مدیریت آسیب پذیری چیست؟

مدیریت آسیب پذیری فرآیند شناسایی، ارزیابی، اولویت بندی، اصلاح و گزارش آسیب پذیری های امنیتی در برنامه های وب، رایانه ها، دستگاه های تلفن همراه و نرم افزارها است.

مدیریت آسیب پذیری مداوم برای امنیت سایبری و امنیت شبکه جدایی ناپذیر است و در فهرست کنترل های امنیتی اساسی مرکز امنیت اینترنت (CIS) قرار دارد و اشاره می کند که سازمان ها باید "به طور مداوم اطلاعات جدید را به دست آورند تا آسیب پذیری ها را شناسایی کنند و پنجره فرصت را برای مهاجمان اصلاح و به حداقل برسانند. ”

به طور خلاصه، مدیریت آسیب پذیری فرآیندی را برای شناسایی، اولویت بندی و اصلاح بردارهای حمله احتمالی و به حداقل رساندن سطح حمله آنها در اختیار سازمان ها قرار می دهد.

آسیب پذیری چیست؟

آسیب پذیری ضعفی است که می تواند توسط یک حمله سایبری برای دسترسی غیرمجاز به یک سیستم رایانه ای یا انجام اقدامات غیرمجاز مورد سوء استفاده قرار گیرد. آسیب پذیری ها می توانند به مهاجمان اجازه دهند تا کد را اجرا کنند، به حافظه سیستم دسترسی داشته باشند، بدافزار نصب کنند و داده های حساس را سرقت، از بین ببرند یا تغییر دهند.

نگران کننده ترین آسیب پذیری ها برای تیم های امنیتی، آسیب پذیری های کرم قابل کرم مانند حمله باج افزار کرم رمزنگاری WannaCry هستند. کرم های کامپیوتری نوعی نرم افزار مخرب هستند که خود تکثیر می شوند و رایانه های دیگر را آلوده می کنند در حالی که در سیستم های آلوده فعال می مانند.

کرم ها اغلب به اقدامات و بهره برداری از آسیب پذیری ها در پروتکل های شبکه، سیستم عامل ها یا درهای پشتی برای انتشار بدون اطلاع کاربر متکی هستند.

یک نمونه اولیه کرم موریس است. کرم موریس یکی از اولین کرم های اینترنتی بود و برای برجسته کردن نقص های امنیتی به جای ایجاد آسیب نوشته شده بود.

با سوء استفاده از آسیب پذیری های شناخته شده، مانند آسیب پذیری هایی که اکنون در CVE فهرست می شوند، در انگشتی ارسال ایمیل یونیکس، rsh/rexec و همچنین رمزهای عبور ضعیف گسترش یافت. در اوج خود، کرم موریس تقریبا 10 درصد از کل رایانه های مجهز به اینترنت در آن زمان اجرا می شد.

کرم موریس نیاز به نرم افزار مدیریت آسیب پذیری و اینکه چرا تیم های امنیتی باید سیستم های خود را به روز نگه دارند، برجسته می کند.

گفته می شود، خطرناک ترین آسیب پذیری ها به عنوان آسیب پذیری های روز صفر شناخته می شوند. آسیب پذیری های روز صفر، آسیب پذیری های اصلاح نشده ای هستند که برای توسعه دهندگان نرم افزار، سخت افزار یا سیستم عامل ناشناخته هستند و بنابراین وصله ندارند.

BlueKeep (CVE-2019-0708) نمونه ای از نقص اجرای کد از راه دور است که تقریبا یک میلیون سیستم (از 29 مه 2019) را تحت تأثیر قرار می دهد (از 29 مه 2019) که نسخه های قدیمی سیستم عامل های مایکروسافت را اجرا می کنند.

این آسیب پذیری روز صفر در طول پچ سه شنبه مایکروسافت در ماه مه 2019 به دلیل کرم پذیری آن خبرساز شد.

