Построение процесса управления...

Павел Сотников | Управляющий Директор Восточная Европа, Кавказ и Центральная Азия

Построение процесса управления уязвимостями

20 ноября 2014

Обо мне

10+ лет в сфере ИБ

6 лет – в качестве CISO в General Electric и PricewaterhouseCoopers

Проекты по управлению уязвимостями: •  PricewaterhouseCoopers: Выстраивание процесса управления уязвимостями для Центральной и Восточной Европы (PwC – 29 стран – 15 тысяч устройств)

•  General Electric: Выстраивание процесса управления уязвимостями для России и СНГ

Сертификации: CISSP, ITILv3, Qualys, Citrix

Отчёт центра стратегических исследований США “Raising the Bar for Cybersecurity”

•  75% атак используют уже известные уязвимости, которые могли быть закрыты

•  Более чем 90% успешных атак базируются на самых простых техниках

•  96% успешных взломов можно было бы избежать, если бы жертва внедрила ряд простых мер безопасности

James A. Lewis, Raising the Bar for Cybersecurity. Washington, DC: CSIS, 2013

20 Критических Контролей SANS

5 принципов, на которых построена эффективная кибер-защита на базе Критических Контролей: 1.  Атакующие информируют защищающихся: использование информации об

актуальных атаках для построения защиты

2.  Приоритезация: следует инвестировать в меры, которые принесут наибольший эффект и закроют основные угрозы

3.  Метрики: необходимо понимать, как измерять прогресс

4.  Непрерывный мониторинг: непрерывный мониторинг эффективности текущих мер безопасности

5.  Автоматизация: автоматизация защиты и контроля установленных метрик

20 Критических Мер по ИБ SANS

••

••

Уязвимости

Системы и Приложения без установленных обновлений, закрывающих известные уязвимости: - Железо - Операционные системы - Приложения - Базы данных - Сетевое оборудование

Приложения и Операционные системы не сконфигурированные по защищённым стандартам: - Настройки по умолчанию - Неотслеженные изменения конфигурации

Уязвимости в Веб-приложениях и Веб-сервисах: - Небезопасный код - Неправильная обработка параметров - Необновлённые библиотеки

Уязвимости в браузерах и их плагинах

Отсутствие представления о своей инфраструктуре

7

•  Управление Рисками

•  Управление угрозами

•  Понимание картины безопасности

•  Аудит ИТ процессов

Цели Управления Уязвимостями

Сканирование VS Управление

10

Сканирование на уязвимости•  Однократная операция

•  Очень тяжело измерять процесс в долгосрочной перспективеo  Снижаете ли Вы риски?o  Какие процессы работают (или не работают) у Вас в организации?

o  Соответствуете ли Вы требованиям?

•  Избыточное количество данных без контекста

•  Только в определённые моменты времени

11

Управление уязвимостями

•  Контекст, контекст и ещё раз контекст

•  Ответственность

•  Не только про сканированиеo  Обнаружениеo  Приоритезация o  Устранение o  Отслеживание

•  Должна существовать программа управления уязвимостямиo  Целиo  Критерии успехаo  Параметры измеренийo  Повторяемые процессыo  Связь с другими программами

12

•  Отсутствие формализованного процесса

•  Люди не вовлечены и отсутствие поддержки руководства

•  Неправильные Данныеo  (false positives, false negatives и тд)

•  Данные без контекстаo  Чем отличается уязвимость 5 уровня на сервере и на рабочей станции?

o  Нет смысла для людей, читающих отчёты об уязвимостях

•  Не своевременное предоставление информацииo  Редкое (ежегодное, ежеквартальное) сканированиеo  Редкая отчётность

Почему программы Управления Уязвимостями не работают

Построение программыУправления Уязвимостями

Как достичь успеха

4 составляющих успеха

Люди

Процессы

Безопасность Политика

15

Люди

Цель/стратегияo  Есть ли формализованное описание процесса?

o  Каковы цели программы управления уязвимостями?

Их место в организации

o  Руководствоo  CIOo  CISOo  Администраторыo  Бизнес

Что важно для людейo  Uptimeo  Выглядеть хорошо в организацииo  Быть защищённымиo  Быть Compliant

16

Процесс •  Как часто Вы сканируете?

o  Еженедельноo  Ежедневноo  Ежемесячно

•  Как часто делаете отчёты?o  Еженедельноo  Ежедневноo  Ежемесячно

•  Что Вы измеряете?o  Открытые уязвимостиo  Закрытые уязвимостиo  Не вовремя закрытые уязвимости

•  Как Вы приоритезируете патчи?o  Высокий рискo  Низкий рискo  CVSS

•  Как Вы обновляете системы?o  Windowso  Unixo  Сетевое оборудование

•  Как Вы классифицируете ресурсы?

17

Безопасность Все ли уязвимости одинаковы?o  Zero Dayo  Уязвимости без патчей, но с

альтернативным решением

Сколько у вас уязвимостей?

Какой контекст у уязвимостей?o  Как Вы классифицировали уявимости?o  Как Вы классифицируете каждую

несоответствие требованиям?

