Daudzi uzņēmumi ievainojamību skenēšanu saista ar ikgadējo drošības auditu: reizi gadā ierodas auditori, palaiž skeneri un iesniedz pārskatu, pilnu sarkanu šūnu, un IT nodaļa pāris nedēļas visu labo. Pēc tam līdz nākamajam gadam ir miers.
Problēma ir tā, ka starp diviem auditiem paiet divpadsmit mēneši. Šajā laikā ražotāji publicē tūkstošiem jaunu ievainojamību, un uzbrucēji tās sāk izmantot dažu dienu, nevis mēnešu laikā. Ikgadējs pārskats rāda pagātni, nevis pašreizējo stāvokli.
Šajā rakstā skaidrojam, kas patiesībā ir ievainojamība un CVE, ar ko skenēšana atšķiras no penetrācijas testa, kā noteikt prioritātes, lai IT komanda nenoslīktu sarakstā, un kāpēc ikmēneša cikls NIS2 vai DORA auditam ir nevis greznība, bet minimums.
Kas ir ievainojamība un ko nozīmē CVE
Ievainojamība ir trūkums programmatūrā vai konfigurācijā, ko var izmantot, lai panāktu kaut ko nevēlamu: iekļūt bez paroles, palaist svešu kodu, nolasīt svešus datus. Tā var būt operētājsistēmā, pārlūkprogrammā, servera lietojumprogrammā, tīkla ierīcē vai pat printerī.
CVE (Common Vulnerabilities and Exposures) ir publisks zināmo ievainojamību reģistrs. Katrai tiek piešķirts identifikators, piemēram, CVE-2026-12345, apraksts un bīstamības vērtējums CVSS skalā no 0 līdz 10. Vērtējums parāda, cik lielu kaitējumu var nodarīt un cik viegli to izdarīt.
Praktiskā problēma: CVSS vērtējums neko nezina par jūsu uzņēmumu. Desmit ballēs novērtēta ievainojamība izolētā sistēmā, kas no interneta nav sasniedzama, var būt mazāk steidzama nekā septiņu balļu ievainojamība publiski pieejamā VPN iekārtā.
Vēl viena bieža kļūda ir pieņemt, ka ievainojamības ir tikai serveros. Mūsu pieredzē lielākā daļa kritisko atklājumu ir tīkla ierīcēs, kuru programmaparatūra nav atjaunināta kopš to iegādes, un darbstacijās ar vecām pārlūkprogrammu vai PDF lasītāju versijām.
Skenēšana un penetrācijas testēšana ir dažādi rīki
Šos divus pakalpojumus bieži jauc, taču tie atbild uz dažādiem jautājumiem.
Ievainojamību skenēšana ir automātiska. Skeneris pārbauda katru ierīci tīklā, salīdzina atrastās programmatūras versijas un konfigurācijas ar CVE reģistru un izveido sarakstu: kas, kur, cik bīstami. Tā ir ātra (stundas), atkārtojama un salīdzinoši lēta, tāpēc der regulārai izmantošanai.
Penetrācijas tests ir manuāls darbs. Speciālists uzvedas kā uzbrucējs: mēģina savienot vairākas ievainojamības īstā uzbrukumā, pārvietoties no vienas sistēmas uz otru un sasniegt konkrētu mērķi. Tas aizņem dienas vai nedēļas un atbild uz jautājumu „vai kāds var ielauzties”, nevis „kādi vājie punkti pastāv”.
| Jautājums | Skenēšana | Penetrācijas tests |
|---|---|---|
| Kas to dara | Programmatūra | Cilvēks |
| Biežums | Katru mēnesi vai biežāk | Reizi gadā vai pēc lielām izmaiņām |
| Rezultāts | Ievainojamību saraksts ar vērtējumiem | Uzbrukuma scenārijs un sekas |
| Atbild uz jautājumu | Kas jāatjaunina | Vai aizsardzība kopumā darbojas |
Viens neaizstāj otru. Penetrācijas tests bez regulāras skenēšanas atrod robus, ko skeneris būtu parādījis pirms sešiem mēnešiem. Skenēšana bez testa neparāda, vai vairāki mazi robi kopā neveido lielu.
Kāpēc katru mēnesi
Mūsu pieredzē vissvarīgākie ir trīs iemesli.
Pirmkārt, atjauninājumu cikls. Microsoft, pārlūkprogrammu ražotāji un lielākā daļa citu ielāpus izdod katru mēnesi. Skenēšana pēc katra cikla parāda, kas uzstādīts un kas ne. Bez tās par trūkstošu atjauninājumu uzzināsiet tikai pēc incidenta.
Otrkārt, vide mainās. Katru mēnesi parādās jauns dators, jauns serveris vai jauna lietojumprogramma, un kāds „uz laiku” atver portu. Ikgadēja skenēšana šīs izmaiņas neredz vienpadsmit mēnešus.
Treškārt, laiks starp atklāšanu un izmantošanu. Kad populārā VPN vai pasta sistēmā tiek publicēta kritiska ievainojamība, masveida mēģinājumi to izmantot sākas dažu dienu laikā. Ja par to uzzināt no ikgadēja pārskata, jau ir par vēlu.
