Od skenu zranitelností k nápravě: Jak rozhodnout, co opravit jako první

Sken zranitelností je hotový a před vámi leží seznam desítek, stovek nebo i tisíců nálezů. Co teď? Nejjednodušší by bylo začít položkami označenými jako kritické a postupovat směrem dolů. V praxi ale takový přístup často nevede k nejlepšímu výsledku.

Stejná zranitelnost může mít úplně jiný význam na veřejně dostupném produkčním systému než na izolovaném testovacím serveru. Prioritu proto neurčuje jen technická závažnost nálezu, ale také to, kde se nachází, jak důležitý je daný systém pro provoz firmy a jaké riziko jeho napadení skutečně představuje.

Smyslem řízení zranitelností proto není opravit co nejvyšší počet položek. Cílem je nejdříve odstranit ty, které mohou firmě způsobit největší problém.

1. Nejdříve zjistěte, kterého systému se nález týká

Výstup ze skeneru je technický. Pro správné rozhodnutí ale potřebujete doplnit také provozní a byznysový kontext.

U každého významnějšího nálezu by proto mělo být jasné, na jakém aktivu se nachází a k čemu toto aktivum organizace používá.

Ptejte se například:

• Je systém součástí klíčové služby nebo procesu?

• Je dostupný z internetu, nebo pouze z interní sítě?

• Pracuje s citlivými nebo osobními údaji?

• Co by se stalo, kdyby byl systém nedostupný nebo kompromitovaný?

• Jsou na něm závislé další důležité systémy?

Právě zde se ukazuje, proč by evidence zranitelností neměla fungovat odděleně od řízení aktiv a rizik. Bez informace o významu systému totiž samotný technický nález říká jen část příběhu.

2. Kritické skóre automaticky neznamená první místo ve frontě

Nástroje pro skenování obvykle pracují s technickým hodnocením závažnosti, například pomocí CVSS. Je to užitečný výchozí bod, ne hotové rozhodnutí o prioritě.

Představte si dvě zranitelnosti.

První má velmi vysoké skóre, ale nachází se na izolovaném testovacím serveru. Druhá má o něco nižší skóre, ale zasahuje veřejně dostupnou aplikaci, přes kterou lze získat přístup k citlivým údajům.

V takovém případě může být právě druhý nález pro firmu výrazně urgentnější.

Do rozhodování je vhodné zahrnout také informace o tom, zda se daná zranitelnost aktivně zneužívá. Praktickým zdrojem je například veřejný katalog známých zneužívaných zranitelností CISA Known Exploited Vulnerabilities.

3. Prioritu určujte podle skutečného rizika pro firmu

Dobrá prioritizace kombinuje několik pohledů: technickou závažnost nálezu, význam zasaženého aktiva, jeho expozici, možné dopady a existující bezpečnostní opatření.

Vyšší prioritu tak typicky dostanou nálezy, které se týkají:

• systémů dostupných z internetu,

• kritických produkčních systémů,

• systémů s citlivými daty nebo privilegovanými účty,

• aktiv, na kterých závisí důležité služby,

• zranitelností, u kterých je známé aktivní zneužívání.

Naopak nález na méně významném, dobře izolovaném systému může být naplánován na pozdější termín, pokud jsou rizika dostatečně ošetřena jinými opatřeními.

Důležité je, aby toto rozhodnutí nebylo pouze intuitivní. Mělo by být možné zpětně vysvětlit, proč dostal jeden problém přednost před druhým.

4. Z nálezu musí vzniknout konkrétní úkol

Jedním z častých problémů řízení zranitelností je, že technický tým má k dispozici seznam nálezů, ale není jasné, kdo je má řešit, do kdy a jak se následně ověří náprava.

U relevantních zranitelností by proto měl být proces jednoduchý a dohledatelný:

nález → aktivum → riziko → opatření → vlastník → termín → ověření

Samotná náprava přitom nemusí vždy znamenat okamžitou instalaci opravy.

Podle situace může jít například o aktualizaci systému, změnu konfigurace, omezení přístupu, segmentaci sítě nebo jiné dočasné kompenzační opatření do doby, než bude možné provést trvalé řešení.

Tím se z dlouhého seznamu technických nálezů stává reálný plán práce, který lze řídit podle rizika a dostupných kapacit.

5. „Opraveno“ nestačí. Nápravu je potřeba také ověřit

Jakmile je opatření provedeno, měl by následovat ještě jeden krok: ověření, že problém skutečně zmizel a že nové opatření funguje tak, jak má.

V praxi to může znamenat opakovaný sken, kontrolu konfigurace nebo jiné technické ověření.

Z pohledu řízení bezpečnosti je zároveň důležité zachovat informaci o tom, co bylo provedeno, kdo změnu schválil a jaký důkaz potvrzuje uzavření nálezu.

To je důležité nejen pro interní řízení, ale také při auditu nebo dokazování plnění bezpečnostních opatření v rámci ISO 27001, NIS2 nebo nového zákona o kybernetické bezpečnosti.

6. Propojte zranitelnosti s aktivy, riziky a nápravou

Pokud jsou výsledky skenů v jednom nástroji, seznam aktiv v druhém, registr rizik v Excelu a plán nápravy v další tabulce, prioritizace se velmi rychle stává ruční a nepřehlednou.

AuditMaster.ai proto propojuje řízení aktiv, zranitelností, rizik, kontrol a nápravných opatření v jednom kontextu. Pomocí znalostí struktury a priority aktiv a s pomocí AI navrhujeme priority při opravách zranitelností

U nálezu tak lze sledovat nejen jeho technickou závažnost, ale také to, jakého aktiva se týká, jaké riziko vytváří a kdo odpovídá za nápravu.

Výhodou není jen lepší přehled. Pokud se změní kritičnost aktiva nebo se objeví nový významný nález, lze podle toho upravit i prioritu souvisejících rizik a úkolů.

Vulnerability management není závod v počtu uzavřených nálezů

Sken zranitelností je začátek, ne výsledek.

Hodnotu přináší až ve chvíli, kdy organizace dokáže nálezy zasadit do vlastního prostředí a rozhodnout, co představuje největší riziko právě pro ni.

Dobře nastavený proces proto nesměřuje k tomu, aby byl seznam co nejrychleji prázdný. Směřuje k tomu, aby firma nejdříve řešila zranitelnosti, které mohou mít největší dopad, a dokázala své rozhodnutí i následnou nápravu doložit.

Náš nástroj poskytuje přidanou hodnotu v podobě praktického propojení nástrojů pro identifikaci technických zranitelností a systémem řízení bezpečnosti informací. Právě propojení těchto systémů zlepšuje faktickou bezpečnost organizace.

Potřebujete pomoci s posouzením nebo nápravou zranitelností?

Whirr Crew pomáhá organizacím s technickými bezpečnostními opatřeními, skenováním zranitelností i prioritizací a realizací nápravy.

Pro průběžné řízení aktiv, rizik, kontrol a nápravných opatření využíváme AuditMaster.ai.