Dokazima do brže primene kritičnih bezbednosnih mera
Kritične bezbednosne ispravke često ostaju u redu za odobravanje i kada su rizik i predložena mera već poznati. Check Point u okviru pristupa Safe Remediation navodi da je 47% merenih organizacija imalo aktivirano manje od 50% dostupnih zaštita, dok su evidentirane akcije sanacije ostvarile stopu uspeha od 99,5%.
Zastoj ne mora da znači da bezbednosni tim ne razume pretnju. Vlasnici aplikacija i infrastrukture moraju da procene može li IPS zaštita blokirati legitiman saobraćaj, da li promena konfiguracije prekida servis i kakav će efekat politika za krajnje tačke imati na poslovne aplikacije.
Od posmatranja do potvrđene zaštite
Safe Remediation zasniva se na četiri faze: Observe, Prove, Act i Confirm. Najpre se koriste podaci koje bezbednosni i IT sistemi već proizvode: nalazi o ranjivostima, IPS saobraćaj, iskorišćenost uređaja, politike krajnjih tačaka i stanja konfiguracije.
Faza dokazivanja prilagođava se kontroli koja se menja. IPS pravilo može da prati produkcioni saobraćaj u režimu Detect pre prelaska u Prevent, kako bi timovi procenili lažno pozitivne rezultate i uticaj na performanse. Ojačavanje operativnog sistema može da počne na odabranoj testnoj grupi hostova, uz ponovnu proveru svakog sistema nakon izvršenja.
Podešavanja krajnjih tačaka mogu se procenjivati prema proizvođačevom osnovnom standardu za ojačavanje sistema. Tako bezbednosni tim obrazlaže očekivanu zaštitu, dok vlasnici infrastrukture i aplikacija procenjuju posledice za sisteme koje održavaju.
Privremena kontrola nije zamena za zakrpu
Zakrpavanje rešava osnovnu ranjivost, ali testiranje, koordinacija i rasporedi primene mogu produžiti vreme do produkcije. U tom periodu postojeći IPS potpis ili virtuelna zakrpa mogu pomoći u blokiranju relevantnog puta eksploatacije.
Povezivanje podataka o ranjivosti sa pokrivenošću kontrolama pokazuje da li odgovarajuća zaštita postoji i da li je neaktivna, u režimu Detect ili već sprovedena. Ako ne postoji kompenzujuća kontrola, potrebni su hitno zakrpavanje ili druga mera. Evidencija sanacije treba jasno da razlikuje privremenu zaštitu od trajnog otklanjanja ranjivosti.
Odobrenje, izvršenje i provera u istom toku
Nakon procene, organizacija može zahtevati odobrenje obima promene ili dozvoliti automatizovano izvršenje kroz unapred podešene tokove rada. IPS promene mogu ići preko bezbednosnog upravljačkog servera, ojačavanje operativnih sistema preko postojeće infrastrukture za upravljanje zakrpama, a podržane promene krajnjih tačaka preko API-ja proizvođača.
Potvrda zatvara proces: instalacija politike pokazuje da je IPS zaštita prešla u primenu, provere hostova potvrđuju ojačavanje, a zapisi izvršenja izdvajaju neuspele i nerešene radnje uz korisnika, vreme i povezanu izloženost. Tokom jednog meseca, zaštite primenjene kroz sanaciju potom su blokirale 703,56 miliona napada, od čega 21 milion u prva 24 sata nakon sanacije, u posmatranim okruženjima.
Za poslovanje je praktičan zaključak da prioritet ranjivosti treba povezati sa proverom uticaja, jasnim odobrenjem i potvrdom stvarne primene. Takav tok ne uklanja potrebu za zakrpavanjem, ali omogućava kontrolisano smanjenje izloženosti dok trajno rešenje ne stigne u produkciju.