safe remediation i shndërron rregullimet urgjente në ndryshime të verifikuara
safe remediation është një proces i kontrolluar për testimin e një reagimi sigurie, zbatimin e ndryshimit të miratuar dhe kontrollin nëse ai funksionoi. Ai trajton një problem të zakonshëm operacional: një alarm kritik mund të ketë një zgjidhje të njohur, por ticket mund të mbetet në radhë sepse ekipet përgjegjëse për mbajtjen e aplikacioneve në dispozicion kanë nevojë për prova se ndryshimi nuk do të pengojë veprimtarinë e biznesit.
Kjo qasje e kujdesshme pasqyron rreziqe reale në mjedisin production. Një intrusion prevention system (IPS), i cili shqyrton trafikun e rrjetit dhe mund të ndalojë sulmet e dyshuara, mund të bllokojë edhe vizitorë të ligjshëm. Një ndryshim konfigurimi mund të ndërpresë një shërbim, ndërsa një endpoint policy e re mund të pengojë një aplikacion të rëndësishëm. Një endpoint është një pajisje përdoruesi, si desktop ose laptop. safe remediation synon t’u japë ekipeve të sigurisë, infrastrukturës dhe aplikacioneve prova të mjaftueshme për ta marrë vendimin së bashku, në vend që të mbështeten te një rekomandim i pambështetur.
Problemi nuk është gjithmonë mungesa e teknologjisë së sigurisë. Shumë organizata kanë mbrojtje që mbeten joaktive ose funksionojnë vetëm në Detect mode, ku aktiviteti i dyshimtë regjistrohet, por nuk ndalohet. Ekipet mund ta vonojnë zbatimin për shkak të false positives, domethënë aktiviteteve të padëmshme që identifikohen gabimisht si keqdashëse, si edhe për shkak të shqetësimeve rreth kapacitetit të inspektimit dhe vazhdimësisë së biznesit. Me kalimin e kohës, aplikacionet dhe modelet e trafikut ndryshojnë, përjashtimet grumbullohen dhe zhvillohet configuration drift, domethënë cilësimet largohen gradualisht nga gjendja e synuar e organizatës.
Një white paper i Check Point për safe remediation raporton se 47% e organizatave që analizoi kishin aktivizuar më pak se 50% të mbrojtjeve që kishin në dispozicion. Kjo nuk do të thotë se çdo kontroll joaktiv duhet të aktivizohet menjëherë. Çdo ndryshim mund të krijojë rrezik operacional dhe ekipet duhet të përcaktojnë se cili kontroll trajton një exposure të caktuar dhe të vërtetojnë se si do të sillet ai në mjedisin aktual production.
Framework e ndan procesin në katër faza: Observe, Prove, Act dhe Confirm. Observe mbështetet në informacionin që sistemet e sigurisë dhe IT tashmë prodhojnë, duke përfshirë gjetjet për vulnerability, trafikun IPS, përdorimin e pajisjeve, endpoint policies dhe gjendjet e konfigurimit. Së bashku, këto të dhëna tregojnë kushtet teknike që lidhen me një ndryshim të propozuar përpara se dikush të miratojë zbatimin e tij.
Prove duhet të përputhet me teknologjinë që po ndryshohet. Një mbrojtje IPS mund të monitorojë trafikun real production në Detect mode, në mënyrë që ekipet të vlerësojnë false positives të mundshme dhe efektet në performancë përpara se ta kalojnë në Prevent mode, ku bllokohet trafiku që përputhet me kriteret. Operating system hardening, që nënkupton ndryshimin e cilësimeve për të zvogëluar mundësitë e sulmit, mund të fillojë me një grup të përzgjedhur testimi. Më pas, çdo host, domethënë një kompjuter ose sistem individual, mund të kontrollohet përsëri pas ndryshimit. Endpoint settings mund të vlerësohen gjithashtu kundrejt hardening baseline të vendor, një grup i rekomanduar zgjedhjesh më të sigurta konfigurimi.
Këto prova i japin secilit ekip një rol të përcaktuar. Stafi i sigurisë mund të shpjegojë mbrojtjen që pret nga veprimi i propozuar, ndërsa pronarët e infrastrukturës dhe aplikacioneve vlerësojnë efektin e mundshëm në sistemet që administrojnë. Shqyrtimi dhe miratimi mund të përfshihen kudo që i kërkon organizata, duke e lidhur vendimin me provat nga ai mjedis, në vend që një rekomandim i përgjithshëm të trajtohet automatikisht si i sigurt.
