Продолжу тему о критериях успеха в работах по Анализу Защищённости (АЗ). Если провести детектирование уязвимостей в любой достаточно большой организации, неизбежно обнаружатся критические уязвимости. И это абсолютно нормально, ЕСЛИ для всех обнаруженных уязвимостей выполняются следующие условия:

🔹 В организации уже знали про уязвимость на активе, т.е. обнаруживали её с помощью собственных средств детектирования.
🔹 Уязвимость уже была оценена и ей была присвоена степень критичности.
🔹 Для устранения уязвимости уже была заведена задача на конкретного исполнителя с зафиксированным сроком выполнения (в соответствии с принятым SLA) и этот срок ещё не вышел.

Это значит, что VM-процесс в организации успешно функционирует (по БОСПУУ 😉), и АЗ успешно пройден. 🥇👏

Но если в ходе АЗ были обнаружены уязвимости, для которых перечисленные условия НЕ выполняются, это вызывает вопросы к средствам детектирования уязвимостей, используемым в организации, и к практикам их использования. 😏

Если отвлечься от недавно принятой методики и поразмышлять, каким образом следовало бы определять успешность прохождения Анализа Защищённости (АЗ)? Понимая под АЗ детектирование уязвимостей в инфраструктуре организации третьей стороной. Для исполнителя критерии успеха: найти максимум уязвимостей с минимумом FP и FN. А для заказчика? 🤔 Обычно для него успехом считают отсутствие обнаруженных критичных уязвимостей. А если такие есть - их нужно срочно устранить или доказать, что они некритичные. 👌

Однако организациям без работающего VM-процесса такое разовое латание дыр не особо поможет - через полгода в инфре снова будет адище. 😈 А организациям с работающим VM-процессом требование устранять уязвимости в пожарном режиме, игнорируя SLA по существующим задачам на устранение, внесёт неразбериху и может сломать VM-процесс. 🤷‍♂️

Имхо, по-хорошему, АЗ должен проверять не текущее состояние инфры (постоянно меняющееся), а состояние VM-процесса. С соответствующими критериями успеха. 😉

Сегодня ходили на "Снежную Королеву" в театр танца Гжель и, пока шло действо, я размышлял, как можно приземлить сказку на ситуацию с VM-процессом в организации. 🙂

🔹 Кай и Герда драйвят VM в отделе инфраструктурной безопасности. Всё складывается успешно, пока CTO (Снежная Королева) не переманивает Кая курировать устранение уязвимостей со стороны IT. Кай "ловит звезду" и превращается в недоговороспособного чудака, напрочь стопорящего VM-процесс. Герда пытается разрулить ситуацию.

🔹 Совещание Герды с CISO и CIO (Принц и Принцесса) проходит отлично: накинули ресурсов и увеличили бюджет. 🤩 А вот CFO (Разбойник) не проникся - бюджет срезают. 😢 Но получается задружиться с ERP-инженером (Северный Олень).

🔹 И вот после проникновенного выступления Герды на совместном совещании Кай осознаёт неправоту и становится таким, каким и был… Лол, конечно нет. 😅 Максимум получается выработать договорённости, чтобы криво-косо перезапустить VM-процесс. 👍🙏

+- Happy End! 😏