Осалдықтарды басқару: Қазақстандағы компания неден бастауы керек

Осалдықтарды басқару (Vulnerability Management) — бұл IT-инфрақұрылымдағы белгілі әлсіз тұстарды іздеудің, бағалаудың және жоюдың тұрақты процесі: патч орнатылмаған серверлер, бағдарламалық жасақтаманың ескірген нұсқалары, конфигурация қателері және веб-қосымшалардың осалдықтары. Бір реттік аудиттен айырмашылығы — бұл апта сайын немесе ай сайын қайталанатын және нақты сандармен өлшенетін цикл: қанша сыни осалдық ашық тұр және олар неше күнде жабылады.

Genius Systems осалдықтарды басқаруды Өскемен, Астана, Алматы және Павлодар компанияларында енгізеді. Төменде — ешқашан сканері болмаған ұйымға арналған практикалық жоспар.

Бұл неге дәл қазір қажет

Қазақстандағы бұзып кірулердің көпшілігі «нөлінші күн» осалдықтары арқылы емес, патчы бірнеше ай бұрын шыққан белгілі саңылаулар арқылы болады: Windows Server-дің ескірген нұсқасы бар ашық RDP, былтырғы микробағдарламасы бар VPN-шлюз, ескі PHP-дегі ұмыт қалған тест сайты. Шабуылдаушылар ҚР мекенжайларының бүкіл диапазонын автоматты түрде сканерлейді — және мұндай түйіндерді сіз олардың бар екенін есіңізге түсіргеннен жылдамырақ табады.

Екінші фактор — реттеушілік. Қаржы ұйымдарына, аса маңызды ақпараттық инфрақұрылым объектілеріне және мемлекеттік секторға арналған ақпаратты қорғау талаптары осалдықтарды тұрақты бағалауды тікелей көздейді. Ал IT-қызметтерге арналған тендерлерде мердігердің өз инфрақұрылымын бақылайтынын растауды барған сайын жиі сұрайды.

Осалдықтарды басқару циклы

Процесс бес қадамнан тұрады, және әрбір келесі қадам алдыңғысынсыз пайдасыз.

1. Түгендеу. Барлық активтердің тізімі: серверлер, жұмыс станциялары, желілік жабдық, виртуалды машиналар, бұлттық ресурстар, веб-қосымшалар, жария IP-мекенжайлар. Толық тізімсіз сканер тек сіз білетін нәрсені тексереді, ал бұзып кіру сіз ұмытқан нәрсе арқылы болады.
2. Сканерлеу. Активтерді белгілі осалдықтарға (CVE) және конфигурация қателеріне автоматты тексеру. Инфрақұрылым үшін — Rapid7 InsightVM немесе Tenable Nessus, веб-қосымшалар үшін — Invicti (бұрынғы Acunetix).
3. Басымдық беру. Бірнеше мың анықталған кемшілік алу үшін әдетте бір сканерлеу жеткілікті. Үш параметр бойынша саралаңыз: CVSS базалық бағасы, EPSS нақты пайдалану ықтималдығы және активтің бизнес үшін маңыздылығы. 1С серверіндегі CVSS 7.5 осалдығы оқшауланған тест стендіндегі CVSS 9.0 осалдығынан маңыздырақ.
4. Жою. Патч, конфигурацияны өзгерту, сервисті өшіру немесе жаңарту мүмкін болмаса, өтемдік шара (мысалы, желіаралық экрандағы ереже).
5. Тексеру. Қайта сканерлеу осалдықтың кестеде жай ғана жабық деп белгіленбей, шынымен жабылғанын растайды.

Жою мерзімдері

Нормативтік мерзімдерсіз процесс шексіз тапсырмалар тізіміне айналады. Ішкі регламентте бекітуді ұсынатын жұмыс стандартымыз:

• Сыни (CVSS 9.0–10.0 немесе белсенді пайдаланылып жатқандар) — 7 күн.
• Жоғары (CVSS 7.0–8.9) — 30 күн.
• Орташа — 90 күн.
• Төмен — келесі жаңарту кезінде жоспарлы тәртіппен.

Периметрдегі активтер үшін мерзімдерді екі есе қысқартқан жөн: VPN-шлюздегі ашық сыни осалдық 48–72 сағатта жабылуы тиіс.

Тәсілдері әртүрлі үш аймақ

• Периметр. Жария IP-мекенжайлар, VPN, пошта шлюздері, жарияланған сервистер. Барлығы осыдан бастайды: аймақ шағын, ал тәуекел ең жоғары. Шабуылдаушы жасайтындай сырттан сканерленеді.
• Ішкі желі. Серверлер, жұмыс станциялары, Active Directory, желілік жабдық. Тек ашық порттарды емес, орнатылған бағдарламалық жасақтаманың нұсқаларын көру үшін есептік жазбалармен сканерлеуді (authenticated scan) талап етеді.
• Веб-қосымшалар. Корпоративтік сайт, жеке кабинет, интеграциялық API. Инфрақұрылымдық сканер мұнда пайдасыз: SQL-инъекцияларды, XSS-ті, авторизация қателерін іздейтін динамикалық талдау (DAST) қажет. Invicti дәл осыған арналған.

Мұның пентесттен айырмашылығы неде

Пентест «бізге қалай бұзып кіреді?» деген сұраққа жауап береді — маман бірнеше әлсіз тұсты қолмен шабуыл тізбегіне біріктіреді. Осалдықтарды басқару «бізде қанша белгілі саңылау бар және оларды қаншалықты жылдам жабамыз?» деген сұраққа жауап береді. Тұрақты сканерлеусіз жылына бір рет жасалатын пентест — бір аптадан кейін ескіретін фотосурет. Егер пентест әлі жүргізілмеген болса, ақпараттық қауіпсіздік аудитінен бастаңыз: ол бастапқы нүкте мен басымдықтарды береді.

Бұл тексерулер мен тендерлерде қалай көмектеседі

Осалдықтарды жабу тарихы бар сканер есебі — компанияда ақпаратты қорғаудың тек қағаз жүзінде ғана емес екенінің ең қарапайым дәлелі. Ол реттеушілердің тексерулері, ISO 27001 бойынша аудиттер және тендерлердегі тапсырыс берушілер талаптары кезіндегі сұрақтарды шешеді. Сканер деректері SIEM-ге түскенде оған қоса корреляция пайда болады: жүйе шабуылдың дәл белгілі осалдық ашық тұрған түйінге бағытталғанын көрсетеді.

Неден бастау керек

Бүкіл инфрақұрылымға арналған сканерді бірден сатып алмаңыз. Клиенттерімізде жұмыс істейтін тәртіп:

1. Жария мекенжайлар мен веб-қосымшалардың тізімін жасау.
2. Периметрді алғашқы сканерлеуді жүргізіп, сыни кемшіліктерді жабу.
3. Жою мерзімдері мен жауаптылары көрсетілген регламентті бекіту.
4. Ішкі желіні authenticated-сканерлеумен қосу.
5. Веб-қосымшаларды және SIEM-мен интеграцияны қосу.

Тәсіл және Invicti, Rapid7 мен Tenable лицензиялау туралы толығырақ — осалдықтарды басқару бетінде. Қазақстан компаниялары үшін периметрді сынамалық сканерлеуді тегін жүргіземіз: байланыс бетінде өтінім қалдырыңыз, бірнеше күннен кейін бірінші кезекте нені жабу керектігінің басымдықтары белгіленген тізімі бар есепті аласыз.