Сценарий: приоритизация уязвимостей с учетом значимости активов

Рассмотрим подход к управлению уязвимостями, который помогает выстроить обоснованную последовательность их устранения и эффективнее использовать ресурсы ИТ- и ИБ-команд.

Kaspersky Vulnerability Management позволяет определить, какие уязвимости требуют первоочередного внимания. Применяемая в решении методика ФСТЭК дополняет техническую оценку CVSS контекстом ИТ-инфраструктуры организации. Согласно действующей методике ФСТЭК, при определении приоритета устранения уязвимости учитываются следующие параметры:

• оценка уязвимости по CVSS;
• тип и количество затронутых активов;
• влияние затронутых активов на защищенность ИТ-инфраструктуры организации;
• сведения об эксплуатации уязвимости и наличии эксплойта;
• возможные последствия эксплуатации.

Вам не нужно самостоятельно оценивать множество характеристик уязвимости. Формула расчета методики ФСТЭК и единые весовые коэффициенты снижают влияние субъективных экспертных оценок. Использование единого подхода методики упрощает обоснование и планирование работ по устранению уязвимостей.

Для приоритизации уязвимостей с учетом значимости активов предлагаем следующие этапы.

Определение значимости активов

Для каждого актива должна быть указана значимость:

• Критичная — нарушение работы или компрометация актива может привести к остановке критически важных процессов, масштабному нарушению безопасности, невозможности восстановления инфраструктуры в приемлемые сроки.
• Высокая — инцидент может существенно повлиять на отдельные системы или бизнес-процессы, привести к утечке защищаемой информации либо создать условия для дальнейшего развития атаки.
• Средняя — последствия ограничены отдельным подразделением, сервисом или группой пользователей и могут быть устранены в рамках штатных процедур.
• Низкая — актив оказывает незначительное влияние на работу организации, не обрабатывает критичную информацию и не предоставляет существенных возможностей для развития атаки.
• Не определена — оценка еще не выполнена либо для нее недостаточно сведений.

Определение значимости позволяет учитывать роль каждого актива в ИТ-инфраструктуре организации и возможные последствия его компрометации при расчете приоритета устранения уязвимостей. Благодаря этому ИТ- и ИБ-команды могут сосредоточить ресурсы на активах, защита которых дает наибольший эффект: поддерживает непрерывность ключевых процессов, ограничивает развитие атак и снижает вероятность масштабного ущерба.

В первую очередь необходимо определить значимость, например, следующих категорий активов:

• контроллеры домена и другие системы управления учетными записями;
• активы с развернутыми средствами централизованного управления ИТ-инфраструктурой;
• рабочие станции администраторов и других привилегированных пользователей;
• точки входа во внутреннюю ИТ-инфраструктуру;
• активы, участвующие в обеспечении критичных бизнес-процессов;
• активы, от которых зависит работа большого количества других систем;
• системы резервного копирования и хранения резервных копий;
• активы, доступные из интернета или других недоверенных сетей;
• активы, на которых хранятся или обрабатываются персональные данные и иная защищаемая информация.

Эти категории требуют первоочередной оценки, поскольку их компрометация может иметь последствия, значительно превышающие ущерб от нарушения работы одного устройства или сервиса. Такие активы могут предоставлять привилегированный доступ, использоваться для централизованного распространения изменений, обеспечивать работу множества зависимых систем или служить точкой входа во внутреннюю ИТ-инфраструктуру организации.

Сортировка уязвимостей по приоритету устранения

После определения значимости активов Kaspersky Vulnerability Management расчитывает приоритет устранения обнаруженных уязвимостей по методике ФСТЭК.

Отсортируйте список обнаруженных уязвимостей по значению приоритета устранения:

1. В главном окне Web Console перейдите в раздел Управление уязвимостями → Уязвимости.
2. В таблице уязвимостей без группировки нажмите на заголовок столбца Приоритет устранения.
3. В раскрывшемся меню выберите тип сортировки По убыванию.

Уязвимости будут расположены в следующем порядке:

• Критичный приоритет;
• Высокий приоритет;
• Средний приоритет;
• Низкий приоритет;
• приоритет Не определен.

Формирование очереди уязвимостей для устранения

При формировании очереди на устранение уязвимостей рекомендуем использовать риск-ориентированный подход. Его задача — направить ресурсы ИТ- и ИБ-команд на уязвимости, эксплуатация которых может привести к наиболее существенным последствиям для организации. При таком подходе следует сортировать уязвимости по приоритету устранения, который учитывает их техническую опасность и контекст ИТ-инфраструктуры, включая значимость затронутого актива. Такой подход позволяет последовательно снижать наиболее существенные риски и рационально распределять доступные ресурсы.

При формировании очереди уязвимостей для устранения рекомендуем руководствоваться следующими правилами:

• Уязвимости с критичным приоритетом устранения необходимо устранять в первую очередь. Для них следует назначить ответственных, определить минимально возможные сроки и контролировать выполнение работ до полного устранения риска.
• Уязвимости с высоким приоритетом устранения необходимо устранять в текущем цикле устранения. Их обработку рекомендуем планировать сразу после критичных уязвимостей, не перенося на последующие циклы без обоснованной причины.
• Уязвимости со средним или низким приоритетом устранения необходимо устранять планово, если отсутствуют дополнительные повышающие факторы. Такие работы удобно объединять с регулярным обновлением систем и другими задачами по сопровождению ИТ-инфраструктуры.
• Для уязвимостей с неопределенным приоритетом устранения необходимо проверить полноту исходных данных и добиться расчета приоритета. До завершения анализа такие уязвимости не следует помещать в конец очереди автоматически.

Очередь необходимо регулярно пересматривать при появлении новых сведений об уязвимостях, изменении значимости активов или конфигурации ИТ-инфраструктуры. Если устранить уязвимость в установленный срок невозможно, следует применить компенсирующие меры, зафиксировать принятое решение и определить срок повторной оценки.

Таким образом, сортировка по приоритету превращает общий перечень уязвимостей в понятный и управляемый план работ. Организация получает возможность сначала устранять угрозы с наибольшим потенциальным влиянием, обоснованно планировать нагрузку специалистов и последовательно снижать риски для ключевых систем и бизнес-процессов.