Управление уязвимостями: полный цикл от инвентаризации до повторной проверки

Граница материала: Повторяемый процесс поиска, проверки, приоритизации, устранения и повторной проверки технических уязвимостей. Модель угроз отвечает за сценарии, а не за очередь исправлений. Сквозной пример — компания поддерживает облачные серверы, рабочие станции, контейнеры и собственный код. Каждый раздел заканчивается решением или доказательством, которое можно проверить через показатель: покрытие активов, возраст уязвимостей, время исправления по критичности, повторное появление, исключения и проверка закрытия.

Создать достоверный инвентарь: управление уязвимостями

Инцидентный сценарий проверяется заранее. Во время «создать достоверный инвентарь» владелец актива использует артефакт операции «создать достоверный инвентарь» для темы «управление уязвимостями»: свидетельство защиты по шагу «создать достоверный инвентарь» с датой, источником и итогом теста и фиксирует время обнаружения, ограничения и восстановления. На примере «компания поддерживает облачные серверы, рабочие станции, контейнеры и собственный код» проведите настольную тренировку. Риск «при действии «создать достоверный инвентарь» в теме «управление уязвимостями» возникает отклонение: для «создать достоверный инвентарь» нет проверки в контуре «управление уязвимостями»» становится задачей с датой.

• Сценарий: «создать достоверный инвентарь» в системе «управление уязвимостями».
• Кто реагирует: владелец актива.
• Хронология: артефакт операции «создать достоверный инвентарь» для темы «управление уязвимостями»: свидетельство защиты по шагу «создать достоверный инвентарь» с датой, источником и итогом теста.
• Неготовая роль: при действии «создать достоверный инвентарь» в теме «управление уязвимостями» возникает отклонение: для «создать достоверный инвентарь» нет проверки в контуре «управление уязвимостями».

Определить источники уязвимостей: управление уязвимостями

Исключение не должно становиться постоянным обходом. Для шага «определить источники уязвимостей» руководитель безопасности записывает артефакт операции «определить источники уязвимостей» для темы «управление уязвимостями»: свидетельство защиты по шагу «определить источники уязвимостей» с датой, источником и итогом теста, причину, компенсирующую меру и срок закрытия. В «управление уязвимостями» регулярно ищите просроченные исключения. Ошибка: при действии «определить источники уязвимостей» в теме «управление уязвимостями» возникает отклонение: для «определить источники уязвимостей» нет проверки в контуре «управление уязвимостями».

• Исключение: «определить источники уязвимостей» в системе «управление уязвимостями».
• Кто принимает: руководитель безопасности.
• Компенсация: артефакт операции «определить источники уязвимостей» для темы «управление уязвимостями»: свидетельство защиты по шагу «определить источники уязвимостей» с датой, источником и итогом теста.
• Просрочка: при действии «определить источники уязвимостей» в теме «управление уязвимостями» возникает отклонение: для «определить источники уязвимостей» нет проверки в контуре «управление уязвимостями».

Настроить безопасное сканирование: управление уязвимостями

После «настроить безопасное сканирование» пересмотрите модель «управление уязвимостями». архитектор защиты сопоставляет артефакт операции «настроить безопасное сканирование» для темы «управление уязвимостями»: свидетельство защиты по шагу «настроить безопасное сканирование» с датой, источником и итогом теста с показателем «покрытие активов, возраст уязвимостей, время исправления по критичности, повторное появление, исключения и проверка закрытия» и обновляет правила по факту. Отдельно сохраните удачные и неудачные решения. При риске «при действии «настроить безопасное сканирование» в теме «управление уязвимостями» возникает отклонение: для «настроить безопасное сканирование» нет проверки в контуре «управление уязвимостями»» назначьте повторную проверку.

• Урок: «настроить безопасное сканирование» в системе «управление уязвимостями».
• Кто закрепляет: архитектор защиты.
• Новое правило: артефакт операции «настроить безопасное сканирование» для темы «управление уязвимостями»: свидетельство защиты по шагу «настроить безопасное сканирование» с датой, источником и итогом теста.
• Повторная проверка: при действии «настроить безопасное сканирование» в теме «управление уязвимостями» возникает отклонение: для «настроить безопасное сканирование» нет проверки в контуре «управление уязвимостями».

