Павел Сотников | Управляющий Директор Восточная Европа, Кавказ и Центральная Азия
Построение процесса управления уязвимостями
20 ноября 2014
Обо мне
10+ лет в сфере ИБ
6 лет – в качестве CISO в General Electric и PricewaterhouseCoopers
Проекты по управлению уязвимостями: • PricewaterhouseCoopers: Выстраивание процесса управления уязвимостями для Центральной и Восточной Европы (PwC – 29 стран – 15 тысяч устройств)
• General Electric: Выстраивание процесса управления уязвимостями для России и СНГ
Сертификации: CISSP, ITILv3, Qualys, Citrix
Отчёт центра стратегических исследований США “Raising the Bar for Cybersecurity”
• 75% атак используют уже известные уязвимости, которые могли быть закрыты
• Более чем 90% успешных атак базируются на самых простых техниках
• 96% успешных взломов можно было бы избежать, если бы жертва внедрила ряд простых мер безопасности
James A. Lewis, Raising the Bar for Cybersecurity. Washington, DC: CSIS, 2013
20 Критических Контролей SANS
5 принципов, на которых построена эффективная кибер-защита на базе Критических Контролей: 1. Атакующие информируют защищающихся: использование информации об
актуальных атаках для построения защиты
2. Приоритезация: следует инвестировать в меры, которые принесут наибольший эффект и закроют основные угрозы
3. Метрики: необходимо понимать, как измерять прогресс
4. Непрерывный мониторинг: непрерывный мониторинг эффективности текущих мер безопасности
5. Автоматизация: автоматизация защиты и контроля установленных метрик
20 Критических Мер по ИБ SANS
••
••
Уязвимости
Системы и Приложения без установленных обновлений, закрывающих известные уязвимости: - Железо - Операционные системы - Приложения - Базы данных - Сетевое оборудование
Приложения и Операционные системы не сконфигурированные по защищённым стандартам: - Настройки по умолчанию - Неотслеженные изменения конфигурации
Уязвимости в Веб-приложениях и Веб-сервисах: - Небезопасный код - Неправильная обработка параметров - Необновлённые библиотеки
Уязвимости в браузерах и их плагинах
Отсутствие представления о своей инфраструктуре
7
• Управление Рисками
• Управление угрозами
• Понимание картины безопасности
• Аудит ИТ процессов
Цели Управления Уязвимостями
Сканирование VS Управление
10
Сканирование на уязвимости• Однократная операция
• Очень тяжело измерять процесс в долгосрочной перспективеo Снижаете ли Вы риски?o Какие процессы работают (или не работают) у Вас в организации?
o Соответствуете ли Вы требованиям?
• Избыточное количество данных без контекста
• Только в определённые моменты времени
11
Управление уязвимостями
• Контекст, контекст и ещё раз контекст
• Ответственность
• Не только про сканированиеo Обнаружениеo Приоритезация o Устранение o Отслеживание
• Должна существовать программа управления уязвимостямиo Целиo Критерии успехаo Параметры измеренийo Повторяемые процессыo Связь с другими программами
12
• Отсутствие формализованного процесса
• Люди не вовлечены и отсутствие поддержки руководства
• Неправильные Данныеo (false positives, false negatives и тд)
• Данные без контекстаo Чем отличается уязвимость 5 уровня на сервере и на рабочей станции?
o Нет смысла для людей, читающих отчёты об уязвимостях
• Не своевременное предоставление информацииo Редкое (ежегодное, ежеквартальное) сканированиеo Редкая отчётность
Почему программы Управления Уязвимостями не работают
Построение программыУправления Уязвимостями
Как достичь успеха
4 составляющих успеха
Люди
Процессы
Безопасность Политика
15
Люди
Цель/стратегияo Есть ли формализованное описание процесса?
o Каковы цели программы управления уязвимостями?
Их место в организации
o Руководствоo CIOo CISOo Администраторыo Бизнес
Что важно для людейo Uptimeo Выглядеть хорошо в организацииo Быть защищённымиo Быть Compliant
16
Процесс • Как часто Вы сканируете?
o Еженедельноo Ежедневноo Ежемесячно
• Как часто делаете отчёты?o Еженедельноo Ежедневноo Ежемесячно
• Что Вы измеряете?o Открытые уязвимостиo Закрытые уязвимостиo Не вовремя закрытые уязвимости
• Как Вы приоритезируете патчи?o Высокий рискo Низкий рискo CVSS
• Как Вы обновляете системы?o Windowso Unixo Сетевое оборудование
• Как Вы классифицируете ресурсы?
