Bagaimana untuk berjaya dalam pengurusan patch semasa bertahan lama

Pengurusan patch adalah penapis relau dunia IT. Anda tahu anda perlu mengemas kini dan anda tahu anda perlu melakukannya secara tetap. Tetapi anda terus meletakkannya sehingga tiba-tiba anda lewat beberapa bulan dan anda dilanggar oleh penggodam dan perisian hasad. Seluruh proses menjadi lebih teruk kerana, anda bukan sahaja mempunyai sedikit masa berharga untuk menguruskan pelbagai tugas patch anda, tetapi sepenuhnya oleh buku ini, anda harus menguji patch ini terhadap perisian dan sistem operasi (OS) yang anda punya dipasang serta satu sama lain. Dan anda sepatutnya melakukan semua itu di antara sungai tanpa henti permintaan pengguna, keutamaan pengurusan, dan tugas sehari-hari untuk memastikan rangkaian dan pelayan anda berjalan. Tetapi orang-orang yang berhemat pada penempelan sering kali mengejar perniagaan akhir sebuah pelanggaran data besar-besaran yang membuat berita nasional dan biasanya membawa kepada diberi slip merah jambu. Jadi bagaimana anda akan menepati semua perkara itu?

Jawapan ringkasnya adalah bahawa anda mungkin tidak dapat memecahkan segala-galanya melainkan anda cukup bernasib baik untuk mempunyai kakitangan yang luar biasa besar dan Ketua Pegawai Kewangan (CFO) yang cukup murah hati untuk membayar semua orang itu bersama-sama dengan segala yang anda beli buat kerja pusat data. Terdapat pakej perisian pemantauan rangkaian yang termasuk keupayaan menampal tetapi ini biasanya tidak meliputi semua yang anda perlukan untuk menambal keluar dari satu kotak. Penyelesaian pengurusan peranti juga sering mempunyai keupayaan menampal, tetapi untuk infrastruktur, bahkan infrastruktur kritis seperti router, suis, dan peranti sejenis, anda mungkin akan menggunakan alat penekan berganda untuk jenama masing-masing.

Dan jangan fikir anda boleh melarikan diri hanya dengan menjadi sepenuhnya berasaskan awan. Pertama, hampir tidak ada 100 peratus awan berdasarkan hari ini, jadi anda pasti akan mempunyai beberapa infrastruktur pusat data di tapak. Selain itu, anda tidak akan dapat melepaskan senarai peranti klien yang semakin berkembang yang memerlukan OS dan perisian tegasan menampal serta aset tempatan yang "pintar" seperti kamera, peranti NAS (simpanan rangkaian), pencetak, dan banyak lagi. Semua itu masih perlu dikemas kini, jadi syaitan patch akan datang untuk mencari anda tidak kira apa.

Sekiranya anda seperti banyak pengurus, maka anda akan mendapat kakitangan anda tentang apa yang kelihatan sebagai pembaharuan yang paling penting. Anda memuat turun mereka, mungkin menguji mereka, mendorong mereka ke dalam pengeluaran, dan kemudian berharap yang terbaik. Bagaimana anda memilih pentingnya bergantung kepada pelbagai faktor atau keutamaan peribadi, tetapi ia kerap didasarkan pada eksploitasi yang paling berbahaya. Itu mungkin kehidupan sebenar tetapi itu bukan cara terbaik untuk melakukannya.

Tugas Yang Menonjol untuk Profesional Keselamatan Siber pada 2018

Prioriti, Klasifikasi, dan Imbas

Pertama, anda mengutamakan, kata Ed Bellis, pengasas bersama dan Ketua Pegawai Teknologi (CTO) Kenna Security. "Terdapat beberapa subset kecil yang semestinya harus diprioritaskan, " kata Bellis. Anda menentukan apa yang subset patch adalah dengan melihat fungsi yang paling penting untuk perniagaan anda, dan kemudian pada patch yang akan membuat perbezaan paling besar pada fungsi tersebut.

"Sebagai contoh, e-mel mungkin kritikal, dan ia mungkin terdiri daripada peranti yang kritikal, " jelas Sean Blenkhorn, Field CTO dan VP of Engineering Sales Worldwide di eSentire. Dia berkata bahawa perlu menentukan betapa pentingnya sistem untuk perniagaan anda dan memberi tumpuan kepada yang pertama. Memecah mereka ke dalam elemen "boleh patah" mereka dan membina strategi anda dari sana. Dalam kes ini, ia mungkin firmware pelayan, firmware storan, OS pelayan, dan perisian pelayan e-mel serta perisian anti-malware / anti-spam sisi pelayan yang berkaitan jika ada. Perisian perlindungan endpoint yang berorientasikan pelanggan biasanya bukan sebahagian besar strategi menampal manual kerana perisian sejenis itu mengemas kini dirinya sendiri kecuali jika IT menentukan sebaliknya.

Blenkhorn berkata bahawa kesilapan yang dibuat oleh banyak organisasi adalah untuk mengendalikan pengimbas terdedah dahulu, tetapi dia mengatakan bahawa, tanpa mengklasifikasikan sistem yang paling penting terlebih dahulu, anda boleh berakhir dengan halaman hasil kerentanan dan tidak tahu kapan atau jika memohon perbaikan.

