Mikä on haavoittuvuusarviointi? Ja miten sellainen suoritetaan

Haavoittuvuusarviointi on prosessi, jossa tunnistetaan, luokitellaan ja priorisoidaan IT-infrastruktuurin tietoturva-aukkoja. Kattavassa haavoittuvuusarvioinnissa arvioidaan, onko IT-järjestelmä alttiina tunnetuille haavoittuvuuksille, määritetään tunnistetuille haavoittuvuuksille vakavuustasot ja suositellaan tarvittaessa korjaus- tai lievennystoimia.

Haavoittuvuusarvioinnit ovat yleinen tietoturvamenettely, koska ne tarjoavat yksityiskohtaisen kuvan organisaation mahdollisesti kohtaamista tietoturvariskeistä, jolloin ne voivat paremmin suojata tietotekniikkaansa ja arkaluonteisia tietojaan kyberuhkilta.

Haavoittuvuuksia löytyy kolmannen osapuolen toimittajien hallinnoimista sovelluksista tai sisäisesti valmistetuista ohjelmistoista, ja monet puutteet on helppo korjata, kun ne on tunnistettu.

Miksi haavoittuvuusarviointi on tärkeä?

Haavoittuvuusarviointi on tärkeä, koska se antaa tietoja ympäristösi tietoturvaheikkouksista ja ohjeita ongelmien korjaamiseen tai lieventämiseen ennen kuin niitä voidaan hyödyntää.

Tämä prosessi antaa sinulle paremman käsityksen IT-infrastruktuuristasi, tietoturvapuutteistasi ja yleisestä riskistäsi, mikä parantaa huomattavasti tietoturvaa ja sovellusten tietoturvastandardeja ja vähentää samalla todennäköisyyttä, että kyberrikollinen pääsee luvatta organisaatioosi.

Mitkä ovat haavoittuvuusarvioinnin eri tyypit?

Haavoittuvuusarviointeja on useita tyyppejä:

• Verkkopohjainen arviointi: Käytetään mahdollisten verkon tietoturvaongelmien tunnistamiseen ja voi havaita haavoittuvia järjestelmiä langallisissa ja langattomissa verkoissa.
• Isäntäpohjainen arviointi: Käytetään palvelimien, työasemien ja muiden verkkoisäntien haavoittuvuuksien paikantamiseen ja tunnistamiseen. Tämä tarkistus tutkii tyypillisesti avoimia portteja ja palveluita ja voi tarjota näkyvyyttä skannattujen järjestelmien määritysasetuksiin ja korjaustiedostojen hallintaan.
• Langattoman verkon arviointi: Käytetään langattoman verkon infrastruktuurin Wi-Fi-verkkojen ja hyökkäysvektorien skannaamiseen. Se voi tarkistaa, että yrityksesi verkko on määritetty turvallisesti estämään luvaton pääsy, ja voi myös tunnistaa vilpilliset tukiasemat.
• Sovelluksen arviointi: Verkkosovellusten ja niiden lähdekoodin tietoturva-aukkojen tunnistaminen käyttämällä automaattisia haavoittuvuuksien tarkistustyökaluja käyttöliittymässä tai lähdekoodin staattista/dynaamista analyysiä.
• Tietokannan arviointi: Tietokantojen tai big data -järjestelmien arviointi haavoittuvuuksien ja virheellisten määritysten varalta, roistotietokantojen tai turvattomien kehitys-/testausympäristöjen tunnistaminen ja arkaluonteisten tietojen luokittelu tietoturvan parantamiseksi.

Mikä on tietoturvahaavoittuvuuksien arviointiprosessi?