17
Безопасность Все ли уязвимости одинаковы?o Zero Dayo Уязвимости без патчей, но с
альтернативным решением
Сколько у вас уязвимостей?
Какой контекст у уязвимостей?o Как Вы классифицировали уявимости?o Как Вы классифицируете каждую
несоответствие требованиям?
Как Вы измеряете безопасность?o SLAo Инцидентыo Количество уязвимостейo Количество закрытых рисков
Каким требованиям Вы должны соответствовать?
o PCIo SOXo ISOo COBITo и тд
18
Политика
Вы не одниo Партнёры с ITo Отдел внутреннего аудитаo Руководство
Уважайте людейo Помогайте им достичь их целейo Эти процессы не про наказание, они
про улучшение и совершенствование
Отчётностьo Как можно более точно проверяйте
уязвимостиo Если Вы что-то написали, это должно быть
правдойo Всегда будут обиженные людиo Не показывайте то, что нельзя починитьo Делайте отчёты, которые рассказывают
историю
Как строить программу Управления Уязвимостями
Подготовка
Обязательная подготовка
Управление рисками/угрозами – Что важно именно для Вашей организации? – Какие риски Вы закрываете с помощью своей программы? – Какие угрозы закрываете? – Возможно ли посчитать ущерб от инцидента?
Классификация систем – Классификация по критичности – Классификация по типу и местоположению – Владельцы (owners & custodians)
Карта сети от ИТ службы
Политика по Управлению Уязвимостями Содержание
• Область применения политики и аудитория • Ответственные лица + участники процесса • Процесс обнаружения уязвимостей • Процесс проверки конфигураций оборудования / баз данных
• Описание процесса устранения уязвимостей • Процесс разработки • Процесс установке патчей • Тестирование обновлений • Ввод в эксплуатацию новых систем • Управление исключениями • Процесс изоляции систем
Как строить программу Управления Уязвимостями
Внедрение
Начинайте с малого
Увеличивайте область охвата по мере закрытия проблем
Не пытайтесь внедрить сразу несколько процессов (установка патчей, устранение уязвимостей, проверка конфигураций оборудования)
Обучение, обучение и ещё раз обучение
Решения Qualys
Установлен более чем в 103 странах в 7000+ организациях 1 миллиард+ сканирований в год & 400+ миллиардов событий безопасности
с низким уровнем false positives
Security & Compliance Cloud Platform
25
Облачная Архитектура
VMware ESX and ESXi
Физические сканеры Плагины для
браузера
Мобильные агенты
Виртуальные сканеры
Hypervisor
Решение для облака Amazon Внешнее
сканирование
26
27
Облачная платформа Qualys
*In Beta
Vulnerability Management
Policy Compliance
Customizable Questionnaires
PCI DSS
Web Application Scanning
Malware Detection
Web Application Firewall
Web Application Log Analysis
Continuous Monitoring
* * *
Asset Management
VMVMAMAMCMCM PCIPCI PCPC QSQS MDSMDS LMLMWASWAS WAFWAF* *
Интеграция Qualys со сторонними продуктами
Web App Firewall
IT GRC
SIEM/Log Management
Ticketing with Qualys TNE
IDS/IPS
Access Management
Risk Management
Pen Test
QualysG
uard APIs VMVM
PCPC
WASWAS
28
20 Критических Контролей SANS
VMVM
Vulnerability Management
PCPC
PolicyCompliance
PCIPCI
PCICompliance
Web ApplicationFirewall
*WAFWAFWASWAS
Web ApplicationScanning
MDSMDS
MalwareDetection Service
SECURESeal
VMVM
