Примеры выбора типа сканирования для разных частей инфраструктуры

Многие организации имеют сложную ИТ-инфраструктуру: физические и виртуальные серверы, рабочие станции, облачные виртуальные машины, сетевые устройства. Для эффективной защиты важно правильно сопоставить методы сканирования уязвимостей с конкретными типами активов. Неверный выбор ведет либо к слепым зонам, либо к избыточной нагрузке на ИТ-инфраструктуру.

Kaspersky Vulnerability Management предлагает четыре типа сканирования, каждый из которых решает определенную задачу:

• Поиск уязвимостей:
  • Обнаруживает уязвимости в ОС, компонентах Windows, приложениях, библиотеках.
  • Не требует передачи учетных данных по сети.
  • Подходит для внутренних серверов, рабочих станций.
• Безагентное сканирование в режиме белого ящика:
  • Работает на активах под управлением операционных систем семейства Linux через SSH без установки агента.
  • Собирает данные об установленном программном обеспечении, выявляет уязвимости.
  • Требует настройки SSH-аутентификации по публичному ключу.
  • Подходит для Linux-активов, на которые нельзя установить Агент администрирования Kaspersky Security Center.
• Безагентное сканирование в режиме черного ящика:
  • Выполняет сканирование открытых портов и служб без использования учетных данных.
  • Оценивает инфраструктуру глазами злоумышленника.
  • Подходит для периметра сети, демилитаризованной зоны, сетевых устройств.
• Сканирование на соответствие профилям:
  • Выполняет проверку на соответствие требованиям безопасности.
  • Использует правила в форматах OVAL и XCCDF.
  • Подходит для регулируемого контура ИТ-инфраструктуры.

Рассмотрим организацию, ИТ-инфраструктура которой состоит из следующих частей:

• активы с доступом в Интернет;
• демилитаризованная зона с веб-серверами и обратными прокси;
• рабочие станции сотрудников;
• Linux-активы, на которые нельзя установить Агент администрирования Kaspersky Security Center;
• регулируемый контур, для которого требуется подтверждать выполнение требований безопасности.

Сотрудникам ИБ-команды необходимо организовать поиск уязвимостей в ИТ-инфраструктуре организации с помощью Kaspersky Vulnerability Management.

Рассмотрим далее примеры выбора типов сканирования.

Сканирование активов с доступом в Интернет

Из-за доступа активов в Интернет, безагентное сканирование в режиме черного ящика наиболее подходит для проверки данного периметра, так как в рамках этого сканирования решение может искать:

• открытые порты;
• доступные через них службы;
• уязвимости обнаруженных служб.

Для первичного аудита можно проверить все порты или использовать набор наиболее уязвимых. Для регулярного контроля рекомендуем ограничить задачу портами, которые должны быть открыты по утвержденной схеме публикации сервисов.

Сканирование активов в демилитаризованной зоне

В демилитаризованной зоне размещены веб-серверы, доступные из внешних или пограничных сетей. Для таких активов важно оценивать безопасность с двух сторон: с точки зрения того, что видно извне через сеть, и с точки зрения того, какое программное обеспечение установлено внутри серверов.

Поэтому для серверов в демилитаризованной зоне рекомендуется использовать комбинированный подход, объединяющий несколько взаимодополняющих типов сканирования.

В первую очередь целесообразно выполнять безагентное сканирование в режиме черного ящика. Этот тип проверки позволяет определить, какие порты и сетевые службы доступны на сервере, а также выявить уязвимости, связанные с обнаруженными службами. Такой подход имитирует внешний взгляд на актив и помогает понять, какие элементы серверной инфраструктуры потенциально доступны злоумышленнику через сеть.

Однако одного сканирования в режиме черного ящика недостаточно для полной оценки защищенности веб-серверов. Оно показывает только то, что можно обнаружить по сетевым признакам: открытые порты, службы и связанные с ними уязвимости. При этом часть установленного программного обеспечения может не быть доступна извне напрямую и, соответственно, не определяться таким способом.

Для анализа программного обеспечения внутри серверов следует дополнительно использовать один из двух вариантов:

• задачу поиска уязвимостей — если на серверах установлен Агент администрирования и сведения об установленном программном обеспечении уже поступают в базу данных Kaspersky Vulnerability Management;
• безагентное сканирование в режиме белого ящика — если установка Агента администрирования на серверах запрещена, но разрешено подключение к ним по SSH с использованием специальной учетной записи.