"Pertama, lakukan klasifikasi dan kemudian lakukan pengimbasan, " kata Blenkhorn. Beliau berkata bahawa tiga pengimbas kerentanan yang dilihatnya paling kerap digunakan adalah dari Qualys atau Tenable, tetapi dia menyatakan bahawa terdapat beberapa orang lain.

Beliau berkata sebab anda mengklasifikasikan sistem anda sebelum mengimbas supaya anda boleh membuat keputusan bijak tentang keutamaan mereka. Sebagai contoh, jika anda menemui kelemahan yang serius dalam sistem yang jarang digunakan atau yang tidak melakukan apa-apa yang sangat penting, maka mungkin lebih baik sekadar menghapuskan sistem itu, atau sekurang-kurangnya mematikannya sehingga anda dapat mendapatkan waktu untuk menampalnya.

The Impossible Dream: Patch All Vulnerabilities

Dengan melakukan klasifikasi terlebih dahulu, anda juga boleh belajar apabila kerentanan mesti ditapis segera, mungkin kerana ia penting untuk organisasi anda dan juga menghadapi internet. Mungkin anda juga boleh menangguhkan menampal sistem yang mempunyai kelemahan yang tidak mempunyai eksploitasi, tidak menghadap ke internet, atau keduanya. Beliau berkata adalah penting bukan sahaja untuk menentukan sama ada terdapat kelemahan, tetapi juga jika eksploitasi wujud dan jika eksploit digunakan.

Dalam banyak kes, Blenkhorn berkata, tidak ada eksploitasi di dunia nyata, yang bermaksud bahawa ia mungkin lebih masuk akal untuk memberi tumpuan kepada tindakan lain. Salah satu cara untuk mendapatkan pengendalian terhadap kelemahan ialah melihat laporan penilaian keselamatan siber profesional daripada vendor seperti Kenna Security. Laporan ini menganalisis pelbagai pangkalan data ancaman dan melaporkan penemuan mereka, mengukur kelemahan pada pelbagai faktor bergantung pada bagaimana vendor laporan mendekati subjek.

"laporan pertama kami yang keluar musim bunga lepas, " kata Bellis, "kami melihat setiap kelemahan dalam pangkalan data." Beliau berkata laporan kedua mereka hanya keluar pada bulan Januari 2019. Menurut Bellis, analisisnya memberi tumpuan kepada fakta bahawa sangat sedikit kelemahan yang sebenarnya mempunyai eksploitasi yang diketahui, yang bermakna ia lebih masuk akal untuk memberi tumpuan kepada mereka daripada kelemahan yang mungkin tidak pernah diserang. Laporan ini membantu para profesional IT membuat penentuan ini untuk infrastruktur yang telah mereka pasang.

"Kami memecahkan kelemahan tersebut dengan sumber teknologi, " jelas Bellis. Beliau berkata bahawa kelemahan yang paling penting boleh datang dari Oracle untuk jejak pangkalan data yang besar, Adobe untuk klien Reader yang meluas dan sentiasa menampal, Microsoft untuk Microsoft Windows 10, dan penyedia perisian yang sama besar. Tetapi dia menyatakan bahawa terdapat perbezaan yang besar dalam bagaimana kelemahan tersebut dikendalikan.

"Terdapat perbezaan besar dalam kadar pemulihan, " kata Bellis. "Ia menjadi sangat jelas bahawa Microsoft telah menjadikannya sangat mudah dan beroperasi untuk pelanggan menepati kelemahan mereka. Oracle dan Java berada di hujung skala yang lain."

Ambil Pendekatan Automatik

Satu lagi pendekatan adalah untuk membeli perisian khas yang akan mengambil banyak analisis dan penjadualan berat pengurusan patch dari bahu anda. Ini adalah pendekatan automatik.

"Pentadbir IT tidak boleh secara manual menyimpan akaun semua patch yang hilang dalam rangkaian mereka, " kata Giridhara Raam M, Penginjil Produk untuk ManageEngine (sebuah bahagian dari Zoho Corporation), dalam pertukaran e-mel. "Oleh itu, mereka memerlukan sistem automatik untuk mengimbas rangkaian, mengenalpasti patch yang hilang, memuat turun patch dari tapak vendor, menguji patch, dan menggunakan mesin sasaran tepat pada masanya, " katanya. "Pentadbir IT sepatutnya dapat menjadualkan penyebaran ini di luar waktu perniagaan untuk mengelakkan kerumitan untuk pekerja."

ManageEngine mempunyai alat yang boleh membantu, seperti vendor lain, termasuk LogicMonitor dan Microsoft. Walau bagaimanapun, ia masih perlu untuk mengklasifikasikan aset rangkaian anda supaya anda tahu tentang kelemahan yang anda perlukan untuk fokus.

Itu klasifikasi itu kunci. Anda tidak perlu memberi tumpuan kepada setiap kerentanan sekali gus; anda hanya perlu memulakan pada orang-orang yang kemungkinan besar akan menyebabkan masalah segera dan kemudian membina dari sana.