Главная мысль
Рассматривайте CVSS вместе с контекстом: важность актива, его доступность для атаки, сведения об эксплуатации уязвимости и защитные меры могут изменить приоритет.
Управление шире сканирования
Управление уязвимостями — постоянный процесс поиска и устранения дефектов ПО и неверных настроек систем, сетей и приложений. Оценка, проверка, определение приоритетов и исправление — разные задачи. Учитывайте устройства, серверы, ПО и облака. Проверяйте, к каким системам сканер может подключиться с аутентификацией и какие активы он проверяет, сопоставляя установленные версии со сведениями поставщика об уязвимостях.
Определите охват активов
Внесите в реестр внешние и внутренние системы, устройства, сетевое оборудование, облачные ресурсы и приложения; для каждого укажите владельца и среду эксплуатации. Запишите разрешения сканера, активы вне охвата и время проведения проверки. Согласуйте окно сканирования с владельцем сервиса и проверьте влияние на критичные системы.
Проверьте выявленную проблему и добавьте контекст
Проверьте, верно ли определены актив и версия ПО и соответствует ли выявленная проблема реальной конфигурации. Документируйте ложные срабатывания, ограничения проверки и компенсирующие меры. Для подтверждённой проблемы укажите владельца актива, затрагиваемые данные и сервисы, чтобы определить приоритет исправления.
Приоритет по риску
CVSS описывает техническую серьёзность уязвимости. Для оценки риска для бизнеса учитывайте критичность актива, его доступность для атаки, сведения об эксплуатации уязвимости и возможный ущерб. Сначала оценивайте важные сервисы, доступные из интернета системы и уязвимости, которые уже используют в атаках. Даже уязвимость с низкой оценкой может требовать срочного исправления, если открывает путь к критичной системе. Учитывайте оценку последствий владельцем актива и зависимости, влияющие на исправление; фиксируйте срок реагирования, порядок эскалации и основания решения.
Выбор исправления и исключения
Сравнивайте снижение риска, стоимость и влияние на работу. Назначьте ответственного за изменение, согласуйте время тестирования и подготовьте план отката. При отсрочке исправления оформите утверждённое владельцем риска исключение с компенсирующей мерой, остаточными последствиями и сроком. Снижение риска ещё не означает устранение проблемы; сохраняйте обоснование выбранной меры и дату пересмотра.
| Мера | Когда рассматривать | Подтверждение результата |
|---|---|---|
| Патч или обновление | Доступно поддерживаемое и проверенное исправление. | Версия и конфигурация, результат повторной проверки. |
| Конфигурация или сегментация | Нужно ограничить доступ по возможному пути атаки или временно снизить уязвимость системы к атаке. | Описание изменённой защитной меры и результат проверки её действия; неустранённую проблему отслеживайте отдельно. |
| Вывод или замена | Актив не поддерживается, не нужен или проблему нельзя устранить на длительный срок. | Перенос данных и зависимых сервисов, подтверждение удаления актива. |
Проверьте исправление
Закрывайте задачу после подтверждения, что изменение внесено на нужном активе и результат проверен. Если исправление не прошло проверку или проблема повторилась, верните задачу ответственному.
Проверьте изменение
Сверьте актив, версию ПО и конфигурацию с согласованной записью об изменении.
Проверьте результат
Выполните разрешённое повторное сканирование или подходящую техническую проверку; укажите охват и дату.
Закройте или верните в работу
Сохраните результаты проверки, на основании которых закрыта задача. Если исправление не прошло проверку или проблема повторилась, назначьте исполнителя и проверьте действующие защитные меры.
Отчитывайтесь о результатах программы
Для каждой выявленной проблемы укажите владельца риска, срок исправления, выбранную меру и результат повторной проверки. Отслеживайте охват проверок, неустранённые критичные проблемы, время исправления и задачи, возвращённые в работу. Руководству показывайте динамику риска, команде — задачи; используйте результаты при выборе инвестиций и улучшении процесса.