Risk-Based Approach to Vulnerability Prioritization by Health-ISAC

Основное ‎внимание‏ ‎в документе ‎«Health-ISAC: ‎Risk-Based ‎Approach ‎to‏ ‎Vulnerability ‎Prioritization» уделяется‏ ‎пропаганде‏ ‎более ‎тонкого ‎и‏ ‎риск-ориентированного ‎подхода‏ ‎к ‎бесполезно-полезной ‎задаче ‎управления‏ ‎уязвимостями.‏ ‎И ‎всё‏ ‎это ‎в‏ ‎мире, ‎где ‎количество ‎уязвимостей ‎настолько‏ ‎велико,‏ ‎что ‎это‏ ‎может ‎довести‏ ‎любого, ‎кто ‎попытается ‎их ‎все‏ ‎исправить,‏ ‎до‏ ‎нервного ‎срыва.‏ ‎Решение ‎видится‏ ‎«радикальным» ‎и‏ ‎инновационным‏ ‎— ‎расставлять‏ ‎приоритеты ‎на ‎основе ‎реального ‎риска,‏ ‎а ‎не‏ ‎просто‏ ‎бегать, ‎как ‎безголовый‏ ‎всадник, ‎пытаясь‏ ‎справиться ‎с ‎оценкой ‎CVSS‏ ‎пока‏ ‎с ‎неба‏ ‎падают ‎апокалиптичные‏ ‎коты.

В ‎документе ‎признается ‎абсурдность ‎традиционного‏ ‎подхода‏ ‎«это ‎надо‏ ‎было ‎исправить‏ ‎ещё ‎вчера», ‎учитывая, ‎что ‎только‏ ‎2–7%‏ ‎опубликованных‏ ‎уязвимостей ‎когда-либо‏ ‎эксплуатировались. ‎Это‏ ‎все ‎равно‏ ‎что‏ ‎каждый ‎день‏ ‎готовиться ‎ко ‎всем ‎возможным ‎стихийным‏ ‎бедствиям, ‎а‏ ‎не‏ ‎только ‎к ‎тем,‏ ‎которые, ‎скорее‏ ‎всего, ‎обрушатся ‎на ‎ваш‏ ‎район.‏ ‎В ‎документе‏ ‎представлен ‎набор‏ ‎методов, ‎в ‎том ‎числе ‎EPSS‏ ‎и‏ ‎SSVC, ‎которые‏ ‎призваны ‎помочь‏ ‎организациям ‎разобраться ‎в ‎хаосе ‎уязвимостей‏ ‎со‏ ‎снайперской‏ ‎точностью ‎(ну‏ ‎или ‎обесточить‏ ‎всё).

По ‎сути,‏ ‎документ‏ ‎представляет ‎собой‏ ‎призыв ‎к ‎организациям ‎принять ‎более‏ ‎стратегический, ‎целенаправленный‏ ‎подход,‏ ‎учитывающий ‎такие ‎факторы,‏ ‎как ‎фактическая‏ ‎возможность ‎использования ‎уязвимости, ‎стоимость‏ ‎активов,‏ ‎подверженных ‎риску,‏ ‎и ‎то,‏ ‎находится ‎ли ‎уязвимый ‎объект ‎в‏ ‎Интернете‏ ‎или ‎скрывается‏ ‎за ‎уровнями‏ ‎контроля ‎безопасности. ‎Документ ‎в ‎очередной‏ ‎раз‏ ‎пытается‏ ‎продать ‎идею‏ ‎работать ‎умнее,‏ ‎а ‎не‏ ‎усерднее,‏ ‎в ‎кибербезопасном‏ ‎эквиваленте ‎бесконечной ‎игры ‎в ‎тетрис,‏ ‎где ‎кубики‏ ‎просто‏ ‎летят ‎все ‎быстрее‏ ‎и ‎быстрее.

Ключевые‏ ‎выводы

Итак, ‎давайте ‎погрузимся ‎в‏ ‎захватывающий‏ ‎мир ‎управления‏ ‎уязвимостями. ‎Если‏ ‎вы ‎молодая ‎организация, ‎у ‎вас‏ ‎может‏ ‎возникнуть ‎соблазн‏ ‎устранить ‎все‏ ‎критические ‎и ‎близкие ‎к ‎ним‏ ‎уязвимости‏ ‎с‏ ‎помощью ‎системы‏ ‎оценки ‎в‏ ‎выбранном ‎инструменте‏ ‎сканирования.‏ ‎Это ‎все‏ ‎равно ‎что ‎пытаться ‎купить ‎весь‏ ‎фондовый ‎рынок‏ ‎в‏ ‎попытке ‎диверсифицироваться.