Vulnerability Management
PCPC
PolicyCompliance
PCIPCI
PCICompliance
Web ApplicationFirewall
*WAFWAFWASWAS
Web ApplicationScanning
MDSMDS
MalwareDetection Service
SECURESeal
VMVM
Vulnerability Management
PCPC
PolicyCompliance
PCIPCI
PCICompliance
Web ApplicationFirewall
*WAFWAFWASWAS
Web ApplicationScanning
MDSMDS
MalwareDetection Service
SECURESeal
VMVM
Vulnerability Management
PCPC
PolicyCompliance
PCIPCI
PCICompliance
Web ApplicationFirewall
*WAFWAFWASWAS
Web ApplicationScanning
MDSMDS
MalwareDetection Service
SECURESeal
VMVM
Vulnerability Management
PCPC
PolicyCompliance
PCIPCI
PCICompliance
Web ApplicationFirewall
*WAFWAFWASWAS
Web ApplicationScanning
MDSMDS
MalwareDetection Service
SECURESeal
VMVM
Vulnerability Management
PCPC
PolicyCompliance
PCIPCI
PCICompliance
Web ApplicationFirewall
*WAFWAFWASWAS
Web ApplicationScanning
MDSMDS
MalwareDetection Service
SECURESeal
VMVM
Vulnerability Management
PCPC
PolicyCompliance
PCIPCI
PCICompliance
Web ApplicationFirewall
*WAFWAFWASWAS
Web ApplicationScanning
MDSMDS
MalwareDetection Service
SECURESeal
VMVM
Vulnerability Management
PCPC
PolicyCompliance
PCIPCI
PCICompliance
Web ApplicationFirewall
*WAFWAFWASWAS
Web ApplicationScanning
MDSMDS
MalwareDetection Service
SECURESeal
VMVM
Vulnerability Management
PCPC
PolicyCompliance
PCIPCI
PCICompliance
Web ApplicationFirewall
*WAFWAFWASWAS
Web ApplicationScanning
MDSMDS
MalwareDetection Service
SECURESeal
VMVM
Vulnerability Management
PCPC
PolicyCompliance
PCIPCI
PCICompliance
Web ApplicationFirewall
*WAFWAFWASWAS
Web ApplicationScanning
MDSMDS
MalwareDetection Service
SECURESeal
VMVM
Vulnerability Management
PCPC
PolicyCompliance
PCIPCI
PCICompliance
Web ApplicationFirewall
*WAFWAFWASWAS
Web ApplicationScanning
MDSMDS
MalwareDetection Service
SECURESeal
VMVM
Vulnerability Management
PCPC
PolicyCompliance
PCIPCI
PCICompliance
Web ApplicationFirewall
*WAFWAFWASWAS
Web ApplicationScanning
MDSMDS
MalwareDetection Service
SECURESeal
VMVM
Vulnerability Management
PCPC
PolicyCompliance
PCIPCI
PCICompliance
Web ApplicationFirewall
*WAFWAFWASWAS
Web ApplicationScanning
MDSMDS
MalwareDetection Service
SECURESeal
VMVM
Vulnerability Management
PCPC
PolicyCompliance
PCIPCI
PCICompliance
Web ApplicationFirewall
*WAFWAFWASWAS
Web ApplicationScanning
MDSMDS
MalwareDetection Service
SECURESeal
VMVM
Vulnerability Management
PCPC
PolicyCompliance
PCIPCI
PCICompliance
Web ApplicationFirewall
*WAFWAFWASWAS
Web ApplicationScanning
MDSMDS
MalwareDetection Service
SECURESeal
VMVM
Vulnerability Management
PCPC
PolicyCompliance
PCIPCI
PCICompliance
Web ApplicationFirewall
*WAFWAFWASWAS
Web ApplicationScanning
MDSMDS
MalwareDetection Service
SECURESeal
VMVM
Vulnerability Management
PCPC
PolicyCompliance
PCIPCI
PCICompliance
Web ApplicationFirewall
*WAFWAFWASWAS
Web ApplicationScanning
MDSMDS
MalwareDetection Service
SECURESeal
••
••
Как строить программу Управления Уязвимостями
Резюмируя
Ни одна система не решит Ваши проблемы автоматом
Вы не сможете всё починить
Ищите причины проблем
95% работы будет связано с людьми
Подарок
Demo-‐версия Qualys на всю Вашу инфраструктуру на 30 дней
Спасибо! [email protected]
Top Related