این بدان معناست که حملات سایبری موفق با استفاده از BlueKeep می تواند به روشی مشابه اکسپلویت EternalBlue WannaCry منتشر شود.

مایکروسافت BlueKeep را به عنوان یک تهدید سایبری بزرگ برای امنیت اطلاعات و امنیت سایبری می دید که وصله هایی را برای سیستم عامل های خارج از پشتیبانی و پایان عمر مانند ویندوز 2003 و ویندوز XP منتشر کرد.

چرا مدیریت آسیب پذیری مورد نیاز است؟

رشد فزاینده جرایم سایبری و بررسی های نظارتی روزافزون سازمان ها را مجبور می کند تا توجه بیشتری به امنیت اطلاعات داشته باشند. فرآیند مدیریت آسیب پذیری باید بخشی از استراتژی کلی مدیریت ریسک اطلاعات سازمان باشد.

این فرآیند به سازمان ها اجازه می دهد تا یک نمای کلی از آسیب پذیری ها در محیط فناوری اطلاعات خود و خطرات مرتبط با آنها به دست آورند.

تنها با شناسایی و کاهش آسیب پذیری ها سازمان ها می توانند خطر سوء استفاده مهاجمان از آسیب پذیری های جدید را کاهش دهند، وصله آسیب پذیری های شناسایی شده همانطور که در CVE و سایر پایگاه داده های آسیب پذیری فهرست شده اند، یک استراتژی مدیریت ریسک موثر است که ریسک امنیت سایبری را کاهش می دهد.

ویژگی های کلیدی نرم افزار موثر اصلاح ریسک را بیاموزید>

فرآیند مدیریت آسیب پذیری چیست؟

فرآیند مدیریت آسیب پذیری یک عمل چرخه ای برای شناسایی، طبقه بندی، اصلاح و کاهش آسیب پذیری های امنیتی است. عناصر ضروری برای هر برنامه مدیریت آسیب پذیری تشخیص آسیب پذیری، ارزیابی آسیب پذیری و گزارش دهی است.

کامل ما را در مورد ارزیابی آسیب پذیری بخوانید اینجا کلیک نمایید.

آسیب پذیری ها چگونه شناسایی می شوند؟

در قلب یک ابزار مدیریت آسیب پذیری معمولی، یک اسکنر آسیب پذیری قرار دارد.

اسکنر آسیب پذیری نرم افزاری است که برای ارزیابی رایانه ها، شبکه ها یا برنامه ها برای آسیب پذیری های شناخته شده مانند موارد ذکر شده در CVE طراحی شده است. اسکن آسیب پذیری می تواند آسیب پذیری های ناشی از پیکربندی نادرست و برنامه نویسی معیوب در یک شبکه را شناسایی و شناسایی کند و اسکن های احراز هویت شده و احراز هویت نشده را انجام دهد:

• اسکن های احراز هویت: به اسکنرهای آسیب پذیری اجازه دهید با استفاده از پروتکل های مدیریتی از راه دور مانند پوسته امن (SSH) یا پروتکل دسکتاپ از راه دور (RDP) به منابع شبکه دسترسی داشته باشند و با استفاده از اعتبارنامه های سیستم ارائه شده احراز هویت کنند. مزیت اسکن های احراز هویت شده این است که دسترسی به داده های سطح پایین مانند خدمات خاص، جزئیات پیکربندی و اطلاعات دقیق در مورد سیستم عامل ها، نرم افزارهای نصب شده، مشکلات پیکربندی، کنترل دسترسی، کنترل های امنیتی و مدیریت وصله را فراهم می کنند.
• اسکن های احراز هویت نشده: دسترسی به منابع شبکه را فراهم نکنید، که می تواند منجر به مثبت نادرست و اطلاعات غیرقابل اعتماد در مورد سیستم عامل ها و نرم افزارهای نصب شده شود. این نوع اسکن به طور کلی توسط مهاجمان سایبری و تحلیلگران امنیت فناوری اطلاعات برای تلاش و تعیین وضعیت امنیتی دارایی های خارجی ، فروشندگان شخص ثالث و یافتن نشت احتمالی داده ها استفاده می شود.

