Большинство громких взломов начинается не с гениальной хакерской комбинации, а с эксплуатации давно известной и опубликованной уязвимости. Злоумышленники сканируют интернет в поисках непропатченных систем и используют готовые эксплойты. Между публикацией информации об уязвимости и началом ее массовой эксплуатации проходят считанные дни, а иногда часы.

Уязвимость — это дефект программного или аппаратного обеспечения, который позволяет нарушить конфиденциальность, целостность или доступность системы. Каждая уязвимость получает идентификатор CVE и оценку критичности по шкале CVSS от нуля до десяти. В России сведения о проблемах в сертифицированных продуктах передаются в банк данных угроз ФСТЭК.

Что такое управление уязвимостями и из каких этапов состоит процесс

Управление уязвимостями это непрерывный процесс, а не разовая проверка перед аудитом. Он начинается с инвентаризации активов: невозможно защищать то, о чем не знаешь. А состав парка серверов, рабочих мест, сетевого оборудования и облачных сервисов постоянно меняется.

Дальше следует сканирование: специальные инструменты проверяют активы и формируют перечень обнаруженных проблем. Затем приоритизация: из тысяч находок нужно выбрать те, что действительно опасны для конкретной инфраструктуры. Критичная дыра в изолированной системе может подождать, а средняя по оценке уязвимость в публичном сервисе требует немедленной реакции. После этого идет устранение: установка патчей, обновление версий, компенсирующие меры там, где патч применить нельзя. Завершает цикл контроль, проверяющий, что проблема закрыта.

Отдельная сложность — верификация: сканер лишь предполагает наличие уязвимости по косвенным признакам, и часть находок оказывается ложной. Подробные разборы полноценного процесса обнаружения, классификации и верификации уязвимостей можно прочитать в статьях о том, как найти и обезвредить на Security Media специализированных сайтах.

Инструменты: сканеры и системы управления уязвимостями

Рынок инструментов делится на несколько классов. Сканеры безопасности проверяют сеть и узлы на наличие известных уязвимостей. Системы класса Vulnerability Management объединяют данные сканеров, обогащают их контекстом об активах и угрозах, строят приоритеты и контролируют устранение.

В последнее время российские продукты заметно окрепли. Отечественные сканеры умеют работать с российскими операционными системами, интегрируются с БДУ ФСТЭК и поддерживают требования регуляторов. Сравнения возможностей популярных решений можно найти в обзорах продуктов ИБ по управлению уязвимостями.

Уязвимости нулевого дня и как снизить риски

Самую большую опасность представляют уязвимости нулевого дня, информация о которых еще не опубликована, а значит, патча и сигнатур не существует. Полностью защититься от них невозможно, но можно снизить риск: сокращать поверхность атаки, отключать неиспользуемые сервисы, сегментировать сеть и применять поведенческое обнаружение аномалий, которое не зависит от известности уязвимости.

Важна и скорость реакции. Компании с выстроенным процессом закрывают критичные уязвимости за дни, тогда как в организациях без регламентов одни и те же дыры живут месяцами. Регулярность важнее разовых подвигов: лучше стабильный ежемесячный цикл сканирования и исправления, чем героический аудит раз в год.

С чего начать выстраивать процесс

Первый шаг — собратьреестр активов и определить владельца процесса. Второй — выбрать сканер и настроить регулярные проверки, начав с периметра и критичных систем. Третий — договориться с ИТ-подразделением о регламентах и сроках установки патчей. Четвертый — завести метрики: число открытых уязвимостей по уровням критичности, средний срок устранения, охват активов сканированием.

Управление уязвимостями не дает мгновенного эффекта, но именно оно закрывает базовый уровень риска, от которого зависит успех всех остальных мер защиты. Атакующий всегда ищет самый дешевый путь, и своевременно установленный патч часто делает этот путь для него слишком дорогим.