Как реализовать непрерывную проверку защищенности своих систем?
Еще в мае 2023 года ФСБ России приняло приказ № 213, который устанавливает порядок осуществления мониторинга защищенности информационных ресурсов, принадлежащих субъектам критической информационной инфраструктуры (КИИ). В соответствии с ним мониторинг защищенности ресурсов ведомств и организаций должен осуществляться непрерывно, а одним из его мероприятий является оценка защищенности информационных ресурсов. Собственно, оценка защищенности – это поиск уязвимостей в доступных извне информационных ресурсах, принадлежащих ведомству или организации. Уже созданы государственные инструменты, которые оценивают безопасность периметров российских предприятий. Они запущены и работают, поэтому компаниям стоит внедрить системы, которые позволяют проводить оценку защищенности принадлежащих им ресурсов непрерывно. Для этого предназначены системы управления уязвимостями.
Содержание |
Управление уязвимостями
Инструмент, который обеспечивает управление уязвимостями (vulnerability management – VM), естественно предназначен для поиска, изучения и устранения уязвимостей не только на внешнем периметре компании, но и по всей инфраструктуре организации. Первым этапом является поиск всех доступных ресурсов и проведение их инвентаризации. Для этого используются специальные сканеры, которые в автоматическом режиме анализируют информацию о компании, доступной в различных базах Интернет (DNS, сертификаты для TLS и других), ассоциируют обнаруженные ресурсы с конкретными активами организации, проверяют запущенные по найденным адресам сервисы и веб-приложения, анализируют их на наличие известных уязвимостей и готовят рекомендации по их устранению.
Если компания хочет повысить защищенность своего периметра, то первым делом она должна бы воспользоваться подобным VM-сканером. Причем лучше воспользоваться коммерческим сканером, который изучает не только доступные извне ресурсы, но и внутреннюю инфраструктуру компании с помощью анализа доменной структуры Active Directory (AD) или аналогичных каталогов. С помощью такого сканера можно выполнить следующие действия:
- Разведку всех ресурсов интересующего домена. Сканер может обнаружить не только DNS-имена, но и почтовые домены, IP-адреса и TLS-сертификаты, доступные через сервисы Интернет. После этого каждый обнаруженный DNS и IP-адрес изучается на предмет доступных на нем сервисов и информационных систем, после чего начинается сканирование на наличие уязвимостей;
- Изучение внутреннего домена. Современные сканеры позволяют изучить и внутреннюю корпоративную инфраструктуру, чтобы определить и ее уязвимости. Для этого сканер должен подключиться к контроллеру домена AD и получить от него всю информацию о состоянии внутренней инфраструктуры. По результатам сканирование составляется список внутренних активов компании, которые в дальнейшем проверяются на наличие известных уязвимостей;
- Сканирование и определение уязвимостей. Сканер, по сигнатурам ответов сервисов или по данным из AD, проводит сканирование, в процессе которого выполняется проверка на наличие известных уязвимостей. Причем в хороших сканерах есть возможность настроить как скорость сканирования, так и расписание, чтобы не перегружать работающую инфраструктуру. Естественно, что в коммерческих сканерах используются проверенные, не разрушающие эксплойты уязвимостей, которые не наносят вред работающим сервисам;
- Отчеты и рекомендации. Результаты сканирования обрабатываются и в них выявляются ресурсы, которые имеют критические уязвимости, что означает их низкую защищенность. Сканер готовит рекомендации по устранению обнаруженных уязвимостей. Хорошие сканеры могут приоритезировать найденные уязвимости по степени критичности, что помогает правильно спланировать процесс управления уязвимостями.
В результате проведенного сканирования с помощью такого продукта компания получает полную картину своей инфраструктуры – не только внешней, но и внутренней. ИБ служба получает информацию про выявленные по указанным адресам уязвимости сетевых сервисов, веб-приложений или базового программного обеспечения, распределенные по уровню критичности. Это позволяет ей планировать для ИТ-службы работу по устранению дефектов. Эту работу можно планировать заранее, запуская «тихую» проверку регулярно по расписанию, что позволяет отследить изменение уровня защищенности как внешнего периметра, так и внутренней инфраструктуры во времени, проверяя насколько ИТ-служба справилась с исправлением найденных ранее уязвимостей.
