Редакция журнала "Информационная безопасность", 14/04/25
Одна из наиболее острых проблем – лавинообразный рост количества уязвимостей и скорость появления эксплойтов для них. Заказчики сталкиваются с постоянно растущим бэклогом невыполненных исправлений. Отдел ИБ должен выстраивать процессы так, чтобы не утонуть в этой волне. Редакция журнала "Информационная безопасность" поинтересовалась, какие рекомендации могут дать эксперты.
Вадим Матвиенко, Газинформсервис
Многие компании обращаются в коммерческие SOC или выстраивают собственные SOC. В SOC выстроены процессы по определению приоритетов и критичности уязвимостей в ИТ-активах.
Если же необходимо в рамках отдела информационной безопасности решать задачи по снижению рисков, связанных с уязвимыми активами, то важно выработать четкий регламент по исправлению уязвимостей. Он должен включать: инвентаризацию инфраструктуры, процесс классификации уязвимостей, процесс приоритизации уязвимостей, процесс устранения уязвимостей, а также мониторинг и контроль всех перечисленных процессов. При этом важно максимально автоматизировать все этапы.
Сергей Кукарский, ScanFactory
Приоритизация уязвимостей – важнейшая часть процесса VM, которая должна быть автоматизирована, а также дополнена такими данными как бизнес-ценность актива, наличие эксплойта, специальных вендорских метрик по уязвимости. Мы в своем решении используем ряд таких метрик и данных.
Андрей Селиванов, R-Vision
В организации должна быть внедрена VM-система, на базе которой можно будет агрегировать данные об ИТ-инфраструктуре из различных источников. Для выявления наиболее критичных уязвимостей необходимо выстроить такой процесс, в ходе которого ключевым моментом станет создание ресурсно-сервисной модели активов с точной оценкой их критичности. После чего необходимо настроить точную приоритизацию уязвимостей, чтобы в первую очередь устранялись самые опасные из них.
Александр Леонов, Positive Technologies
Мы рекомендуем выстраивать свои ИT-инфраструктуры таким образом, чтобы установка обновлений безопасности происходила максимально безболезненно. Кроме того, важно в первую очередь устранять трендовые уязвимости на ключевых и целевых ИT-активах организации. Следует настраивать ИТ-активы в соответствии с рекомендациями по безопасной настройке, чтобы усложнить злоумышленникам эксплуатацию уязвимостей. Об этом мы рассказываем на практикуме по управлению уязвимостями.
Александр Дорофеев, Эшелон Технологии
С этим можно справиться только грамотно применяя риск-ориентированный подход, основанный на хорошем понимании защищаемой инфраструктуры и критичности активов, знании вероятных векторов атак и хорошем сканере уязвимостей с постоянно обновляемой базой уязвимостей, обогащенной данными о возможности эксплуатации.
Андрей Никонов, Фродекс
Во-первых, регулярно обновляйте активы. Это снимет большое количество проблем с уязвимостями. Главное – помнить про тестирование обновлений перед распространением. Во-вторых, проводите учет ПО в инфраструктуре и старайтесь сдерживать его рост. В идеале стоит выработать ограниченный набор разрешенного ПО – это также снизит количество уязвимостей и упростит их устранение. Если вышесказанное не помогло – прорабатывайте приоритизацию и сроки устранения уязвимостей с фокусом на периметр и критические активы.
Роман Овчинников, Security Vision
Прежде всего необходимо сформировать корпоративную политику управления уязвимостями. За основу можно взять, например, публикацию NIST SP 800–40, в соответствии с которой жизненный цикл управления уязвимостями состоит из этапов обнаружения и учета активов, планирования (оценка опасности уязвимости, выбор метода обработки уязвимости), реализации выбранного метода (установка патчей, отключение уязвимого сервиса, изменение конфигурации актива, внедрение компенсирующих мер), проверки эффективности предпринятых действий (патч или безопасная конфигурация корректно применены), дальнейшего непрерывного мониторинга (что конфигурация не изменится, а патч не будет удален случайно или намеренно). Важно также получать данные об уязвимостях из различных источников (реестры БДУ ФСТЭК, MITRE CVE, NIST NVD, Exploit-DB, AttackerKB, бюллетени безопасности регуляторов и вендоров), обогащать информацию по уязвимостям TI-данными, приоритизировать уязвимости (например, используя метрики CVSS v.4.0, EPSS, CISA KEV, CISA SSVC, следую рекомендациям документа "Методика оценки уровня критичности уязвимостей программных, программно-аппаратных средств" ФСТЭК России).