مانند هر سرویس امنیتی، اسکنرهای آسیب پذیری کامل نیستند، به همین دلیل است که تکنیک های دیگری مانند تست نفوذ و هک گوگل توسط سازمان ها به کار گرفته می شوند.

تست نفوذ تمرین آزمایش یک دارایی فناوری اطلاعات برای یافتن آسیب پذیری های قابل بهره برداری است و می تواند با نرم افزار خودکار شود یا به صورت دستی انجام شود.

چه خودکار و چه دستی، تست نفوذ اطلاعات مربوط به هدف خود را جمع آوری می کند، بردارهای حمله احتمالی را شناسایی می کند و سپس سعی می کند از آنها سوء استفاده کند. سپس آزمایش کنندگان قلم یافته های خود را گزارش می دهند. همچنین می توان از آن برای آزمایش کنترل های امنیتی محلی، پایبندی به سیاست های امنیت اطلاعات، حساسیت کارکنان به حملات مهندسی اجتماعی مانند فیشینگ یا فیشینگ نیزه ای و همچنین آزمایش برنامه های واکنش به حادثه استفاده کرد.

هک گوگل استفاده از یک موتور جستجو برای یافتن آسیب پذیری های امنیتی است. تیم های فناوری اطلاعات و مهاجمان به طور یکسان می توانند از اپراتورهای جستجوی پیشرفته در پرس و جوهایی استفاده کنند که اطلاعات یا اطلاعاتی را که به سختی پیدا می شوند یا اطلاعاتی را که به طور تصادفی از طریق پیکربندی نادرست ابزارهای امنیتی و سرویس های ابری در معرض دید قرار می گیرند، پیدا می کنند. این آسیب پذیری ها به دو دسته تقسیم می شوند، یعنی آسیب پذیری های نرم افزاری و پیکربندی های نادرست.

فرآیند ارزیابی آسیب پذیری چیست؟

فرآیند ارزیابی آسیب پذیری را می توان به پنج مرحله تقسیم کرد:

1. شناسایی آسیب پذیری ها: تجزیه و تحلیل اسکن های شبکه، نتایج تست نفوذ، گزارش های فایروال و نتایج اسکن آسیب پذیری برای یافتن ناهنجاری هایی که نشان می دهد حمله سایبری می تواند از یک آسیب پذیری استفاده کند.
2. تأیید آسیب پذیری ها: تصمیم بگیرید که آیا آسیب پذیری شناسایی شده می تواند مورد سوء استفاده قرار گیرد یا خیر و شدت اکسپلویت را برای درک سطح ریسک امنیتی طبقه بندی کنید.
3. اولویت بندی آسیب پذیری ها: ارزیابی کنید که کدام آسیب پذیری ها ابتدا بر اساس کرم پذیری و سایر خطرات کاهش یا اصلاح می شوند.
4. کاهش آسیب پذیری ها: در مورد اقدامات متقابل و نحوه اندازه گیری اثربخشی آنها در صورت در دسترس نبودن پچ تصمیم بگیرید.
5. رفع آسیب پذیری ها: حذف و رفع آسیب پذیری های شناخته شده برای جلوگیری از سوء استفاده بیشتر.

پس از شناسایی آسیب پذیری ها، آنها باید ارزیابی شوند تا بفهمند چه خطراتی ایجاد می کنند، راه حل های امنیتی ممکن و نحوه برخورد با آنها مطابق با استراتژی مدیریت ریسک سازمان شما.

راه حل های مدیریت آسیب پذیری می توانند رتبه بندی های امنیتی مانند امتیازات سیستم امتیازدهی آسیب پذیری مشترک (CVSS) را ارائه دهند که می تواند به سازمان ها کمک کند تا بفهمند ابتدا باید روی کدام آسیب پذیری ها تمرکز کنند.

