Сигналът е критичен. Решението е известно. И все пак заявката чака в опашката с дни. Екипите по сигурността разбират риска, но хората, които поддържат достъпността на приложенията, се нуждаят от доказателство, че промяната няма да наруши работата на нищо.

Техните притеснения са чисто практически. Една IPS защита може да блокира легитимен трафик. Промяна в конфигурацията може да прекъсне услуга. Политика за крайни устройства може да засегне приложение, от което бизнесът зависи. Без доказателства препоръката остава на изчакване.

Безопасното отстраняване на проблеми отговаря на това колебание с доказателства. То тества предложеното действие спрямо вашата среда, прилага одобрената промяна и потвърждава резултата. Екипите по сигурността и операциите вземат решения заедно, базирайки се на факти.

Цената на оставянето на защитата само в режим на засичане (Detect)

Много организации вече разполагат със защита, която не прилагат активно. Сигнатурите стоят неактивни или в режим Detect, докато екипите преценяват фалшивите положителни сигнали, капацитета за инспекция и непрекъснатостта на бизнес процесите. Междувременно приложенията и моделите на трафик се променят, изключенията се натрупват, а политиките се отклоняват от начина, по който средата функционира днес.

Според бялата книга за безопасно отстраняване на уязвимости (Safe Remediation), 47% от изследваните организации са активирали по-малко от 50% от наличните си защити. Голяма част от необходимите им възможности вече съществуват в техните среди.

Включването на всичко наведнъж не е решението. Всяко активиране крие риск. Екипите трябва да знаят кои промени са от значение за даден риск и как всяка от тях ще се държи в реална работна среда днес.

Фигура 1. Оперативният натиск и разминаването в конфигурациите могат да забавят прилагането на защитите.

Изграждане на увереност преди прилагане на защитата

Безопасното отстраняване на проблеми преминава през четири етапа: Наблюдение (Observe), Доказване (Prove), Действие (Act) и Потвърждение (Confirm). Доказателствата придружават предложената реакция през всеки етап, с преглед и одобрение там, където се изисква.

Наблюдението започва с данни, които вашите системи за сигурност и ИТ вече генерират. Откритите уязвимости, IPS трафикът, натоварването на устройствата, политиките за крайните точки и състоянията на конфигурациите показват контекста около предложената промяна.

Следва доказването, като методът се адаптира към съответната технология. Една IPS защита може да инспектира продукционния трафик в режим Detect, давайки на екипите доказателства за фалшиви положителни сработвания и влияние върху производителността, преди да премине в режим на предотвратяване (Prevent). Укрепването на сигурността (hardening) на операционната система може да използва избрана тестова група, като всеки хост се проверява отново след изпълнението. Настройките на крайните устройства могат да бъдат оценени спрямо базовите препоръки за сигурност на доставчика.

Решението става специфично за вашата среда. Екипите по сигурността обясняват каква защита очакват. Собствениците на инфраструктура и приложения преценяват ефекта върху системите, които поддържат.

Фигура 2. Валидирането свързва доказателствата от средата с одобрението, изпълнението и потвърждението.

Използване на съществуващите контроли, докато чакате постоянна корекция

Инсталирането на корекции за сигурност остава от съществено значение за отстраняване на основната уязвимост. Тестването, координацията и графиците за внедряване могат да удължат времето, преди дадена корекция за сигурност да достигне до продукционната среда, създавайки период, в който може да е необходима допълнителна защита.

Съществуваща IPS сигнатура или виртуална кръпка може да помогне за блокиране на съответния път за експлоатиране през този период. Корелирането на данните за уязвимостите с покритието на контролите показва дали съществува подходяща защита и дали тя е неактивна, в режим Detect, или вече е приложена.

Този контекст помага на екипите да изберат правилната реакция. Защита, очакваща прилагане, може да бъде кандидат за валидиране и активиране. Уязвимост без компенсиращ контрол може да изисква спешно инсталиране на корекции за сигурност или друго действие.

Записът за отстраняване на проблема трябва да разграничава временната защита от постоянната корекция. Компенсиращият контрол може да намали непосредственото излагане на риск, докато основната уязвимост остава отворена и изисква последващи действия.

Поддържане на връзката между одобрението и изпълнението

След като дадено действие бъде оценено, организациите могат да изискат одобрение на неговия обхват или да разрешат автоматизирано изпълнение чрез конфигурирани работни потоци. Одобрената промяна след това се изпълнява през системата, отговорна за засегнатия контрол.

Промените в IPS могат да използват сървъра за управление на сигурността, укрепването на операционната система може да използва съществуващата инфраструктура за управление на корекции за сигурност, а поддържаните промени в крайните устройства могат да използват API на доставчика. Този подход позволява на екипите да работят чрез технологиите, които вече са внедрени.

Потвърждението завършва процеса. Инсталирането на политиката може да установи, че дадена IPS защита е преминала в режим на активно прилагане. Проверките на хостовете могат да верифицират промяната за укрепване на сигурността. Записите за изпълнение могат да покажат неуспешни или чакащи действия, които все още се нуждаят от внимание, заедно с потребителя, времевия печат и свързаната уязвимост.

Измерване на последващата защита

Успехът трябва да включва доказателство, че предвидената защита е активна след изпълнението. Последващите събития за сигурност могат да покажат дали новоактивираният контрол е блокирал активност, свързана с уязвимостта.

Сред изследваните организации действията по отстраняване на проблеми са отбелязали 99.5% успеваемост. В рамките на един месец защитите, приложени чрез този процес, впоследствие са блокирали 703.56 милиона атаки, включително 21 милиона в рамките на 24 часа след прилагането. Тези резултати описват анализираните среди и предоставят доказателство за реална защита след нейното активиране.

Фигура 3. Резултати от отстраняването на уязвимости в средите, изследвани в бялата книга.

Направете безопасното отстраняване част от управлението на излагането на риск

Приоритизирането определя откъде трябва да започне действието. Безопасното отстраняване на проблеми дава на екипите контролиран път за пренасяне на това решение в продукционна среда, с доказателства, подкрепящи предложената промяна, и потвърждение, показващо нейния резултат.

Check Point Exposure Management свързва приоритизирането на рисковете с валидирането в средата, контролираното изпълнение и потвърждението чрез съществуващите технологии за сигурност. Екипите по сигурността могат да използват този процес, за да намалят излагането на риск, докато оценяват оперативното въздействие на всяка реакция.