Dažās situācijās mēnesis ir pārāk ilgs: publiski pieejamos serverus un tīkla ierīces skenējam katru nedēļu un nekavējoties pēc kritiskiem CVE.
Kā noteikt prioritātes, lai komanda nenoslīktu
Pirmajā pārskatā tipiskam uzņēmumam ar 50 darbstacijām ir vairāki simti rindu. Visu labot uzreiz nav iespējams un nav nepieciešams. Prioritāšu loģika:
- Sasniedzamība no interneta. Viss, kam ir publiska IP adrese vai atvērts ports, ir pirmajā vietā neatkarīgi no vērtējuma.
- Zināma aktīva izmantošana. CVE, kas jau izmantotas īstos uzbrukumos, ir otrajā vietā, pat ja CVSS vērtējums ir vidējs.
- Sistēmas nozīme. Domēna kontrolieris, grāmatvedības serveris un e-pasts pirms testa servera.
- CVSS vērtējums ir tikai ceturtais kritērijs, kad pirmie trīs ir vienādi.
- Vecas ievainojamības, kas atkārtojas katru mēnesi, ir atsevišķa kategorija: parasti tā ir sistēma, ko neviens vairs neatjaunina, un risinājums nav ielāps, bet nomaiņa vai izolēšana.
Rezultāts ir desmit vai divdesmit punktu saraksts, ko var paveikt mēneša laikā, nevis trīs simti, kas biedē un tāpēc tiek atlikti.
Atjaunināšanas logs un kas notiek pēc skenēšanas
Skenēšana bez atjauninājumiem ir tikai pārskats. Klientiem nosakām fiksētu atjaunināšanas logu: piemēram, darbstacijām otrdienas naktī pēc tam, kad Microsoft izdod ielāpus, serveriem ceturtdienas naktī pēc testēšanas. Darbinieki zina, kad viņu dators pārstartēsies, un grāmatvedība zina, kad serveris būs nepieejams 20 minūtes.
Cikls izskatās šādi: skenēšana, prioritāšu saraksts, atjauninājumi logā, atkārtota skenēšana, kas apstiprina, ka robi ir aizvērti. Tas, ko nevar labot nekavējoties, paliek pārskatā ar iemeslu un termiņu.
Ja atjauninājumu nevar uzstādīt (piemēram, ražotājs sistēmu vairs neatbalsta vai ielāps testēšanā sabojājās), piemērojam kompensējošu kontroli: ierobežojam piekļuvi ar ugunsmūri, ieslēdzam papildu EDR noteikumu vai pārceļam sistēmu uz izolētu tīkla segmentu. Pārskatā tas tiek fiksēts kā lēmums, nevis kā nepabeigts darbs.
Pārskati NIS2 un DORA auditiem
Abas regulas prasa ievainojamību pārvaldības procesu, nevis vienreizēju pārbaudi. Auditors nejautās „vai jūs skenējāt”, bet „cik bieži, kas izskata rezultātus, cik ātri novērsiet kritiskos atzinumus un kur tas dokumentēts”.
Ikmēneša cikls dod tieši to: divpadsmit pārskati gadā, katrs parāda, kas atrasts, kas novērsts un kas paliek ar pamatojumu. Finanšu sektora uzņēmumiem saskaņā ar DORA ir svarīgi arī parādīt, ka kritiskās sistēmas tiek skenētas biežāk un ka tiek aptvertas arī trešo pušu sistēmas (piemēram, mākoņpakalpojumu sniedzēja). Par NIS2 prasībām un gatavošanos tām rakstām atsevišķi.
Kā tas ir iekļauts IT apkopē
Mūsu IT apkopē ievainojamību skenēšana nav atsevišķa maksas pozīcija. Katru mēnesi skenējam visas pārvaldītās darbstacijas, serverus un tīkla ierīces, veidojam prioritāšu sarakstu, uzstādām atjauninājumus saskaņotajā logā, un klienta vadība saņem vienas lapas kopsavilkumu un pilnu pārskatu, ko var pievienot atbilstības dokumentācijai. Penetrācijas testēšana un plašāks novērtējums tiek veikti atsevišķi kā IT drošības audits.
Ar ko sākt
- Atrodiet jaunāko ievainojamību pārskatu. Ja tas ir vecāks par trim mēnešiem vai tā nav, tā jau ir jūsu atbilde.
- Uzskaitiet visu, kas sasniedzams no interneta: VPN, e-pasts, tīmekļa vietne, attālinātā darbvirsma. Skenēšana sākas tur.
- Vienojieties ar uzņēmuma nodaļām par atjaunināšanas logu, lai ielāpus neatliktu „uz brīdi, kad būs ērti”.
- Nosakiet, kas ir atbildīgs par rezultātu izskatīšanu katru mēnesi, ar vārdu.
- Ja jums nav iekšējo resursu, sazinieties ar mums. Ikmēneša ciklu iekļausim IT apkopē bez papildu maksas un sāksim ar sākotnējo skenēšanu.