Patching mbetet i nevojshëm sepse trajton vulnerability themelore. Megjithatë, oraret e testimit, koordinimit dhe deployment mund të vonojnë kalimin e një patch në production. Gjatë kësaj periudhe, një IPS signature ekzistuese, që është një model i përdorur për të dalluar trafik të caktuar keqdashës, ose një virtual patch mund të ndihmojë në bllokimin e rrugës përkatëse të sulmit. Një virtual patch është një rregull sigurie që ndalon një exploit pa ndryshuar vetë software e cenueshëm.
Lidhja e informacionit mbi vulnerability me mbulimin nga kontrollet ekzistuese mund të tregojë nëse disponohet një mbrojtje e përshtatshme dhe nëse ajo është joaktive, po monitoron në Detect mode apo është tashmë në zbatim. Një kontroll që pret aktivizimin mund të testohet dhe të aktivizohet përmes safe remediation. Nëse nuk ka compensating control, domethënë një masë mbrojtëse të përkohshme të përdorur ndërkohë që problemi themelor vazhdon, situata mund të kërkojë patching urgjent ose një reagim tjetër. Të dhënat duhet ta dallojnë qartë mbrojtjen e ndërmjetme nga riparimi i përhershëm, sepse vulnerability fillestare mbetet e hapur derisa të rregullohet.
Pas vlerësimit, një organizatë mund të kërkojë miratim për veprimin dhe scope e tij ose të lejojë ekzekutimin përmes një automated workflow të konfiguruar. Më pas, ndryshimi dërgohet përmes sistemit që tashmë administron teknologjinë përkatëse. Përditësimet IPS mund të kalojnë përmes security management server, operating system hardening mund të përdorë infrastrukturën ekzistuese të patch management dhe ndryshimet e mbështetura për endpoint mund të kryhen përmes application programming interface (API) të vendor, një mënyrë e përcaktuar që u lejon sistemeve software të shkëmbejnë udhëzime.
Confirm është faza përfundimtare. Një instalim i përfunduar i policy mund të tregojë se një mbrojtje IPS hyri në zbatim. Kontrollet e host mund të verifikojnë se një ndryshim hardening hyri në fuqi. Të dhënat e ekzekutimit mund të identifikojnë veprimet që dështuan ose mbeten pezull, së bashku me përdoruesin përgjegjës, kohën e veprimit dhe exposure përkatëse. Security events të regjistruara më vonë mund të tregojnë gjithashtu nëse kontrolli i sapozbatuar ndaloi aktivitetin që lidhej me atë exposure.
Në mjediset e analizuara për white paper, veprimet e remediation kishin një normë suksesi të raportuar prej 99.5%. Gjatë një muaji, mbrojtjet e zbatuara përmes remediation bllokuan më pas 703.56 milionë sulme, duke përfshirë 21 milionë brenda 24 orëve nga remediation. Check Point i paraqet këto shifra si rezultate nga mjediset e analizuara, duke treguar se kontrollet nuk ishin thjesht të konfiguruara, por më pas regjistruan edhe bllokimin e aktivitetit përkatës.
Prandaj, safe remediation e zgjeron exposure management, procesin e gjetjes dhe prioritizimit të dobësive, duke e shtrirë te ndryshimet e kontrolluara në production. Prioritizimi përcakton se ku duhet të fillojë puna, ndërsa vëzhgimi, validimi, ekzekutimi dhe konfirmimi përcaktojnë se çfarë u ndryshua dhe nëse mbrojtja e synuar u aktivizua. Check Point deklaron se Check Point Exposure Management i lidh këto faza përmes teknologjive të sigurisë që janë tashmë të vendosura në një organizatë.
Për bizneset që kërkojnë ndihmë me sfidën më të gjerë operacionale të koordinimit të ndryshimeve të sigurta në infrastrukturë, AEU-I ofron IT, infrastrukturë dhe konsulencë me sigurinë si përparësi. Cilido qoftë modeli i mbështetjes që përdoret, disiplina thelbësore është e njëjtë: kontrollet e përkohshme duhet të mbeten dukshëm të përkohshme, rregullimet e përhershme duhet të përfundohen dhe çdo veprim i miratuar duhet të mbyllet me prova se ka hyrë realisht në fuqi.