Проверять находки и дубликаты: управление уязвимостями

Для контроля «управление уязвимостями» сначала определите защищаемый объект. На операции «проверять находки и дубликаты» администратор системы оформляет артефакт операции «проверять находки и дубликаты» для темы «управление уязвимостями»: свидетельство защиты по шагу «проверять находки и дубликаты» с датой, источником и итогом теста. Проверьте сценарий «компания поддерживает облачные серверы, рабочие станции, контейнеры и собственный код» с обычным пользователем и нарушителем. Риск «при действии «проверять находки и дубликаты» в теме «управление уязвимостями» возникает отклонение: для «проверять находки и дубликаты» нет проверки в контуре «управление уязвимостями»» означает, что мера существует только формально.

• Актив: «проверять находки и дубликаты» в системе «управление уязвимостями».
• Владелец: администратор системы.
• Доказательство: артефакт операции «проверять находки и дубликаты» для темы «управление уязвимостями»: свидетельство защиты по шагу «проверять находки и дубликаты» с датой, источником и итогом теста.
• Пробел: при действии «проверять находки и дубликаты» в теме «управление уязвимостями» возникает отклонение: для «проверять находки и дубликаты» нет проверки в контуре «управление уязвимостями».

Добавить контекст эксплуатации: управление уязвимостями

Шаг «добавить контекст эксплуатации» оценивают по снижению реального риска. В контуре «управление уязвимостями» владелец данных сохраняет артефакт операции «добавить контекст эксплуатации» для темы «управление уязвимостями»: свидетельство защиты по шагу «добавить контекст эксплуатации» с датой, источником и итогом теста, границу действия и известные исключения. Сопоставьте угрозу, стоимость меры и показатель «покрытие активов, возраст уязвимостей, время исправления по критичности, повторное появление, исключения и проверка закрытия». Если остаётся «при действии «добавить контекст эксплуатации» в теме «управление уязвимостями» возникает отклонение: для «добавить контекст эксплуатации» нет проверки в контуре «управление уязвимостями»», решение возвращают на уточнение.

• Угроза: «добавить контекст эксплуатации» в системе «управление уязвимостями».
• Кто решает: владелец данных.
• Оценка меры: артефакт операции «добавить контекст эксплуатации» для темы «управление уязвимостями»: свидетельство защиты по шагу «добавить контекст эксплуатации» с датой, источником и итогом теста.
• Остаточный риск: при действии «добавить контекст эксплуатации» в теме «управление уязвимостями» возникает отклонение: для «добавить контекст эксплуатации» нет проверки в контуре «управление уязвимостями».

Приоритизировать по реальному риску: управление уязвимостями

Не доверяйте одному сигналу. Для действия «приоритизировать по реальному риску» аналитик SOC собирает артефакт операции «приоритизировать по реальному риску» для темы «управление уязвимостями»: свидетельство защиты по шагу «приоритизировать по реальному риску» с датой, источником и итогом теста минимум из двух независимых источников. На примере «компания поддерживает облачные серверы, рабочие станции, контейнеры и собственный код» проверьте ложноположительный и пропущенный случаи. При риске «при действии «приоритизировать по реальному риску» в теме «управление уязвимостями» возникает отклонение: для «приоритизировать по реальному риску» нет проверки в контуре «управление уязвимостями»» автоматическое решение ограничивают.

• Сигнал: «приоритизировать по реальному риску» в системе «управление уязвимостями».
• Кто проверяет: аналитик SOC.
• Два источника: артефакт операции «приоритизировать по реальному риску» для темы «управление уязвимостями»: свидетельство защиты по шагу «приоритизировать по реальному риску» с датой, источником и итогом теста.
• Ошибка детектора: при действии «приоритизировать по реальному риску» в теме «управление уязвимостями» возникает отклонение: для «приоритизировать по реальному риску» нет проверки в контуре «управление уязвимостями».

Назначить исправление владельцу: управление уязвимостями

Разделите предупреждение и блокировку. В системе «управление уязвимостями» операция «назначить исправление владельцу» получает владельца координатор изменений, правило реакции и артефакт операции «назначить исправление владельцу» для темы «управление уязвимостями»: свидетельство защиты по шагу «назначить исправление владельцу» с датой, источником и итогом теста. Сначала протестируйте наблюдение, затем влияние на работу. Признак остановки: при действии «назначить исправление владельцу» в теме «управление уязвимостями» возникает отклонение: для «назначить исправление владельцу» нет проверки в контуре «управление уязвимостями».