برخی از موارد اضافی که باید در نظر بگیرید عبارتند از:

• آیا آسیب پذیری مثبت کاذب است؟
• آیا این آسیب پذیری از طریق اینترنت قابل سوء استفاده است یا مهاجم به دسترسی فیزیکی نیاز دارد؟
• سوء استفاده از این آسیب پذیری چقدر دشوار است؟
• آیا کد اکسپلویت در دسترس عموم برای این آسیب پذیری وجود دارد؟
• اگر از این آسیب پذیری سوء استفاده شود، تأثیر کسب و کار چیست؟
• آیا سازمان شما از یک استراتژی دفاعی عمیق استفاده می کند که احتمال و/یا تأثیر سوء استفاده از این آسیب پذیری را کاهش می دهد؟
• آسیب پذیری چند ساله است؟
• آیا سازمان شما الزامات نظارتی مانند CCPA، FISMA، GLBA، PIPEDA یا چارچوب امنیت سایبری NIST دارد؟
• میانگین هزینه نقض داده ها در صنعت شما چقدر است؟

هنگامی که یک آسیب پذیری به عنوان یک خطر امنیت سایبری قابل قبول تلقی شد، گام بعدی اولویت بندی نحوه برخورد با آن است:

• اصلاح: آسیب پذیری وصله شده است و نمی توان از آن سوء استفاده کرد.
• کاهش: احتمال یا تأثیر سوء استفاده از آسیب پذیری به حداقل می رسد.
• پذیرش: هیچ اقدامی انجام نمی شود زیرا آسیب پذیری کم خطر تلقی می شود یا هزینه آن به طور قابل توجهی بیشتر از هزینه ای است که در صورت سوء استفاده توسط سازمان شما متحمل می شود.

بسیاری از سیستم های مدیریت آسیب پذیری تکنیک های اصلاح توصیه شده را برای آسیب پذیری های رایج ارائه می دهند، که می تواند به سادگی نصب وصله های امنیتی در دسترس یا به پیچیدگی جایگزینی سخت افزار باشد.

آیا آسیب پذیری ها باید به صورت عمومی گزارش شوند؟

بحث در مورد اینکه آیا آسیب پذیری های جدید باید توسط سازمان هایی که آنها را پیدا می کنند گزارش شود یا خیر وجود دارد، این موضوع همچنان با دو طرف مخالف بحث برانگیز است:

1. افشای کامل فوری: برخی از کارشناسان امنیت سایبری برای افشای فوری از جمله اطلاعات خاص در مورد نحوه بهره برداری از آسیب پذیری استدلال می کنند. حامیان افشای فوری معتقدند که این امر منجر به نرم افزار ایمن و وصله سریعتر می شود و امنیت نرم افزار، امنیت برنامه، امنیت رایانه، امنیت سیستم عامل و امنیت اطلاعات را بهبود می بخشد.
2. محدود به عدم افشای اطلاعات: در حالی که دیگران مخالف افشای آسیب پذیری هستند زیرا معتقدند از آسیب پذیری مورد سوء استفاده قرار می گیرد. حامیان افشای محدود معتقدند محدود کردن اطلاعات به گروه های منتخب، خطر بهره کشی را کاهش می دهد.

مانند بسیاری از استدلال ها، هر دو طرف نکات معتبری دارند.

درباره برنامه های افشای آسیب پذیری در اینجا بیشتر بدانید >

آیا باید نگران آسیب پذیری فروشندگان شخص ثالث خود باشم؟

مدیریت ریسک فروشنده (VRM) بخشی از مدیریت آسیب پذیری است که اغلب نادیده گرفته می شود. دیگر تمرکز صرف بر امنیت سایبری داخلی خود کافی نیست. اگر فروشندگان شخص ثالث شما راه حل های امنیتی و استانداردهای امنیتی یکسانی نداشته باشند، شما و داده های حساس مشتریتان در معرض خطر هستید.