Сканер HScan
Одним из возможных сканеров для оценки защищенности ресурсов является HScan, который предлагает компания «Крайон». Он представляет собой продукт, который работает на операционной системе Linux. Его можно установить во внутренней инфраструктуре компании и выполнить следующие действия:
- Разведка и визуализация активов: фиксация каждого найденного ресурса и ключевых данных о запущенных сервисах;
- Автоматический поиск уязвимостей: проверка всех найденных активов и сервисов на наличие уязвимостей и рисков в автоматическом режиме;
- Анализ внутренней инфраструктуры: сканер анализирует данные AD и изучает в режиме «белого ящика» все внутренние активы;
- Анализ веб-приложений: поскольку сейчас значительная часть внешнего периметра – это веб-сервер с работающими на его базе веб-приложениями, то HScan имеет отдельный модуль для анализа и выявления уязвимостей в обнаруженных веб-приложениях.
Кроме того, у HScan по сравнению с другими продуктами есть следующие преимущества:
- Ядро собственной разработки: компания разработала собственное ядро сканера, исходный код которого не доступен для внешнего анализа и является импортонезависимым;
- Функциональный интерфейс: интерфейс на русском языке с понятной топографической визуализацией сети и выявленных в ней угроз, а все задачи по сканированию можно легко запустить с топологической схемы;
- Высокий уровень обнаружения: регулярное включение новых скриптов для определения наличия уязвимостей и ежедневно обновляемые базы CVE позволяют найти самые актуальные угрозы в инфраструктуре, а с каждым крупным обновлением улучшается эффективность работы ядра сканера по таким параметрам, как скорость сканирования, стабильность работы, снижения потребляемых ресурсов;
- Машинное обучение: с его помощью сканер адаптируется к специфике ИТ-инфраструктуры заказчика, что позволяет существенно повысить точность детектирования ПО и ОС на хостах. Кроме того, с каждым крупным обновлением в HScan внедряются новые возможности, связанные с ИИ для улучшения эффективности работы и удобства пользователей;
- Приоритизация угроз: ранжирование уязвимостей по уровню критичности показывает какие ошибки нужно исправлять в первую очередь;
- Система рабочих зон: можно определить сегменты сканирования, например, по филиалам и геораспределенным площадкам, правила доступа и роли сотрудников по зонам их ответственности, а затем централизовать управление системой и контроль результатов;
- Генерация отчетов: сканер готовит детальные комплексные отчеты о выявленных уязвимостях с рекомендациями по устранению проблем.
Непрерывные исследования безопасности внешнего периметра и внутренней инфраструктуры являются важным элементом корпоративной защиты, требование проведения которых сейчас есть в различных нормативных актах. Лучше всего если такие исследования будут организованы с помощью автоматического инструмента, однако важно после получения от него информации разобраться с обнаруженными уязвимостями – установить обновления, исправить ошибки, настроить конфигурацию корпоративных инструментов так, чтобы сделать ее менее заметной для внешних злоумышленников.
 | Информация стала одним из самых дорогих активов, и потеря даже части корпоративных данных может обернуться для компании миллионами убытков и подорванной репутацией, – считает Илья Тихонов, менеджер по развитию бизнеса по направлению информационная безопасность компании «Крайон». – В этих условиях важно иметь не фрагментарное, а целостное представление об уровне защищенности всей инфраструктуры. Именно на это нацелен HScan: он помогает увидеть риски целиком и заранее принять меры, пока уязвимость не стала проблемой. |  |
Сокращение поверхности атаки
Чтобы снизить вероятность атаки корпоративной инфраструктуры стоит присмотреться к тому, какие именно корпоративные ресурсы видны из сети Интернет, а также насколько правильно настроены и обновлены внутренние активы. Для этого стоит пользоваться сканером, который в автоматическом режиме анализирует информацию в инфраструктурных сервисах Интернет, таких как DNS или TLS-сертификаты, выявляет ресурсы, связанные с организацией, и проверяет их защищенность. Обнаружение критических ошибок в инфраструктуре – важная задача, и лучше доверить ее профессиональным инструментам.