Как Вы измеряете безопасность?o SLAo Инцидентыo Количество уязвимостейo Количество закрытых рисков

Каким требованиям Вы должны соответствовать?

o  PCIo  SOXo  ISOo  COBITo  и тд

18

Политика

Вы не одниo  Партнёры с ITo  Отдел внутреннего аудитаo  Руководство

Уважайте людейo  Помогайте им достичь их целейo  Эти процессы не про наказание, они

про улучшение и совершенствование

Отчётностьo  Как можно более точно проверяйте

уязвимостиo  Если Вы что-то написали, это должно быть

правдойo  Всегда будут обиженные людиo  Не показывайте то, что нельзя починитьo  Делайте отчёты, которые рассказывают

историю

Как строить программу Управления Уязвимостями

Подготовка

Обязательная подготовка

Управление рисками/угрозами –  Что важно именно для Вашей организации? –  Какие риски Вы закрываете с помощью своей программы? –  Какие угрозы закрываете? –  Возможно ли посчитать ущерб от инцидента?

Классификация систем –  Классификация по критичности –  Классификация по типу и местоположению –  Владельцы (owners & custodians)

Карта сети от ИТ службы

Политика по Управлению Уязвимостями Содержание

•  Область применения политики и аудитория •  Ответственные лица + участники процесса •  Процесс обнаружения уязвимостей •  Процесс проверки конфигураций оборудования / баз данных

•  Описание процесса устранения уязвимостей •  Процесс разработки •  Процесс установке патчей •  Тестирование обновлений •  Ввод в эксплуатацию новых систем •  Управление исключениями •  Процесс изоляции систем


Внедрение

Начинайте с малого

Увеличивайте область охвата по мере закрытия проблем

Не пытайтесь внедрить сразу несколько процессов (установка патчей, устранение уязвимостей, проверка конфигураций оборудования)

Обучение, обучение и ещё раз обучение

Решения Qualys

Установлен более чем в 103 странах в 7000+ организациях 1 миллиард+ сканирований в год & 400+ миллиардов событий безопасности

с низким уровнем false positives

Security & Compliance Cloud Platform

25

Облачная Архитектура

VMware ESX and ESXi

Физические сканеры Плагины для

браузера

Мобильные агенты

Виртуальные сканеры

Hypervisor

Решение для облака Amazon Внешнее

сканирование

26

27

Облачная платформа Qualys

*In Beta

Vulnerability Management

Policy Compliance

Customizable Questionnaires

PCI DSS

Web Application Scanning

Malware Detection

Web Application Firewall

Web Application Log Analysis

Continuous Monitoring

* * *

Asset Management

VMVMAMAMCMCM PCIPCI PCPC QSQS MDSMDS LMLMWASWAS WAFWAF* *

Интеграция Qualys со сторонними продуктами

Web App Firewall

IT GRC

SIEM/Log Management

Ticketing with Qualys TNE

IDS/IPS

Access Management

Risk Management

Pen Test

QualysG

uard APIs VMVM

PCPC

WASWAS

28

20 Критических Контролей SANS

VMVM


PCPC

PolicyCompliance

PCIPCI

PCICompliance

Web ApplicationFirewall

*WAFWAFWASWAS

Web ApplicationScanning

MDSMDS

MalwareDetection Service

SECURESeal

VMVM


PCPC

PolicyCompliance

PCIPCI

PCICompliance


*WAFWAFWASWAS


MDSMDS


SECURESeal

VMVM


PCPC

PolicyCompliance

PCIPCI

PCICompliance


*WAFWAFWASWAS


MDSMDS


SECURESeal

VMVM


PCPC

PolicyCompliance

PCIPCI

PCICompliance


*WAFWAFWASWAS


MDSMDS


SECURESeal

VMVM


PCPC

PolicyCompliance

PCIPCI

PCICompliance


*WAFWAFWASWAS


MDSMDS


SECURESeal

VMVM


PCPC

PolicyCompliance

PCIPCI

PCICompliance


*WAFWAFWASWAS


MDSMDS


SECURESeal

VMVM


PCPC

PolicyCompliance

PCIPCI

PCICompliance


*WAFWAFWASWAS


MDSMDS


SECURESeal

VMVM


PCPC

PolicyCompliance

PCIPCI

PCICompliance


*WAFWAFWASWAS


MDSMDS


SECURESeal

VMVM


PCPC

PolicyCompliance

PCIPCI

PCICompliance


*WAFWAFWASWAS


MDSMDS


SECURESeal

VMVM


PCPC

PolicyCompliance

PCIPCI

PCICompliance


*WAFWAFWASWAS


MDSMDS


SECURESeal

VMVM


PCPC

PolicyCompliance

PCIPCI

PCICompliance


*WAFWAFWASWAS


MDSMDS


SECURESeal

VMVM


PCPC

PolicyCompliance

PCIPCI

PCICompliance


*WAFWAFWASWAS


MDSMDS


SECURESeal

VMVM


PCPC

PolicyCompliance

PCIPCI

PCICompliance


*WAFWAFWASWAS


MDSMDS


SECURESeal

VMVM


PCPC

PolicyCompliance

PCIPCI

PCICompliance


*WAFWAFWASWAS


MDSMDS


SECURESeal

VMVM


PCPC

PolicyCompliance

PCIPCI

PCICompliance


*WAFWAFWASWAS


MDSMDS


SECURESeal

VMVM


PCPC

PolicyCompliance

PCIPCI

PCICompliance


*WAFWAFWASWAS


MDSMDS


SECURESeal

VMVM


PCPC

PolicyCompliance

PCIPCI

PCICompliance


*WAFWAFWASWAS


MDSMDS


SECURESeal

••

••


Резюмируя

Ни одна система не решит Ваши проблемы автоматом

Вы не сможете всё починить

Ищите причины проблем

95% работы будет связано с людьми

Подарок

Demo-‐версия Qualys на всю Вашу инфраструктуру на 30 дней

Спасибо! [email protected]

Построение процесса управления...

Documents