Tietoturvahaavoittuvuusprosessi koostuu viidestä vaiheesta:

1. Haavoittuvuuksien tunnistaminen: Analysoi verkkotarkistuksia, kynätestituloksia, palomuurilokeja ja haavoittuvuustarkistuksen tuloksia sellaisten poikkeamien löytämiseksi, jotka viittaavat siihen, että kyberhyökkäys voisi hyödyntää haavoittuvuutta.
2. Haavoittuvuusanalyysi: Päätä, voidaanko tunnistettua haavoittuvuutta hyödyntää, ja luokittele haavoittuvuuden vakavuus tietoturvariskin tason ymmärtämiseksi.
3. Riskinarviointi: Arvioi, mitkä haavoittuvuudet lievennetään tai korjataan ensin niiden madottavuuden ja muiden riskien perusteella.
4. Korjaus: Päivitä ohjelmisto tai laitteisto, jota ongelma koskee, jos mahdollista.
5. Lievennys: Päätä vastatoimista ja siitä, miten niiden tehokkuutta mitataan, jos korjaustiedostoa ei ole saatavilla.

Haavoittuvuuksien arviointiprosessi on kriittinen osa haavoittuvuuksien hallinnan ja IT-riskienhallinnan elinkaarta, ja se on tehtävä säännöllisesti, jotta se olisi tehokas.

Lisätietoja on haavoittuvuuksien hallintaa käsittelevässä oppaassamme.

1. Haavoittuvuuden tunnistaminen

Haavoittuvuuksien tunnistaminen on prosessi, jossa löydetään ja laaditaan täydellinen luettelo IT-infrastruktuurin haavoittuvuuksista.

Tämä saavutetaan yleensä automaattisen haavoittuvuustarkistuksen ja manuaalisen tunkeutumistestauksen yhdistelmällä.

Haavoittuvuustarkistus voi arvioida tietokoneita, verkkoja tai verkkosovelluksia tunnettujen haavoittuvuuksien varalta, kuten CVE (Common Vulnerabilities and Exposures) -luettelossa luetellut haavoittuvuudet.

Haavoittuvuustestaus voidaan suorittaa todennetuilla tai todentamattomilla tarkistuksilla:

• Todennetut tarkistukset: Salli haavoittuvuustarkistusten käyttää verkkoon liitettyjä resursseja etähallintaprotokollien avulla ja todentaa annetuilla järjestelmätunnuksilla. Todennetun tarkistuksen etuna on, että ne tarjoavat pääsyn matalan tason tietoihin, kuten tiettyihin palveluihin, kokoonpanotietoihin ja tarkkoihin tietoihin käyttöjärjestelmistä, asennetuista ohjelmistoista, määritysongelmista, kulunvalvonnasta, suojaustoiminnoista ja korjaustiedostojen hallinnasta.
• Todentamattomat tarkistukset: Älä anna pääsyä verkkoresursseihin, sillä ne voivat johtaa vääriin hälytyksiin ja epäluotettaviin tietoihin käyttöjärjestelmistä ja asennetuista ohjelmistoista. Kyberhyökkääjät ja tietoturva-analyytikot käyttävät yleensä tämäntyyppistä tarkistusta yrittääkseen määrittää ulkopuolisten resurssien ja kolmansien osapuolien toimittajien suojaustason ja löytää mahdollisia tietovuotoja.

Lue, miten voit tunnistaa haavoittuvia kolmannen osapuolen ohjelmistoja >

Kuten mikä tahansa tietoturvatestaus, haavoittuvuuksien skannaus ei ole täydellinen, minkä vuoksi käytetään muita tekniikoita, kuten tunkeutumistestausta. Tunkeutumistestaus on käytäntö, jossa testataan tietotekniikkaomaisuutta hyödynnettävissä olevien haavoittuvuuksien löytämiseksi, ja se voidaan automatisoida ohjelmistolla tai suorittaa manuaalisesti.

Riippumatta siitä, suoritetaanko kynätestaus automaattisesti vai manuaalisesti tietoturvatiimin toimesta, kynätestaus voi löytää tietoturva-aukkoja ja mahdollisia hyökkäysvektoreita, jotka haavoittuvuuksien tarkistustyökalut eivät huomaa. Sitä voidaan käyttää myös testaamaan paikallisia tietoturvatarkastuksia, tietoturvakäytäntöjen noudattamista, työntekijöiden alttiutta manipulointihyökkäyksille, kuten tietojenkalastelulle tai tietojenkalastelulle, sekä testaamaan tapausten käsittelysuunnitelmia.

