Руководство по анализу уязвимостей информационных систем: методы, выявление угроз и план устранения

Уязвимости информационных систем, такие как неправильная конфигурация, слабые пароли от административных аккаунтов, устаревшее или некорректно работающее ПО, часто становятся причиной инцидентов ИБ. Злоумышленники ищут слабые места и используют их, чтобы проникнуть в ИТ-инфраструктуру, закрепиться там и нанести вред. Например, они могут украсть, подменить или удалить конфиденциальные данные, зашифровать важные файлы и требовать выкуп за их расшифровку, перехватить управление корпоративными системами. Пострадавшую компанию ожидают негативные последствия: остановка бизнес-процессов, финансовый и репутационный ущерб, штрафы за нарушение законодательства и отраслевых требований по защите информации. Снизить риски поможет проактивный подход к безопасности — выявление и анализ уязвимостей информационных систем, оценка уровня защищенности ИТ-инфраструктуры. Рассказываем, как искать слабые места и чем поможет сервис Solar VM.

Методы поиска и анализа уязвимостей информационных систем

К анализу уязвимостей информационных систем нужно подходить комплексно, сочетая ручные и автоматизированные методы. Чтобы определиться с ними, следует провести инвентаризацию всех ИТ-активов. Это позволит понять, какие ресурсы использует компания и что именно необходимо проверять. Типичные объекты анализа в ИТ-инфраструктуре:

• Сетевые устройства.
• ОС физических и виртуальных хостов.
• Установленное ПО.
• Веб-ресурсы/приложения.

Все решения по контролю уязвимостей используют примерно одинаковые методы поиска слабых мест безопасности, но для выявления конкретных проблем предназначены инструменты особых типов. Выбор зависит от целей компании и особенностей инфраструктуры. Какие методы чаще всего используются для поиска и анализа уязвимостей информационных систем:

• Сканирование с помощью автоматических сканеров для выявления внешних уязвимостей, которые зачастую эксплуатируются в массовых атаках.
• Анализ кода корпоративного программного обеспечения с помощью статического тестирования без запуска ПО и динамической проверки — имитации атак на программы и приложения. Это позволяет выявить ошибки в коде, недекларированные возможности, некорректно работающие функции и другие слабые места, которые могут привести к инцидентам ИБ.
• Ручные проверки, такие как тестирование на проникновение и анализ защищенности.

Выявление и анализ уязвимостей информационных систем обычно проходит в три этапа:

• Сбор максимально подробных и актуальных данных о системах, которые будут проверяться.
• Сканирование систем с помощью различных инструментов.
• Анализ результатов сканирования и приоритизация обнаруженных уязвимостей систем. Важно определить, какие бреши безопасности сопряжены с серьезными угрозами ИБ и должны быть устранены в первую очередь.

Все обнаруженные уязвимости необходимо классифицировать по уровню критичности с присвоением им баллов в соответствии с серьезностью рисков. Для классификации чаще всего используется стандарт Common Vulnerability Scoring System (CVSS), который на основе базовых, временных и контекстных метрик позволяет оценивать уровни критичности уязвимостей.

При анализе уязвимостей информационных систем принято выделять четыре уровня рисков:

• Критический — сюда относятся бреши безопасности, которые активно эксплуатируются злоумышленниками и могут стать причиной серьезного ущерба для компании. Такие слабые места необходимо устранять прежде всего.
• Высокий — уязвимости, эксплуатация которых несет существенную угрозу целостности и конфиденциальности корпоративной информации.
• Средний — бреши безопасности, которые довольно сложно использовать для атаки, но их эксплуатация может привести к серьезному ущербу.
• Низкий — слабые места, эксплуатация которых нанесет незначительный ущерб.

Благодаря процессу выявления и анализа уязвимостей информационных систем компании могут принимать эффективные меры по устранению брешей безопасности, выстраивать и поддерживать стратегию защиты корпоративной ИТ-инфраструктуры.

