Крайната инфраструктура (крайните устройства) нараства по-бързо от екипите, които се грижат за нея. Хибридната работа, внедряването на облачни технологии, лаптопите на външни изпълнители, постоянният поток от нови CVE уязвимости и нарастващият натиск за съответствие означават, че екипите по сигурността управляват повече устройства, повече софтуер и повече изключения, отколкото една електронна таблица или месечно сканиране могат да съдържат. Ръчното проследяване и ръчното отстраняване на уязвимости вече не са в крак с темпото.
Управлението на крайни устройства с изкуствен интелект (AI) предлага изход. Използвано правилно, то помага на екипите да видят какво действително има в мрежата, да забелязват пропуските в съответствието още при появата им и първо да коригират проблемите с най-висок риск. Промяната е от реактивно почистване към непрекъснати, приоритетни действия. Тази статия разглежда къде AI помага в рамките на видимостта на крайните устройства, съответствието и отстраняването на уязвимости и къде не помага.
Защо видимостта на крайните устройства все още е предизвикателство за сигурността
Повечето организации могат да ви кажат колко крайни устройства смятат, че имат. По-малко са тези, които могат да ви кажат колко точно имат в действителност, къде се намират тези устройства и в какво състояние са днес.
Пропуските са познати. Инвентаризацията остарява между сканиранията. Отдалечените устройства рядко или никога не се свързват с корпоративната мрежа. Неуправляваните крайни устройства и нерегламентираният софтуер/хардуер (shadow IT) остават изцяло извън инструментариума. Данните за софтуера се различават между CMDB, скенера за уязвимости и инструмента за инсталиране на корекции за сигурност, така че три екипа спорят кой номер е верен.
Това е от значение, защото всичко останало зависи от него. Даден екип не може да инсталира корекции за сигурност на устройство, за което не знае, и не може да докаже съответствие за такова, което не вижда. Всяко сляпо петно работи срещу намаляването на повърхността за атака, а на атакуващите им трябва само едно. Видимостта на крайните устройства е основата и точно там рискът за крайните устройства тихо започва да се натрупва.
Ролята на AI в направата на данните за крайните устройства по-приложими
Видимостта генерира данни, а данните в корпоративен мащаб създават собствен проблем. Десетки хиляди устройства, всяко от които съобщава за софтуерни версии, състояния на конфигурация, липсващи корекции за сигурност и резултати от политики, генерират повече констатации, отколкото който и да е екип може да прочете.
Точно тук AI заслужава своето място. Неговите най-полезни задачи са блекдорни и рутинни:
- Разкриване на необичайни състояния на крайните устройства, като например устройство, отклоняващо се от базовата си линия, или агент, който тихо е спрял да изпраща доклади.
- Групиране на подобни рискове, така че хиляди констатации да се свият до шепа първопричини.
- Приоритетизиране на уязвими активи въз основа на експозиция и бизнес важност, а не по сурова оценка за сериозност.
- Обобщаване на експозицията на разбираем език за хора, които няма да отворят конзолата.
- Намаляване на умората от предупреждения (alert fatigue) чрез потискане на дубликати и шум.
Нищо от това не замества преценката на аналитика. То премахва ръчния анализ, който стои между констатацията и решението, така че хората да прекарват времето си в вземане на решения какво да правят, вместо да разберегат какво гледат.
Подобряване на съответствието с непрекъснат оперативен анализ (continuous intelligence)
Одитът към определен момент описва как е изглеждала средата в деня на одита. Състоянието на крайните устройства се променя ежедневно: инсталирането на корекция за сигурност се проваля, дадена настройка се връща към предишното си състояние, ново устройство се присъединява с конфигурация по подразбиране. До следващия одит доказателствата вече са остарели.
Съответствието на крайните устройства работи по-добре като непрекъснат процес. Мониторингът, подпомаган от AI, може да сигнализира за отклонения от политиките, липсващи корекции за сигурност и пропуски в конфигурацията спрямо рамки като CIS, DISA STIG, PCI-DSS и NIST в момента на тяхната поява, а не седмици по-късно. Екипите могат да отстранят пропуск, преди той да се превърне в констатация от одит, и да предоставят доказателство за съответствие от актуални данни вместо от хаотично извлечени експорти. Това е подготвеност за одит на практика: прилагане на политики, което се извършва непрекъснато, а не почистване преди пристигането на одиторите.