2. Haavoittuvuusanalyysi

Kun haavoittuvuudet on tunnistettu, sinun on tunnistettava, mitkä komponentit ovat vastuussa kustakin haavoittuvuudesta ja tietoturvaheikkouksien perimmäinen syy. Haavoittuvuuden perimmäinen syy voi olla esimerkiksi avoimen lähdekoodin kirjaston vanhentunut versio.

Tässä tilanteessa on selkeä polku korjaamiseen, kirjaston päivittämiseen. Aina ei kuitenkaan ole yksinkertaista ratkaisua, minkä vuoksi organisaatioiden on usein suoritettava jokainen haavoittuvuus tietoturvan arviointiprosessin läpi, joka luokittelee haavoittuvuuden vakavuuden, tunnistaa mahdolliset ratkaisut ja päättää, hyväksytäänkö tunnistettu riski vai lievennetäänkö tunnistettu riski organisaation riskienhallintastrategian perusteella.

3. Riskinarviointi

Tämän vaiheen tavoitteena on priorisoida haavoittuvuudet. Tämä edellyttää usein haavoittuvuuksien arviointityökalun käyttöä, joka määrittää kullekin haavoittuvuudelle sijoituksen tai vakavuusasteen.

Esimerkiksi hyökkäyspinnan hallintatyökalu UpGuard BreachSight käyttää CVSS (Common Vulnerability Scoring System) -pisteitä numeerisen pistemäärän määrittämiseen 0-10 haavoittuvuuden pääominaisuuksien ja vakavuuden perusteella.

Tästä huolimatta kaikissa hyvissä haavoittuvuusarviointiraporteissa otetaan huomioon muita tekijöitä, kuten:

• Mihin järjestelmään tämä vaikuttaa
• Mitä arkaluonteisia tietoja järjestelmään tallennetaan, esim. henkilökohtaiset tunnistetiedot (PII) tai suojatut terveystiedot (PHI)
• Mitkä liiketoimintatoiminnot ovat riippuvaisia järjestelmästä
• Hyökkäyksen tai kompromissin helppous
• Onnistuneen hyväksikäytön vaikutus liiketoimintaan
• Onko haavoittuvuus käytettävissä Internetistä vai edellyttääkö se fyysistä pääsyä
• Kuinka vanha haavoittuvuus on
• Kaikki organisaatiosi sääntelyvaatimukset, kuten CCPA, FISMA, GLBA, PIPEDA, LGPD, 23 NYCRR 500, FIPA, PCI DSS, HIPAA tai SHIELD-laki
• Tietomurron kustannukset toimialallasi

Lue oppaamme IT-kyberturvallisuuden riskinarvioinnin suorittamisesta >

4. Korjaaminen

Haavoittuvuuksien korjaamiseen kuuluu sellaisten tietoturvaongelmien korjaaminen, joita ei pidetty hyväksyttävänä riskinarviointiprosessissa. Tämä on tyypillisesti kehitys-, toiminta-, vaatimustenmukaisuus-, riskienhallinta- ja tietoturvatiimien yhteinen ponnistus, joka päättää kustannustehokkaasta tavasta kunkin haavoittuvuuden korjaamiseksi.

Monet haavoittuvuuksien hallintajärjestelmät tarjoavat suositeltuja korjaustekniikoita yleisille haavoittuvuuksille, jotka voivat olla niinkin yksinkertaisia kuin helposti saatavilla olevien tietoturvakorjausten asentaminen tai niinkin monimutkaisia kuin laitteiston vaihtaminen.

