Przygotuj się na szybsze i bardziej efektywne skanowanie podatności

Uwaga redakcyjna: koniecznie przeczytaj kilka ważnych uwag na końcu tego artykułu.

Powiedzenie „nie naprawiaj czegoś, co nie jest zepsute“ powtarzane jest w IT jak mantra od dziesięcioleci. To dosyć ironiczne, biorąc pod uwagę, że branża ta rozwija się dzięki innowacjom i zdolności do zmian. Co więcej, administratorzy opiekujący się urządzeniami końcowymi użytkowników doskonale zdają sobie sprawę z tego, że aby zadbać o bezpieczeństwo organizacji, należy regularne sprawdzać i aktualizować systemy.

Jednak aby sprostać zmieniającym się okolicznościom, czasami potrzebne jest przyjęcie zupełnie nowego podejścia. To właśnie robimy aktualizując katalog podatności wykorzystywany w ramach Vulnerability Scanner.

Największą zmianą jest usunięcie profilu skanowania „Community“, który był pierwszym  katalogiem w Vulnerability Scanner. Od tego czasu katalog ten był tylko sporadycznie zasilany przepisami przez społeczność, dlatego w 2016 roku dodaliśmy nowy katalog: profil „Professional“. Aby zapewnić kompatybilność, profil „Community“ był dalej utrzymywany, mimo wprowadzania do niego niewielu nowych reguł.

Katalog w profilu „Professional“ bardzo się rozrósł w ostatnich latach. Wraz z pojawieniem się większej ilości podatności, zwiększył się również czas potrzebny na sprawdzenie wszystkich reguł podczas skanowania. Szybko zrozumieliśmy, że potrzebujemy nowego rozwiązania.

W ten sposób dochodzimy do nowego profilu „Professional 2.0“! Wykorzystuje on nowy katalog ze zoptymalizowanym zestawem reguł, które opierają się na zmodyfikowanych technikach i regułach logicznych, pozwalających na wykrywanie podatności odkrytych w Twojej sieci. Skupia się on przede wszystkim na wykrywaniu i identyfikowaniu zainstalowanego oprogramowania i skanowaniu go pod kątem możliwych do wystąpienia luk, nie ograniczając się jedynie do poszczególnych plików, bibliotek czy komponentów. To trochę tak, jakby lekarz oceniał Twój stan fizyczny na podstawie płci, historii rodziny, stylu życia i innych charakterystycznych dla Ciebie czynników, zamiast zbadać każdy organ i układ w Twoim ciele w poszukiwaniu możliwych oznak każdej znanej choroby.

Można pokusić się o stwierdzenie, że mniejsza ilość reguł oznacza, że mniej podatności zostanie wykrytych. Jednak nie istnieje bezpośrednia korelacja 1:1 pomiędzy lukami a regułami. W rzeczywistości, do wykrycia luki może być potrzebna tylko jedna reguła. Właśnie dlatego optymalizacja katalogu może skrócić średni czas skanowania podatności nawet o połowę!

Nowy mechanizm skanowania sprawia, że nie trzeba przeglądać każdej  pojedynczej instancji wykrytej luki w frameworku. Wystarczy sprawdzić czy i w jakim stopniu zawarte w nim funkcje są wykorzystywane przez aplikacje.

Rozmawiając z klientami dowiedzieliśmy się, że znalezienie podatności w frameworkach wymaga sporej ilości pracy, zwłaszcza w firmach, które muszą szczególnie dbać o bezpieczeństwo. Mówiąc najprościej, za każdym razem, gdy w bibliotece znaleziona zostanie luka, należy otworzyć zgłoszenie serwisowe u dostawcy każdej z aplikacji, aby sprawdzić, czy jest ona nią dotknięta. Może to oznaczać konieczność natychmiastowej aktualizacji (jeżeli jest dostępna) lub nawet odinstalowanego dotkniętego oprogramowania. Jeśli jednak aplikacja nie jest dotknięta podatnością, mimo że korzysta z podatnego komponentu frameworka, baramundi Management Suite definiuje ten wyjątek jako „fałszywie pozytywny“.

Bazując na informacji o podatnościach specyficznych dla frameworka, jeśli podatność zostanie potwierdzona przez producenta aplikacji wraz z odpowiednimi informacjami (komponent, VCVE ID, skala, wektor ataku, itp.), na liście znajdzie się tylko lokalizacja głównej aplikacji. Takie podejście znacząco ogranicza liczbę fałszywie pozytywnych wyników, zmniejszając obciążenie pracą administratorów systemów. 

Ponadto, taki skonsolidowany widok zmniejsza liczbę elementów do przeanalizowania, co ułatwia znalezienie rozwiązań. Często główna aplikacja może być w łatwy sposób zaktualizowana, wykorzystując do tego moduły „Managed Software“ lub „Deploy“ w bMS.

Teraz powinny być widoczne tylko wpisy dotyczące starego profilu. Wystarczy je wybrać i usunąć. 

WARTO WIEDZIEĆ: Możliwe jest stworzenie nowego zadania z profilem „Professional 2.0“ i uruchomienie go na wybranych punktach końcowych bez wcześniejszego usuwania starych wyników. Dzięki temu można bezpośrednio porównać wyniki ze starego i nowego profilu. Jednak zdecydowanie zalecamy usunięcie starych wyników przed wdrożeniem nowego profilu.

WAŻNY TERMIN:
Stary/obecny profil„Professional“ zostanie zablokowany 1 kwietnia, co oznacza, że żadne nowe reguły nie będą mogły być dodawane, a istniejące nie będą mogły być zmieniane. Upewnij się, że do tego dnia zakończysz migrację do profilu „Professional 2.0“.