Практическият тест за всеки софтуер за съответствие със сигурността на крайните устройства е дали той може да покаже за дадено устройство и дадена контрола какво е състоянието в момента, кога за последен път се е променило и какво е направено по въпроса.
Ускоряване на отстраняването на уязвимости с приоритетизиране, задвижвано от AI
Не всяка уязвимост заслужава еднаква спешност. Обемът на CVE продължава да нараства, изоставането при инсталирането на корекции за сигурност рядко намалява, а споразуменията за ниво на обслужване (SLA) за отстраняване на уязвимости предполагат, че екипите могат да действат по всичко наведнъж. Те не могат.
Приоритетизирането, подпомагано от AI, помага чрез преценка на това какво действително променя риска: дали даден дефект се експлоатира активно, колко е сериозен, колко е изложено засегнатото устройство и колко важен е този актив за бизнеса. Критична уязвимост на сървър, свързан с интернет, който е обект на активна експлоатация, не трябва да стои в същата опашка като проблем със средна сериозност на тестова машина в лаборатория.
Това също така прави извънредното инсталиране на корекции за сигурност управляемо. Когато се появи широко експлоатирана уязвимост, екипът трябва да знае в рамките на минути кои критични активи са засегнати и какво да отстрани първо, а не след една седмица изравняване на електронни таблици. Източници като каталога на CISA за известни експлоатирани уязвимости (Known Exploited Vulnerabilities) дават на това приоритетизиране фактическа основа.
От откриване към действие: Затваряне на цикъла по отстраняване на уязвимости
Видимостта и приоритетизирането имат значение само ако екипите могат да действат въз основа на тях. Множество организации имат отлични информационни табла и бавно отстраняване на уязвимости, защото предаването от прозрението към действието все още е ръчно: тикет, прозорец за промени, скрипт, който някой трябва да напише.
Управлението на крайни устройства, задвижвано от AI, трябва да затвори този цикъл. На практика това означава автоматизирано отстраняване на уязвимости за рутинни случаи и контролирани работни процеси за рисковите такива:
- Автоматизация на корекциите за сигурност и отстраняване на уязвимости въз основа на политики, така че одобрените корекции да се внедряват без тикет за всяко устройство.
- Планиране на отмяна (rollback), така че лоша корекция за сигурност да не се превърне прекъсване на работата.
- Верификация на внедряването и откриване на неуспешни корекции за сигурност, така че „внедрено“ да означава „отстранено“, а не „изпратено“.
- Отчитане, което показва състоянието преди и след, за одитори и ръководство.
Екипите най-често пропускат последните две. Програма за отстраняване на уязвимости, която не може да докаже, че дадена корекция е приложена, е надежда, а не контрола.
Къде се вписва HCL BigFix
HCL BigFix е платформа за управление на крайни устройства, изградена около тази идея: един агент и една конзола за откриване, инсталиране на корекции за сигурност, защита и отчитане за крайни устройства в голям мащаб. Тя обхваща откриването на крайни устройства, управлението на корекции за сигурност, съответствието, отстраняването на уязвимости и автоматизацията в над 120 операционни системи, включително крайни устройства, които са отдалечени или прекъснати от корпоративната мрежа.
От страна на аналитичните възможности HCL BigFix съпоставя данни за уязвимости с наличните корекции за сигурност и приоритетизира отстраняването на уязвимости, използвайки контекст за заплахите като CISA KEV, така че екипите да могат да преминат от констатация към отстраняване в рамките на същата платформа. Съдържанието за съответствие е съобразено с общите рамки, а отчитането поддържа намаляването на риска за крайните устройства от конзолата чак до одита. Целта съвпада с останалата част от тази статия: свързване на прозрението с действието.