Важно понимать, что выявление и анализ уязвимостей систем — регулярный процесс, поскольку могут появляться новые слабые места. Чтобы держать ИТ-инфраструктуру под контролем, можно использовать сервис Solar VM. В него входят: инвентаризация ресурсов, сканирование, обработка результатов экспертами и подготовка рекомендаций по устранению уязвимостей с критическим и высоким уровнем рисков.

Анализ уязвимостей и угроз информационных систем

Наряду с поиском уязвимостей необходимо проводить анализ потенциальных угроз, чтобы понять, насколько велика вероятность атак с эксплуатацией той или иной бреши безопасности, и оценить возможный ущерб. Это неотъемлемая часть процесса обеспечения защиты ИТ-инфраструктуры.

Этапы анализа уязвимостей и угроз:

• Определение источников угроз. Например, внутренние — это недобросовестные или невнимательные сотрудники, нарушающие корпоративные политики ИБ. Внешние — хакеры или нечестные конкуренты. Также выделяют технические источники (сбои в работе оборудования, ошибки в ПО) и физические (чрезвычайные ситуации, природные катастрофы).
• Выявление зон риска — конкретных участков ИТ-инфраструктуры, которые особенно уязвимы.
• Анализ вероятности эксплуатации уязвимостей и реализации угроз. На этом этапе следует учитывать возможности потенциальных нарушителей и известные схемы кибератак.
• Оценка возможного ущерба для компании при реализации той или иной угрозы. На основании результатов создается карта рисков с расстановкой приоритетов по реагированию.

Резюмируем: анализ угроз и уязвимостей информационных систем следует проводить системно. Это помогает корректно расставить приоритеты для устранения брешей безопасности и составить объективную картину ИБ-рисков.

План устранения уязвимостей

После выявления слабых мест и их приоритизации нужно подготовить план устранения уязвимостей — так называемую дорожную карту работ по повышению защищенности ИТ-инфраструктуры. В первую очередь необходимо устранять критические бреши безопасности, эксплуатация которых принесет серьезный ущерб бизнесу.

Что нужно сделать в рамках подготовки плана устранения уязвимостей:

• Определить ответственных за объекты / группы объектов.
• Продумать порядок доведения до ответственных лиц информации об уязвимостях и приоритетах устранения.
• Прописать SLA для реагирования на оповещения и проведения работ по устранению слабых мест безопасности.
• Описать набор действий, необходимых для устранения уязвимостей (например, установка обновлений или внесение изменений в конфигурацию ИТ-активов), и компенсирующих мер (СЗИ, мониторинг SOC и т. д.).
• Определить необходимость согласования работ с сотрудниками, отвечающими за бизнес-процессы, в которых содержатся уязвимые компоненты.
• Определить цепочку согласования вопросов о выводе уязвимого объекта из эксплуатации или принятии риска, если по каким-то причинам невозможно устранить слабые места.
• Зафиксировать порядок оповещения о завершении работ по устранению.
• Утвердить подход и SLA к перепроверке слабых мест после оповещения об устранении.

Далее нужно организовать постоянный мониторинг и периодические аудиты, чтобы убедиться, что бреши безопасности не появляются вновь и что новые угрозы детектируются своевременно. Также обязательно вести документацию обо всех обнаруженных уязвимостях, принятых мерах и результатах устранения.

Рекомендации по созданию плана:

• Начинайте с самых критичных участков, затем охватите менее приоритетные системы.
• Регулярно пересматривайте план с учетом появления новых угроз.
• Включайте в план организационные и технические меры, например обучение персонала и внедрение систем управления уязвимостями.

Можно поручить формирование плана устранения уязвимостей экспертам ГК «Солар» в рамках оказания сервиса Solar VM. В услугу также входит контроль соблюдения рекомендаций штатными специалистами компании-заказчика. Это помогает систематизировать работу по повышению уровня безопасности, сэкономить ресурсы ИТ-отдела и ускорить реагирование на риски.