Поделюсь свежими впечатлениями после мероприятия Код ИБ Безопасная Среда "Управление уязвимостями". Было круто, всем спасибо. мне всё понравилось. 🙂 Разом +50 подписчиков в телеграмм канал @avleonovrus тоже неплохо так. Добро пожаловать и спасибо за подписку!
1. По структуре мероприятия. По-моему, довольно удачно получилось совместить интересы спонсора, уважаемой компании Spacebit представляющей новое решение по контролю безопасности конфигураций X-Config, и при этом пройтись по всем болевым точкам Vulnerability Management процесса. Тема контроля мисконфигураций мне очень близка. В начале своей профессиональной деятельности я 3 года писал в Positive Technologies проверки по Nix-овым CIS-бенчмаркам для MaxPatrol 8. Я выступаю за то, чтобы критичные мисконфигурации рассматривались как уязвимости и с ними работали в рамах общего VM процесса. Не так часто удается подсветить именно эту тему с контролем конфигураций, а в рамках этого мероприятия это было более чем органично. За что Spacebit и Код ИБ большое спасибо!
2. Хорошо прошлись по теме того, что в тех же CIS Benchmarks зачастую зафиксированы требования, которые на реальную защищенность влияют примерно никак. Кажется, нам нужны стандарты получше, в которых будет меньше требований, но все они будут подробно и убедительно обоснованы с точки зрения противодействия атакующим.
3. Прошлись по уязвимостям, которые часто используются в атаках. Я вкинул недавнюю статистику Palo Alto. Словил критику от коллег, что, по их мнению, компании в основном ломают через веб и опять-таки мисконфиги, а не инфраструктурные уязвимости. А если не брать периметр, то через фишинг. Спорить не буду. Статистикой можно крутить как угодно, и она будет зависеть от экспертизы конторы, которая исследования проводит.
4. Я как обычно слегка эпатажно выступал за то, что приоритизировать уязвимости вообще не нужно, а нужно патчить всё. В идеале. Потому что данные по уязвимостям у нас неполные и нет достаточных оснований, чтобы наплевать на рекомендации вендора, которые он дал, включив уязвимость в бюллетень безопасности. Но если патчить всё невозможно, то, конечно, можно и пориоритизировать учитывая всякие разные факторы. Но моё мнение, что обязательно нужно подчеркивать — это не норма, это вынужденная мера, вызванная невозможностью запатчить всё, что нужно. А почему запатчить всё невозможно? Почему это вызывает боль? Это подводит нас к зрелости процесса патчинга, к размышлению о том, как его правильно организовать и автоматизировать.
5. Очень здорово, что мы коснулись Asset Management процесса, без которого нет смысла ни контролировать мисконфигурации, ни уязвимости. Иначе мы просто будем оставлять без внимания самое адище, которым обязательно воспользуются злоумышленники. Я под это дело добавил и про то, что нужно понимать не только какие хосты у нас есть, но и то какие софты у нас используются и как они установлены. Это для того, чтобы выяснить, желательно ещё на уровне пилота, а умеет ли VM решение детектировать уязвимости для этих софтов или нет. А если какие-то софты не поддерживаются, то нужно думать, как и чем это компенсировать. Очень доволен, что удалось вставить про полноту баз знаний VM-решений и высказаться достаточно подробно.
6. Непосредственно по теме взаимодействия ИТ и ИБ мне высказаться не удалось, очередь не дошла. Но я, конечно, за крепкую дружбу и сотрудничество. Как Кирилл Ермаков очень правильно сказал, "мы (ИБшники) на самом деле те же самые ITшники" просто у нас чуть-чуть другой фокус и специализация. Мы в одной лодке, должны говорить на одном языке и стараться друг другу облегчить жизнь. А если будет вражда, то есть сотни способов саботажа ИБ процесса со стороны IT. Это никому не понравится.
Вот это, наверное, основное, что запомнилось и на что хотелось бы обратить внимание. Может ещё что-то вспомню, когда будет видео. Обещают на следующей неделе.