За какво трябва да следят лидерите по сигурността
За читателите, които оценяват инструменти, ето кратък контролен списък:
- Непрекъсната видимост на крайните точки, включително отдалечени и периодично свързани устройства
- Приоритизиране въз основа на риска, отчитащо възможността за експлоатация и важността на актива
- Автоматизирано отстраняване на уязвимости с контроли за одобрение и възможност за връщане назад (rollback)
- Докладване за съответствие (compliance), картографирано спрямо рамките, спрямо които се одитирате
- Интеграция с скенери за уязвимости, SIEM и ITSM инструменти
- Обясними аналитични изводи (insights), така че аналитиците да виждат защо дадено нещо е класирано на първо място
- Кросплатформена поддръжка за Windows, macOS, Linux и UNIX
- Доказателство за отстраняване: потвърдени корекции, а не просто логове за внедряване
Поискайте от доставчиците да демонстрират последните три с вашите данни. Те са най-лесни за обещаване и най-рудни за изпълнение.
Заключение
Управлението на крайни точки с AI може да помогне на екипите по сигурност да виждат повече, да доказват съответствие непрекъснато и да отстраняват първо това, което е от най-голямо значение. Но стойността идва от свързването на всяка стъпка: видимостта подхранва приоритизирането, приоритизирането движи автоматизираното отстраняване, а проверката доказва резултата. Екипите, които затварят този цикъл, подобряват кибер хигиената и намаляват повърхността за атака, която трябва да защитават. Екипите, които спрат до по-добри табла за управление (dashboards), все още ще чакат следващия цикъл на инсталиране на корекции за сигурност.
Често задавани въпроси
Какво представлява AI управлението на крайни точки? AI управлението на крайни точки използва машинно обучение и автоматизация за откриване, наблюдение, приоритизиране и отстраняване на проблеми в устройствата на организацията. То анализира данни като софтуерен инвентар, статус на корекциите за сигурност и състояние на конфигурацията, за да покаже къде рискът е най-висок. Целта е екипите да преминат от ръчно проследяване към по-бързи, приоритизирани действия.
Как AI подобрява видимостта на крайните точки? AI помага за осмислянето на големи обеми от данни за крайните точки. Той може да маркира устройства, които се отклоняват от своята базова линия (baseline), да изведе на повърхността агенти, които са спрели да докладват, и да подчертае празнини между несъответстващи източници на инвентар. Екипите получават по-ясна представа за това какво съществува, къде се намира и в какво състояние е.
Може ли AI да помогне със съответствието (compliance) на крайните точки? Да. Непрекъснатото наблюдение може да сигнализира за отклонения от политиките, липсващи корекции за сигурност и празнини в конфигурацията спрямо рамки като CIS, DISA STIG и PCI-DSS в момента на появата им, а не при следващия одит. Това дава на екипите актуални доказателства за одиторите и време за отстраняване на пропуските, преди те да се превърнат в констатации.
Как AI помага за приоритизирането на отстраняването на уязвимости? Той претегля фактори като активна експлоатация, сериозност, изложеност на устройството на риск и важност на актива, вместо да класира само по оценка за сериозност. Източници на заплахи като каталога Known Exploited Vulnerabilities на CISA добавят фактическа основа. След това екипите могат първо да отстранят проблемите, за които е най-вероятно да бъдат използвани срещу тях.
Безопасно ли е автоматизираното отстраняване на уязвимости? Може да бъде, с правилните контроли. Работните процеси за одобрение, плановете за връщане назад (rollback) и проверката на внедряването предпазват от това лоша корекция за сигурност да прерасне прекъсване на работата и потвърждават, че коригиранията действително са приложени. Често срещан подход е първо да се автоматизират рутинни корекции с нисък риск и да се запази прегледът от човек за критичните системи.
Ще замени ли AI екипите по сигурност и ИТ? Не. AI намалява ръчния анализ и повторната работа по отстраняване на проблеми, но хората все пак задават политики, одобряват рискови промени и преценяват компромисите. Неговата стойност е в това да върне време на екипите за решения, които изискват човешка преценка.