В това интервю за Help Net Security д-р Джой Пърсър, Global Field CISO в Cohesity, обяснява как да се класират уязвимостите, когато KEV, EPSS и CVSS сочат в различни посоки. Активното експлоатиране е на първо място, следвано от вероятността за експлоатиране, след това техническата сериозност, с корекции за експозицията на активите, бизнес критичността и компенсиращите контроли.

Интервюто определя цел за отстраняване на уязвимости от 24 до 72 часа за експлоатирани системи с достъп до интернет и обхваща компромисите, които една организация прави, за да я постигне, скритите режими на отказ на технологията за заблуда (deception technology) и къде производител с 400 служители и бюджет от 250 000 долара трябва да похарчи първите си 50 000 долара.

Активно експлоатирана уязвимост, както е посочено от KEV, би била с най-висок приоритет, особено ако засяга актив, изложен на интернет, или критичен за бизнеса актив. След това бих оценила вероятността за експлоатиране с помощта на EPSS, последвано от CVSS, за да разбера потенциалното техническо въздействие.

Логиката за вземане на решения, която бих дала на един аналитик, е: първо активно експлоатиране, след това вероятност за експлоатиране, след това техническа сериозност, с корекции за експозицията на активите, бизнес критичността, компенсиращите контроли и потенциалните последици от компрометирането. Уязвимост с по-ниска сериозност в изложена на риск система за идентичност може да представлява по-непосредствен риск, отколкото критична уязвимост в изолиран актив. Оценките са полезни, но трябва да се прилагат в контекста на конкретната среда.

За критична, изложена на интернет уязвимост с известно експлоатиране, целта от 24 до 72 часа е разумна, въпреки че много средни организации ще се затруднят да я постигат последователно.

Постигането на това изисква компромиси. Екипите по сигурност и ИТ се нуждаят от правомощия да прекъсват нормалните графици за пускане на софтуер, да отделят инженерен ресурс за спешно тестване и внедряване, а понякога и да приемат временно прекъсване на услугите или намалена функционалност. Когато незабавна корекция за сигурност не е възможна, организациите също трябва да бъдат подготвени да използват компенсиращи контроли, като например ограничаване на достъпа, деактивиране на уязвима функция или изолиране на система.

Най-голямото изискване е организационно. Активно експлоатираните уязвимости на системи с достъп до интернет трябва да се третират като оперативен приоритет, а не като поредната задача в нормалната опашка за инсталиране на корекции за сигурност. По-бързото отстраняване на уязвимости изисква отговорност, предварително одобрени спешни процедури и координация между екипите по сигурност, ИТ и приложения.

Основният режим на отказ е, че средата за заблуда става прекомерно свързана, с твърде голямо доверие към нея или лошо поддържана. Примамка (honeypot), предназначена да наблюдава атакуващите, може да се превърне в друга опорна точка за тях, ако има достъп до производствени системи, идентификационни данни за многократна употреба, прекомерни привилегии или собствени уязвимости.

Могат да възникнат и опасения относно съответствието и управлението. Системите за заблуда могат да улавят дейността на атакуващите, идентификационни данни, данни, наподобяващи производствените, или друга чувствителна информация. Ако изискванията за задържане на данни, поверителност, правни изисквания и изисквания за доказателства не бъдат разгледани предварително, тези системи могат да създадат задължения, които организацията не е предвидила.

Поради това технологията за заблуда трябва да бъде изолирана, с estrict ограничени разрешения и непрекъснато наблюдавана. Третирайте я като потенциално враждебна инфраструктура от самото начало и никога не позволявайте ненужни доверителни отношения с производствените среди.

Устойчивата на фишинг многофакторна автентификация (MFA) остава една от най-важните контроли, които една организация може да внедри. Тя не е нова или бляскава, но предотвратяването на това откраднатите идентификационни данни веднага да се превърнат в използваем достъп може значително да забави атакуващия.

Основната хигиена на идентичността е еднакво важна. Организациите трябва да премахват неактивните акаунти, да ограничават привилегирования достъп, да налагат принципа на най-малките привилегии, да ротират идентификационните данни и да прилагат по-строг контрол върху административните акаунти. Киберпрестъпниците все още успяват, защото идентификационните данни се използват повторно, привилегиите са по-широки от необходимото или старите акаунти остават активни.

Тези контроли са най-ефективни, когато се използват заедно. MFA, ограниченият административен достъп, сегментираните привилегии и отнемането на идентификационни данни могат да затруднят често срещаните пътища за атака и да ограничат страничното движение (lateral movement) след първоначално компрометиране.

Всяка организация е различна, а в производството приоритетът трябва да бъде защитата на операциите и човешката безопасност. Предлагам да се гарантира, че критичната оперативна технология (OT) е сегментирана от корпоративната ИТ инфраструктура и да се елиминира ненужният външен достъп.

Следващият приоритет би бил идентичността. Използвайте устойчива на фишинг MFA за привилегирован и отдалечен достъп, премахнете остарелите акаунти и контролирайте строго административните привилегии. Също така бих се уверила, че организацията има защитени резервни копия на най-критичните си системи и е тествала дали тези системи могат да бъдат възстановени.

Част от бюджета трябва да отиде и за основна видимост и готовност за реагиране. Организацията трябва да знае кои активи са изложени на риск, кой ги притежава и кой има правомощията да изолира системи, когато нещо се обърка.

При ограничен бюджет целта е да се намали броят на лесните пътища, които атакуващият може да използва, и да се ограничи обхватът на щетите.