Компаниите продължават да бъдат компрометирани от уязвимости, за които вече са знаели

Инструментите за сканиране са станали много добри в своята работа. Сега организациите откриват повече слаби места в своите системи, отколкото във всеки предишен момент от историята на индустрията. Проучване на компанията за сигурност Vicarius обаче посочва пропуск, който се появява след това откриване – при възлагането, одобряването, внедряването и потвърждаването на корекциите.

Компанията е анкетирала 300 лидери в областта на ИТ и киберсигурността в САЩ и Обединеното кралство в организации с 500 до 2000 служители. Средно 58% от дейностите по отстраняване на уязвимости изискват пряка човешка намеса. Автоматизираното откриване, сканиране и докладване са станали често срещани в извадката. Работата по вземането на решения какво да се коригира и внедряването на промяната все още се извършва от хора. Едва малка част от организациите са изключили напълно хората от процеса – само 7%, като този модел остава постоянен независимо от размера на компанията и индустрията.

Откриването и отстраняването на уязвимости често се намират в различни групи. Повечето организации не могат последователно да отстранят слабост в рамките на екипа, който я е открил, като този дял достига 82%. Коригирането зависи от предаването на задачи, споделената отговорност и работните процеси, при които отговорността се прехвърля от една група към следващата. Всяко прехвърляне води до забавяне.

Самата отговорност често е недефинирана. Повече от една трета от респондентите казват, че отговорността за отстраняване на уязвимости зависи от ситуацията или остава неясна. Когато отговорността за дадена корекция няма конкретен собственик, работата спира, докато екипите изясняват кой трябва да действа.

Реакцията при критична уязвимост обикновено започва с документация. Най-честото първо действие е отварянето на тикет в система като Jira или ServiceNow, посочено от 42% от анкетираните. Тикетът проследява работата, но самата уязвимост зад него все още трябва да бъде приоритетизирана, възложена, одобрена, коригирана и потвърдена.

Приблизително една четвърт от организациите внедряват автоматизирано действие за коригиране директно от своята платформа. За всички останали моментът на откриване прехвърля проблема на човек, който може да няма необходимия контекст, инструменти или правомощия, за да реагира бързо. Много екипи са изградили силни системи за откриване на критични слаби места, но много по-малко са изградили еднакво силни системи за реагиране на тях.

Малка група организации е елиминирала изцяло хората от процеса по отстраняване на уязвимости и техният профил е забележителен. Рой Коен, главен изпълнителен директор на Vicarius, споделя, че 20-те организации в тази група са стигнали дотук по един и същ начин. „Това не е група, която е стигнала до този етап по различни пътища. Пътят е един и същ и е извървян от всеки, който е постигнал това“, казва той пред Help Net Security.

Три характеристики са общи за всички тях. Първо, всяка организация е управлявала отстраняването на уязвимости чрез единна платформа от откриването до проверката, в сравнение с平均 от три инструмента при останалата част от извадката. Второ, всяка от тях е дала на своя екип на първа линия правомощието да коригира констатациите без необходимост от прехвърляне за одобрение – конфигурация, която се среща в по-малко от една на всеки пет организации. И трето, всяка е използвала най-строгото определение за завършена работа, затваряйки тикета само след потвърдено повторно сканиране. Коен описва автоматизацията като резултат от тази предварителна подготовка: „Тя е това, което се случва, след като вече сте отстранили триенето, което автоматизацията сама по себе си не може да коригира.“

Най-обезпокоителният извод се отнася до слабите места, които вече са били проследявани. Повечето организации са претърпели инцидент със сигурността през изминалата година, свързан с уязвимост, която вече е присъствала в техния опис преди събитието (79%). Откриването е проработило, но реакцията е закъсняла.

Около половината от анкетираните казват, че уязвимостта зад инцидента е била известна в продължение на 30 до 90 дни. Атакуващите, които използват автоматизация и изкуствен интелект за по-бързо откриване и експлоатиране на слабите места, намират достатъчно възможности в това забавяне.

Определенията варират в различните организации. Половината от анкетираните затварят уязвимост само след като е внедрена корекция за сигурност и тя е проверена чрез повторно сканиране. Другата половина разчита на по-слаби сигнали – като например изпратено обновление без потвърждение, назначен тикет или формално приет риск от ръководството.

Този избор е пряко свързан с резултатите. Коен групира респондентите според тяхната дефиниция за отстранена уязвимост и след това проверява процента на инциденти с известни уязвимости за всяка група. При организациите, изискващи потвърдено повторно сканиране, процентът е 65.8%. Всички останали по-свободни дефиниции се групират между 89% и 93%. По негови изчисления, екипите, използващи най-неясните дефиниции, са с близо 40% по-застрашени да бъдат ударени чрез слабост, за която вече са знаели, че съществува. „Направихме статистика и този модел е един от най-категоричните изводи в целия набор от данни“, казва той.

Коен обобщава двете констатации в едно изречение: „Разликата между организациите, които биват компрометирани от уязвимости, за които вече са знаели, и тези, които никога не биват засегнати, не е по-доброто откриване. Разликата е в това дали под 'свършено' се разбира, че уязвимостта е премахната, или просто че някой я е записал.“

Триенето при отстраняването на уязвимости обикновено произтича от процесите. Почти всички анкетирани съобщават за някаква форма на затруднение. Най-често цитираната пречка са конкуриращите се приоритети...