Уровень угрозы критический, эксплойт находится в открытом доступе, а пострадавшая система поддерживает производственное приложение. Отделу безопасности необходимо снизить риск до того, как его смогут использовать злоумышленники.
Команды инфраструктуры и разработки несут иную ответственность. Им нужно понимать, не заблокирует ли предлагаемое действие легитимный трафик, не потребит ли дополнительные ресурсы, не повлияет ли на доступность или не прервет ли работу системы, от которой зависит бизнес. Им также необходим безопасный путь возврата к исходному состоянию, если изменения поведут себя неожиданным образом.
Обе стороны защищают организацию. Метод безопасного устранения уязвимостей (Safe Remediation) предоставляет им данные для совместных действий.
Safe Remediation: Confident Remediation in Production рассматривает, как Check Point Exposure Management оценивает действия по устранению уязвимостей в текущих производственных условиях, применяет одобренные изменения с помощью существующих средств контроля и подтверждает результат.
Основные выводы
- Приоритизация выявляет уязвимости, но не проверяет производственные изменения. Перед применением мер по-прежнему требуются операционные данные.
- Проверка должна соответствовать средству контроля. Действия систем IPS, операционных систем, конечных точек и применения индикаторов требуют различных форм подтверждения.
- Кибербезопасность при устранении уязвимостей выходит за рамки установки патчей. Существующие средства контроля могут обеспечить защиту, пока постоянные исправления проходят тестирование и контроль изменений.
- Временная защита должна отличаться от постоянного устранения. Командам необходима прозрачность в отношении остаточных рисков и невыполненной работы.
- Выполнение не означает завершение. Контролирующая система должна подтвердить, что действие достигло целевого состояния.
Приоритизация — это только начало
Приоритизация уязвимостей на основе рисков помогает командам определить, с чего следует начать работу. Возможность эксплойта, контекст активов, активность угроз, существующее покрытие безопасности и доступные средства контроля позволяют сузить большой список до меньшего набора уязвимостей, требующих вмешательства.
В одной из тестовых сред, описанных в техническом документе, было выявлено 338 уязвимостей. Среди них 283 имели оценку CVSS 7 или выше, 89 имели подтвержденный общедоступный эксплойт, а 63 были отмечены кибернетическим агентством как активно используемые. С учетом существующих средств защиты для одной из уязвимостей не нашлось компенсирующего контроля.
Базовые уязвимости по-прежнему требовали внимания, но пути их немедленного устранения различались. Существующее средство контроля могло обеспечить защиту, пока патч проходил тестирование. Защита, работающая в режиме обнаружения (Detect), могла потребовать дополнительной проверки перед применением. Активно эксплуатируемая уязвимость без компенсирующих мер требовала срочных действий.
Приоритизация определяет, почему необходимы действия. Безопасное устранение определяет, как применить реагирование, не теряя из виду стабильность производства.
Переход от приоритетов к производству требует повторяемого способа оценки, выполнения и проверки изменений.
Как работает безопасное устранение уязвимостей
Безопасное устранение состоит из четырех этапов, которые связывают приоритизированную уязвимость с проверенным производственным результатом.
Наблюдение (Observe)
Наблюдение собирает актуальную информацию из систем безопасности и ИТ, включая данные об уязвимостях, активность IPS, журналы доступа, использование устройств, политики конечных точек, записи об управлении патчами и состояния конфигураций.
Процесс использует безагентную модель, опираясь на телеметрию и API систем, уже работающих в инфраструктуре. Это предоставляет данные об используемых активах и средствах контроля без внедрения дополнительных агентов.
Подтверждение (Prove)
Подтверждение оценивает предлагаемое действие с использованием данных, подходящих для конкретной технологии.
Защита IPS может проверять производственный трафик в режиме обнаружения (Detect), пока команды оценивают ложные срабатывания, поведение трафика и производительность устройств. Усиление безопасности операционной системы может начаться со скрипта обнаружения и продолжиться развертыванием для контролируемой тестовой группы. Политики конечных точек можно сравнить с базовыми стандартами безопасности поставщика, используя данные конфигурации из поддерживаемых API.
Метод проверки следует за действием. Производственный трафик обосновывает решение IPS, в то время как тестирование на уровне хоста предоставляет данные для изменения операционной системы.
Этот шаг дает командам безопасности уверенность в том, что действие снизит риски, а владельцам инфраструктуры — информацию об ожидаемом влиянии на производство.
Действие (Act)
Действие применяет одобренное изменение через систему, отвечающую за средство контроля.
Изменения IPS могут распространяться через сервер управления безопасностью. Усиление операционной системы может использовать существующую инфраструктуру управления патчами. Поддерживаемые изменения конечных точек могут записываться через API поставщика.
Согласования могут оставаться между этапами проверки и выполнения, сохраняя авторизацию, подотчетность и установленный контроль изменений.
Проверка результата (Confirm)
Проверка результата подтверждает, что действие достигло целевого состояния.
Применение IPS подтверждается после установки политик. Усиление операционной системы повторяет проверку затронутых хостов. Изменения конечных точек отражаются в среде поставщика.
Результатом является прослеживаемая запись, связывающая исходную уязвимость, подтверждающие данные, одобренное действие и подтвержденное производственное состояние.
Устранение выходит за рамки установки патчей
Управление патчами играет важную роль в жизненном цикле уязвимостей, но производственные сроки могут не совпадать со срочностью угрозы.
Тестирование, координация, планирование отката и запланированные окна изменений могут задерживать постоянное исправление. В этот период существующее средство контроля может снизить непосредственные риски за счет прерывания пути эксплойта.
Виртуальный патч или защита IPS могут защитить приложение, пока продолжается тестирование исправления. Индикаторы из лент аналитики угроз могут быть дедуплицированы и сопоставлены с совместимыми точками принудительного применения. Конфигурации операционных систем и конечных точек могут быть укреплены с помощью существующих систем управления. Фишинговые сайты, поддельные профили, вредоносные приложения и инфраструктура злоумышленников могут потребовать блокировки или нейтрализации.
Технический документ охватывает прямое и виртуальное патчинги, активацию и настройку IPS, применение индикаторов, усиление защиты операционных систем и конечных точек, устранение проблем работоспособности систем, компенсирующие средства контроля и ликвидацию инфраструктуры.
Постоянное устранение и временная защита остаются раздельными состояниями. Команды видят, что устраняет действие, что остается нерешенным и требуется ли дальнейшая работа.
От приоритизированной уязвимости к проверенному действию
Безопасное устранение проводит производственное решение через этапы выполнения и подтверждения, помогая командам сохранять видимость от исходной уязвимости до результирующего состояния.
В средах, проанализированных в техническом документе, действия по устранению уязвимостей показали процент успешности 99,5%. В исследованных средах в среднем выполнялось 381,2 действия по устранению в месяц, а на переход от выявления уязвимости к действию уходило девять часов. Эти выводы применимы к организациям, включенным в анализ.
Check Point Exposure Management объединяет аналитику угроз, приоритизацию на основе рисков, проверку и безопасное устранение уязвимостей в рамках существующих средств контроля и рабочих процессов. Команды безопасности и ИТ получают общий процесс для безопасного снижения рисков при одновременной защите производственной производительности, доступности приложений и непрерывности бизнеса.
Чтобы ознакомиться с полной технической базой, процессами устранения уязвимостей, выводами и рекомендациями, прочтите и изучите Safe Remediation Starter Pack.
Запросите демо, чтобы узнать, как Check Point Exposure Management помогает командам безопасности переходить от приоритезированных рисков к валидированным, контролируемым и проверенным действиям.