Tietyt korjausvaiheet vaihtelevat haavoittuvuuden mukaan, mutta niihin kuuluvat usein:

• Toimintaohjeiden päivittäminen
• Vankan konfiguraation hallintaprosessin kehittäminen
• Ohjelmiston korjaus

5. Hillitseminen

Kaikkia haavoittuvuuksia ei voida korjata, ja lievennys tulee esiin. Lievennys keskittyy vähentämään haavoittuvuuden hyödyntämisen todennäköisyyttä tai haavoittuvuuden vaikutusta.

Erityiset lieventämistoimet vaihtelevat suuresti riskinsietokyvyn ja budjetin mukaan, mutta niihin kuuluvat usein:

• Esittelyssä uudet suojaustoiminnot
• Laitteiston tai ohjelmiston vaihtaminen
• Salaus
• Toimittajan riskienhallinta
• Hyökkäyspinnan hallinta
• Jatkuva tietoturvan valvonta

Mitä mahdollisia uhkia haavoittuvuusarvioinnilla voidaan estää?

Esimerkkejä kyberhyökkäyksistä, jotka voidaan estää haavoittuvuusarvioinnilla, ovat:

• Käyttöoikeuksien eskalointihyökkäykset: Käyttöoikeuksien eskalointi on ohjelmointivirheen, haavoittuvuuden, suunnitteluvirheen, kokoonpanon valvonnan tai käyttöoikeuksien hallinnan hyväksikäyttöä käyttöjärjestelmässä tai sovelluksessa luvattoman pääsyn saamiseksi resursseihin, joita sovellus tai käyttäjä yleensä rajoittaa. Lue lisää etuoikeuksien eskaloinnista täältä.
• SQL-injektiot: SQL-injektiohyökkäykset tapahtuvat, kun mitätöidyt tai epäluotettavat tiedot lähetetään kooditulkille lomakkeen syötteen tai muun verkkosovelluksen tietojen lähetyskentän kautta. Onnistuneet injektiohyökkäykset voivat johtaa tietovuotoihin, tietojen vioittumiseen, tietomurtoihin, vastuuvelvollisuuden menettämiseen ja pääsyn estämiseen.
• XSS-hyökkäykset: Sivustojen väliset komentosarjat (XSS) ovat eräänlainen tietoturvahaavoittuvuus, joka esiintyy tyypillisesti verkkosovelluksissa. XSS:n avulla hyökkääjät voivat syöttää asiakaspuolen komentosarjoja muiden käyttäjien katselemille verkkosivuille, ja niitä voidaan käyttää käyttöoikeuksien hallinnan, kuten saman alkuperän käytännön, ohittamiseen. XSS:n vaikutus voi vaihdella pienestä haitasta merkittävään kyberturvallisuusriskiin riippuen haavoittuvan verkkosivuston käsittelemien tietojen arkaluonteisuudesta ja mahdollisten lievennysten luonteesta. Lue lisää sivustojen välisistä komentosarjoista täältä.
• Suojaamattomat oletusasetukset: On tavallista, että ohjelmistot ja laitteistot toimitetaan turvattomilla asetuksilla, kuten helposti arvattavilla salasanoilla, mikä helpottaa käyttöönottoa. Vaikka tämä on hyvä käytettävyyden näkökulmasta, monet ihmiset jättävät nämä oletusasetukset ennalleen, mikä voi jättää ne näkyviin.

Mitkä ovat erityyppiset haavoittuvuuden arviointityökalut?

Haavoittuvuuksien arviointityökalut on suunniteltu etsimään automaattisesti uusia ja olemassa olevia uhkia IT-infrastruktuurissasi. Työkalutyyppejä ovat:

• Hyökkäyspinta-alaa kartoittavat ja simuloivat hyökkäysvektorit simuloivat verkkosovellusskannerit
• Protokollaskannerit, jotka etsivät haavoittuvia protokollia, portteja ja muita palveluita
• Verkkoskannerit, jotka auttavat visualisoimaan verkkoja ja havaitsemaan verkon haavoittuvuuksia, kuten hajanaisia IP-osoitteita, väärennettyjä paketteja ja epäilyttäviä paketteja

Paras käytäntö on ajoittaa säännölliset, automatisoidut tarkistukset kaikesta infrastruktuurista ja käyttää tuloksia osana jatkuvaa haavoittuvuuksien arviointiprosessia.