• Режим реакции: «назначить исправление владельцу» в системе «управление уязвимостями».
• Кто включает: координатор изменений.
• Запись события: артефакт операции «назначить исправление владельцу» для темы «управление уязвимостями»: свидетельство защиты по шагу «назначить исправление владельцу» с датой, источником и итогом теста.
• Влияние на работу: при действии «назначить исправление владельцу» в теме «управление уязвимостями» возникает отклонение: для «назначить исправление владельцу» нет проверки в контуре «управление уязвимостями».

Управлять исключениями и SLA: управление уязвимостями

Права на шаге «управлять исключениями и SLA» выдаются под конкретную функцию и срок. Для «управление уязвимостями» группа реагирования подтверждает артефакт операции «управлять исключениями и SLA» для темы «управление уязвимостями»: свидетельство защиты по шагу «управлять исключениями и SLA» с датой, источником и итогом теста. Проверьте отзыв после смены роли и аварийный доступ. Ситуация «при действии «управлять исключениями и SLA» в теме «управление уязвимостями» возникает отклонение: для «управлять исключениями и SLA» нет проверки в контуре «управление уязвимостями»» требует немедленного разбора.

• Минимальное право: «управлять исключениями и SLA» в системе «управление уязвимостями».
• Кто одобряет: группа реагирования.
• Срок доступа: артефакт операции «управлять исключениями и SLA» для темы «управление уязвимостями»: свидетельство защиты по шагу «управлять исключениями и SLA» с датой, источником и итогом теста.
• Лишняя привилегия: при действии «управлять исключениями и SLA» в теме «управление уязвимостями» возникает отклонение: для «управлять исключениями и SLA» нет проверки в контуре «управление уязвимостями».

Повторно проверить устранение: управление уязвимостями

Доказательство безопасности должно пережить смену исполнителя. На этапе «повторно проверить устранение» владелец исключения хранит артефакт операции «повторно проверить устранение» для темы «управление уязвимостями»: свидетельство защиты по шагу «повторно проверить устранение» с датой, источником и итогом теста в общей системе. Для случая «компания поддерживает облачные серверы, рабочие станции, контейнеры и собственный код» воспроизведите проверку по инструкции. Если возникает «при действии «повторно проверить устранение» в теме «управление уязвимостями» возникает отклонение: для «повторно проверить устранение» нет проверки в контуре «управление уязвимостями»», процедуру нельзя считать рабочей.

• Процедура: «повторно проверить устранение» в системе «управление уязвимостями».
• Кто выполняет: владелец исключения.
• Повторяемый тест: артефакт операции «повторно проверить устранение» для темы «управление уязвимостями»: свидетельство защиты по шагу «повторно проверить устранение» с датой, источником и итогом теста.
• Зависимость от человека: при действии «повторно проверить устранение» в теме «управление уязвимостями» возникает отклонение: для «повторно проверить устранение» нет проверки в контуре «управление уязвимостями».

Измерять устойчивость процесса: управление уязвимостями

Изменение защиты проходит управляемый выпуск. Для «измерять устойчивость процесса» независимый аудитор прикладывает артефакт операции «измерять устойчивость процесса» для темы «управление уязвимостями»: свидетельство защиты по шагу «измерять устойчивость процесса» с датой, источником и итогом теста, тест, план отката и окно наблюдения. В теме «управление уязвимостями» сравните риск до и после. При условии «при действии «измерять устойчивость процесса» в теме «управление уязвимостями» возникает отклонение: для «измерять устойчивость процесса» нет проверки в контуре «управление уязвимостями»» выпуск останавливают.

• Изменение: «измерять устойчивость процесса» в системе «управление уязвимостями».
• Кто выпускает: независимый аудитор.
• Тест и откат: артефакт операции «измерять устойчивость процесса» для темы «управление уязвимостями»: свидетельство защиты по шагу «измерять устойчивость процесса» с датой, источником и итогом теста.
• Стоп выпуска: при действии «измерять устойчивость процесса» в теме «управление уязвимостями» возникает отклонение: для «измерять устойчивость процесса» нет проверки в контуре «управление уязвимостями».

Матрица контроля и владения

Что изучить дальше

• маскирование данных
• качество данных
• аудит ИИ-систем
• инциденты с ИИ
• маскирование данных
• персональные данные в ИИ

Чек-лист запуска