بله، برون سپاری می تواند مزایای استراتژیک (هزینه های کمتر، دسترسی به تخصص و تمرکز سازمانی) را به همراه داشته باشد. با این حال، همچنین می تواند آسیب پذیری های بیشتری را معرفی کند که در کنترل فوری شما نیستند و حملات سایبری و جاسوسی شرکت ها را ممکن می کند.

فروشندگان شخص ثالث با امنیت اطلاعات ضعیف، ریسک امنیت سایبری قابل توجهی را در قالب ریسک شخص ثالث و ریسک شخص چهارم معرفی می کنند.

اینجاست که VRM می تواند کمک کند. برنامه های VRM به مدیریت و نظارت بر ریسک شخص ثالث و چهارم و همچنین اطمینان از عدم افشای داده های مشتری و داده های سازمانی در نقض داده های شخص ثالث یا چهارم و نشت داده ها مربوط می شوند.

افزایش بررسی نظارتی به این معنی است که تیم های مدیریت ریسک فروشنده ضعیف هستند و باید تا حد امکان به خودکارسازی از جمله پرسشنامه های فروشنده نگاه کنند.

این اشتباه را مرتکب نشوید که فقط در مورد توافق نامه های سطح خدمات با فروشندگان بالقوه مذاکره کنید، فروشندگان را در زمان واقعی نظارت کنید و درخواست اصلاح آسیب پذیری های پرخطر یا تغییر فروشندگان را داشته باشید.

سیاست امنیت اطلاعات سازمان شما باید بر هر دو وضعیت امنیتی شخص اول، سوم و چهارم تمرکز کند، که به معنای سرمایه گذاری زمان برای توسعه یک چارچوب مدیریت ریسک شخص ثالث قوی است. و گزارش SOC 2 فروشنده خود را بخواهید.

حتی ممکن است از نظر قانونی در قبال نقض داده های شخص ثالث که بسته به صنعت شما ناشی از مدیریت ضعیف آسیب پذیری است، مسئول باشید.

شرکت هایی مانند Intercontinental Exchange، Taylor Fry، بورس اوراق بهادار نیویورک، IAG، First State Super، Akamai، Morningstar و NASA از UpGuard برای محافظت از داده های خود، جلوگیری از نقض داده ها، نظارت بر آسیب پذیری ها و جلوگیری از بدافزارها استفاده می کنند.

ما متخصص نقض داده ها و نشت داده ها هستیم، تحقیقات ما در نیویورک تایمز، وال استریت ژورنال، بلومبرگ، واشنگتن، فوربس، رویترز و Techcrunch به نمایش گذاشته شده است.

UpGuard Vendor Risk می تواند مدت زمانی را که سازمان شما صرف مدیریت روابط شخص ثالث می کند با خودکارسازی پرسشنامه های فروشنده و نظارت مداوم بر وضعیت امنیتی فروشندگان شما در طول زمان و در عین حال محک زدن آنها با صنعت خود به حداقل برساند.

هر فروشنده بر اساس 70+ معیار مانند وجود SSL و DNSSEC و همچنین خطر ربودن دامنه، حملات man-in-the-middle و جعل ایمیل برای فیشینگ رتبه بندی می شود.

هر روز، پلتفرم ما به فروشندگان شما امتیاز امنیت سایبری از 950 امتیاز می دهد. در صورت کاهش امتیاز آنها به شما هشدار خواهیم داد.

UpGuard BreachSight می تواند به نظارت بر DMARC، مبارزه با اشتباهات تایپ، جلوگیری از نقض داده ها و نشت داده ها، جلوگیری از جریمه های نظارتی و محافظت از اعتماد مشتری از طریق رتبه بندی امنیت سایبری و تشخیص مداوم، کمک کند.