В результате для каждого сервера формируются два взаимодополняющих представления:

• Сетевое представление — какие порты и службы доступны на сервере, какие версии сервисов определяются извне и какие уязвимости связаны с сетевой поверхностью.
• Системное представление — какое программное обеспечение установлено внутри сервера и какие уязвимости связаны с операционной системой, пакетами, приложениями и библиотеками.

Такой комбинированный подход позволяет более полно оценить состояние безопасности серверов в демилитаризованной зоне. Он снижает риск пропустить уязвимости, которые присутствуют на сервере, но не видны при сканировании в режиме черного ящика, и одновременно помогает контролировать внешнюю поверхность атаки, доступную через сеть.

Сканирование рабочих станций сотрудников

На рабочих станциях сотрудников установлен Агент администрирования, поэтому такие активы уже находятся под централизованным управлением и регулярно передают в Kaspersky Vulnerability Management сведения, необходимые для анализа защищенности. В частности, в решение поступает информация об установленном программном обеспечении, операционной системе, версиях приложений и других параметрах, на основании которых можно определить наличие известных уязвимостей.

Для этого сценария наиболее подходящим типом проверки является поиск уязвимостей. Поиск уязвимостей ориентирован на массовое и регулярное сканирование управляемых активов, по которым в базе данных решения уже есть инвентаризационная информация. Нет необходимости дополнительно выполнять сетевое сканирование или настраивать отдельный доступ к каждому устройству. Достаточно использовать задачу поиска уязвимостей, которая анализирует уже собранные данные и сопоставляет их с базой известных уязвимостей.

Сканирование активов, на которые нельзя установить Агент администрирования

В организации есть активы под управлением операционных систем семейства Linux, на которые по требованиям эксплуатации нельзя устанавливать Агент администрирования. При этом для целей аудита безопасности допускается использование специальной учетной записи с необходимыми правами доступа.

Для таких активов наиболее подходящим типом сканирования является безагентное сканирование в режиме белого ящика. Этот режим позволяет подключаться к активам без установки Агента администрирования, собирать сведения об установленном программном обеспечении и выявлять связанные с ним уязвимости.

Использование других типов сканирования в данном сценарии менее эффективно. Например, безагентное сканирование в режиме черного ящика позволяет обнаружить открытые порты, доступные сетевые службы и потенциальные уязвимости этих служб, но не предоставляет полной информации о программном обеспечении, установленном на активе. Поэтому такой режим больше подходит для оценки сетевой поверхности атаки, а не для полноценного анализа программного обеспечения на Linux-активах.

Задача поиска уязвимостей также не является первичным вариантом для таких активов, поскольку она работает с программным обеспечением, которое уже зарегистрировано в базе данных решения. Если Агент администрирования на активе не установлен, сведения об установленном программном обеспечении не поступают автоматически через Агент администрирования. Следовательно, перед использованием задачи поиска уязвимостей эти данные необходимо получить другим способом.

В рассматриваемом сценарии таким способом является безагентное сканирование в режиме белого ящика. Оно позволяет сначала собрать информацию об установленном программном обеспечении на Linux-активах, а затем использовать эти данные для выявления и дальнейшей обработки уязвимостей в Kaspersky Vulnerability Management.

Анализ соответствия требованиям безопасности в регулируемом контуре

В регулируемом контуре перед ИБ-командой стоит задача не только выявлять уязвимости в операционных системах и программном обеспечении, но и регулярно подтверждать, что конфигурации активов соответствуют установленным требованиям безопасности. К таким требованиям могут относиться внутренние стандарты по усилению защиты, отраслевые практики, требования регуляторов, а также специальные профили безопасности, применимые к конкретным типам операционных систем.

Для этого сценария рекомендуется использовать сканирование активов на соответствие профилям. В отличие от обычного поиска уязвимостей, такая проверка ориентирована не на сопоставление установленного программного обеспечения с базой известных уязвимостей, а на анализ конфигурации актива по заранее определенному набору правил.

Итоговые рекомендации

Тип сканирования следует выбирать не только по типу актива, но и по поставленной задаче:

• требуется проверить на уязвимости периметр снаружи — безагентное сканирование в режиме черного ящика;
• требуется проверить на уязвимости установленное программное обеспечение Linux-активов без Агента администрирования — безагентное сканирование в режиме белого ящика;
• требуется выявить уязвимости в программном обеспечении активов, зарегистрированном в базе данных решения — поиск уязвимостей;
• требуется подтвердить выполнение требований безопасности — сканирование на соответствие профилям.

Не следует пытаться охватить всю инфраструктуру одной задачей. Разделение по сетевым зонам, операционным системам, способу управления и требованиям безопасности делает результаты точнее, а нагрузку и доступы — контролируемыми.