UpGuard BreachSight tarkistaa hyökkäyspinnan automaattisesti päivittäin haavoittuvuuksien varalta.

Mitä eroa on haavoittuvuusarvioinnilla ja tunkeutumistestauksella?

Kuten edellä todettiin, haavoittuvuusarviointi sisältää usein tunkeutumistestauksen, jolla tunnistetaan haavoittuvuudet, joita ei ehkä havaita automaattisella tarkistuksella. Tätä prosessia kutsutaan yleisesti haavoittuvuuden arvioinniksi/tunkeutumistestaukseksi (VAPT).

Tästä huolimatta tunkeutumistestaus ei yksin riitä täydelliseksi haavoittuvuusarvioinniksi. Haavoittuvuusarvioinnin tavoitteena on paljastaa haavoittuvuuksia ja suositella asianmukaisia lievennys- tai korjaustoimenpiteitä tunnistetun riskin vähentämiseksi tai poistamiseksi.

Sitä vastoin tunkeutumistestauksessa tunnistetaan haavoittuvuudet ja yritetään hyödyntää niitä järjestelmään hyökkäämiseen, tietomurron aiheuttamiseen tai arkaluonteisten tietojen paljastamiseen. Vaikka tämä voidaan tehdä osana haavoittuvuusarviointia, tunkeutumistestauksen ensisijaisena tavoitteena on tarkistaa, onko olemassa haavoittuvuutta, jota voidaan hyödyntää.

Lue koko postauksemme tunkeutumistestauksesta saadaksesi lisätietoja.

Yritykset, kuten Intercontinental Exchange, Taylor Fry, The New York Stock Exchange, IAG, First State Super, Akamai, Morningstar ja NASA, käyttävät UpGuardin turvallisuusluokituksia tietojensa suojaamiseen, tietomurtojen estämiseen ja tietoturvatoimintojensa arviointiin.

Tietoturvakontrollien arviointia varten UpGuard BreachSight voi valvoa organisaatiotasi 70+ tietoturvakontrollilla, jotka tarjoavat yksinkertaisen, helposti ymmärrettävän kyberturvallisuusluokituksen ja tunnistavat automaattisesti vuotaneet tunnistetiedot ja tietoaltistukset S3-säilöissä, Rsync-palvelimissa, GitHub-säpotuksissa ja muissa.

UpGuard BreachSightin Haavoittuvuudet-moduulissa luetellaan julkaistut haavoittuvuudet, joita voidaan hyödyntää IT-infrastruktuurissasi käynnissä olevassa ohjelmistossa. Nämä haavoittuvuudet tunnistetaan automaattisesti HTTP-otsikoissa ja verkkosivuston sisällössä paljastettujen tietojen perusteella.

Kullekin tunnistetulle haavoittuvuudelle annetaan CVSS, julkaistu standardi, joka on kehitetty kuvaamaan haavoittuvuuden pääominaisuuksia ja joka tuottaa numeerisen pistemäärän välillä 0-10, joka kuvastaa haavoittuvuuden vakavuutta.

UpGuardin toimittajariski voi minimoida organisaatiosi siihen liittyvien ja kolmannen osapuolen tietoturvakontrollien arviointiin käyttämän ajan automatisoimalla toimittajakyselyt ja tarjoamalla toimittajan kyselylomakemalleja.

Asiantuntemustamme on esitelty muun muassa The New York Timesissa, The Wall Street Journalissa, Bloombergissa, The Washington Postissa, Forbesissa, Reutersissa ja TechCrunchissa.

Voit lukea lisää asiakkaidemme sanomuksista Gartnerin arvosteluista.