Сначала устанавливайте исправления на тестовую группу компьютеров и только потом на всю компанию.
- Программы, которые производитель больше не обновляет, планируйте заменить.
Уязвимости и NIS2
Среди обязательных мер управления рисками директива NIS2 называет безопасность при приобретении, разработке и обслуживании сетей и информационных систем, включая управление уязвимостями и их раскрытие. На практике это означает, что компания должна уметь показать, что уязвимости регулярно ищутся, оцениваются и устраняются, а не просто надеяться, что их нет.
Директива NIS2 в Литве: что должны сделать компании
Первые шаги: что сделать за месяц
Управление уязвимостями можно начать и без большого проекта. Вот реальный план на первый месяц:
- В первую неделю составьте список всех публично доступных ресурсов компании: доменов, сайтов, серверов удалённого доступа и почты.
- Во вторую неделю включите централизованное управление исправлениями и посмотрите, на каких компьютерах не хватает критических обновлений.
- В третью неделю проведите первое внешнее и внутреннее сканирование и отсортируйте результаты по опасности.
- В четвёртую неделю исправьте критические уязвимости, назначьте ответственных и установите график регулярного сканирования.
После первого цикла обычно становится понятно, где кроется наибольший риск и стоит ли заказывать полноценный тест на проникновение.
Инструменты, которые мы поставляем
Для управления уязвимостями и тестирования безопасности поставляем решения нескольких производителей – от постоянного сканирования до тестов, проводимых специалистами:
- ImmuniWeb Discovery – мониторинг внешней поверхности атаки и подверженности угрозам.
- ImmuniWeb Neuron и Neuron Mobile – автоматизированное сканирование безопасности сайтов, API и мобильных приложений.
- ImmuniWeb On-Demand и Continuous – тесты на проникновение сайтов и API, разовые или постоянные.
- ImmuniWeb MobileSuite – тесты на проникновение мобильных приложений.
- WithSecure Elements Vulnerability Management – постоянное сканирование систем компании и отчёты.
- AVG Patch Management – централизованная установка недостающих исправлений.
Цену этих решений сообщаем по запросу, так как она зависит от количества и объёма проверяемых ресурсов.
Частые вопросы
Чем сканирование уязвимостей отличается от теста на проникновение?
Сканирование автоматизировано и может проводиться часто, например еженедельно или постоянно. Тест на проникновение проводят специалисты: они не только находят уязвимости, но и проверяют, можно ли их использовать и какой ущерб это может нанести.
Как часто нужно сканировать системы?
Публично доступные системы стоит отслеживать постоянно, а внутреннюю сеть сканировать регулярно и после каждого крупного изменения. Точную частоту определяют важность систем и требования, применимые к компании.
Нужно ли управление уязвимостями небольшой компании?
Да, хотя объём может быть небольшим. Небольшой компании часто достаточно централизованного управления исправлениями и периодической проверки сайта и публично доступных сервисов.
Может ли сканирование нарушить работу систем?
Автоматизированные сканеры обычно разработаны так, чтобы не мешать обычной работе, но первое сканирование стоит запланировать на нерабочее время и заранее предупредить системных администраторов. Объём и время тестов на проникновение всегда согласовываются заранее.
Вывод
Управление уязвимостями – не разовый проект, а привычка регулярно искать и устранять слабые места. Начните с инвентаризации и управления исправлениями, затем добавьте мониторинг внешней поверхности атаки и периодические тесты. Если хотите, чтобы мы помогли подобрать инструменты для вашей компании или клиентов, напишите нам.