Не ‎всегда‏ ‎требуется ‎пользоваться‏ ‎самые ‎критичными ‎уязвимостями; ‎вместо‏ ‎этого‏ ‎набор ‎из‏ ‎менее ‎критичных‏ ‎уязвимостей ‎могут ‎объединить ‎в ‎цепочку‏ ‎эксплойтов,‏ ‎чтобы ‎получить‏ ‎доступ ‎к‏ ‎системам.

Документ ‎напоминает, ‎что ‎также ‎необходимо‏ ‎учитывать‏ ‎сетевое‏ ‎расположение ‎«активов».‏ ‎Уязвимости ‎и‏ ‎неправильные ‎настройки‏ ‎всегда‏ ‎должны ‎быть‏ ‎в ‎приоритете, ‎иначе ‎вашей ‎компании‏ ‎стоит ‎обратиться‏ ‎к‏ ‎дизайнерам ‎за ‎неоновой‏ ‎вывеской ‎приглашающей‏ ‎зайти ‎в ‎клуб ‎повеселиться.

Также‏ ‎не‏ ‎будем ‎забывать‏ ‎об ‎игре‏ ‎в ‎«Монополию», ‎т. ‎е. ‎о‏ ‎стоимости‏ ‎активов, ‎только‏ ‎вместо ‎собственности‏ ‎вы ‎имеете ‎дело ‎с ‎активами‏ ‎организации.‏ ‎Если‏ ‎устройство, ‎имеющее‏ ‎первостепенное ‎значение‏ ‎для ‎функционирования‏ ‎бизнеса‏ ‎или ‎содержащее‏ ‎критически ‎важную ‎информацию, ‎будет ‎скомпрометировано,‏ ‎вас ‎мало‏ ‎будут‏ ‎беспокоить ‎остальное ‎(поэтому‏ ‎уберите ‎бутылку‏ ‎виски ‎с ‎кнопки ‎DELETE).

В‏ ‎то‏ ‎же ‎время,‏ ‎важно ‎думать‏ ‎о ‎снижении ‎риска ‎в ‎случае‏ ‎применения‏ ‎уязвимости. ‎В‏ ‎идеале ‎—‏ ‎уязвимость ‎должна ‎сработать ‎в ‎песочнице‏ ‎и‏ ‎не‏ ‎оказать ‎никакого‏ ‎эффекта ‎на‏ ‎другие ‎узлы‏ ‎и‏ ‎устройства. ‎Так‏ ‎что ‎нанимайте ‎серьёзных ‎ребят, ‎которые‏ ‎будут ‎яростно‏ ‎выкидывать‏ ‎железо ‎из ‎окон‏ ‎в ‎качестве‏ ‎компенсационных ‎мер.

Наконец, ‎есть ‎система‏ ‎оценки‏ ‎прогнозирования ‎эксплойтов‏ ‎(EPSS) ‎и‏ ‎классификация ‎уязвимостей ‎для ‎конкретных ‎заинтересованных‏ ‎сторон‏ ‎(SSVC). ‎EPSS‏ ‎подобен ‎хрустальному‏ ‎шару, ‎предсказывающему ‎вероятность ‎того, ‎что‏ ‎уязвимость‏ ‎будет‏ ‎использована ‎в‏ ‎реальности. ‎SSVC,‏ ‎с ‎другой‏ ‎стороны,‏ ‎подобен ‎персонализированной‏ ‎дорожной ‎карте, ‎ориентированной ‎на ‎ценности,‏ ‎включая ‎статус‏ ‎использования‏ ‎уязвимости ‎в ‎системе‏ ‎безопасности, ‎её‏ ‎влияние ‎на ‎неё ‎и‏ ‎распространённость‏ ‎затронутых ‎продуктов.

Такой‏ ‎подход ‎позволяет‏ ‎высвободить ‎больше ‎времени ‎и ‎на‏ ‎другие‏ ‎задачи ‎и‏ ‎проблемы ‎организации‏ ‎ну, ‎или ‎же, ‎весело ‎провести‏ ‎время‏ ‎на‏ ‎американских ‎горках.

Подробный‏ ‎разбор