Оцінка вразливості/захищеності (Vulnerability Assessment)
Вразливість - це будь-які помилки чи недоліки в процедурах безпеки системи, розробці, реалізації або будь-якому внутрішньому контролі, які можуть призвести до порушення політики безпеки системи.
Оцінка вразливості – це процес оцінки ризиків безпеки у програмній системі з метою зменшення ймовірності загрози. Метою оцінки вразливості є зниження можливості несанкціонованого доступу зловмисників (хакерів).
Аналіз проникнення залежить від двох механізмів, а саме від оцінки вразливості та тестування на проникнення (VAPT – Vulnerability Assessment and Penetration testing).
Класифікація вразливостей :
Вразливість обладнання - це недоліки, що виникають через проблеми з обладнанням, таких як надмірна вологість, пил та незахищене зберігання обладнання;
Вразливість програмного забезпечення. Недолік у методиці розробки проекту, невідповідне тестування та відсутність своєчасного аудиту активів призводять до вразливості програмного забезпечення;
Вразливість мережі: через використання відкритих мережевих підключень, незахищеної мережевої архітектури та слабкого каналу зв'язку виникають проблеми цього типу;
Фізична вразливість: якщо система розташована в зоні, схильній до сильного дощу, повені, нестабільного електропостачання і т. д., тоді вона схильна до фізичної вразливості;
Вразливість організації: ця вразливість виникає через використання невідповідних інструментів безпеки, правил аудиту та помилок у адміністративних діях;
Найбільш поширені вразливості мережевої безпеки:
USB-накопичувачі . Використання USB-накопичувачів - звичайнісінький спосіб впливу на будь-яку мережну систему і навіть брандмауер не зможе зупинити вірусну атаку, оскільки вони використовуються між багатьма комп'ютерами для обміну великим об'ємом інформації і можуть переносити великі обсяги даних у собі. USB-накопичувачі, заражені вірусами, такими як хробак, автоматично встановлюються в ОС і підключаються до USB-порту, оскільки більшість ОС за замовчуванням дозволяє запускати ці програми.
Спосіб усунення: ми можемо зупинити автоматичне встановлення їх в ОС, змінивши налаштування за умовчанням в операційних системах, і можемо зробити їх безпечнішими від вірусних атак з USB-накопичувачів.
Ноутбуки . Такі пристрої, як лептопи та ноутбуки дуже зручні та портативні, оснащені всіма найновішими драйверами, ОС та мають порт Ethernet, через який їх можна легко підключити до будь-якої мережної системи. Ноутбуки дуже небезпечні з точки зору організації, ноутбук співробітника містить конфіденційні дані, такі як зарплата співробітника, адреса, контактна інформація, особисті дані, важлива база даних компанії, особисті банківські паролі тощо. Будь-яка організація не може допустити витоку всієї цієї інформації, так як це вплине на бізнес і організація може постраждати від бізнес-втрат.
Спосіб усунення: всі конфіденційні та важливі дані повинні зберігатися у зашифрованому вигляді, щоб треті особи не могли легко отримати доступ до них. Права доступу до бази даних мають бути обмежені. На додаток до цього повинен бути включений тільки порт LAN, а всі інші порти повинні бути відключені адміністратором.
Різні USB-пристрої . Крім флеш-накопичувачів USB, в мережі є деякі інші пристрої, які можуть зчитувати і зберігати дані в них і можуть піддати вашу систему вразливості. Заражені цим вірусом пристрої, такі як цифрова камера, принтер, сканер, MP3-плеєр і т. д., вступлять в контакт із вашою системою через порт USB і можуть зашкодити вашій мережній системі.
Спосіб усунення: встановіть такі політики, які можуть контролювати автоматичний запуск програм порту USB у вашій системі.
Оптичні носії . Оптичні носії є носіями важливих пакетів даних, якими обмінюються в мережі WAN для зв'язку на великі відстані. Отже, дані про ці посилання також можуть бути пропущені або використані не за призначенням третьою стороною на користь когось іншого, як у випадку з USB-пристроями.
Спосіб усунення: керівництво має запровадити такі політики та правила контролю активів, які можуть відслідковувати та контролювати неправомірне використання даних.
Електронна пошта . Електронна пошта є найпоширенішим джерелом зв'язку всередині організації чи між різними організаціями у ділових цілях. Будь-яка компанія використовує електронну пошту для надсилання та отримання даних. Але електронною поштою найчастіше зловживають, тому що її легко переслати будь-кому. Крім того, іноді електронні листи містять віруси, які можуть дізнатися про облікові дані цільового хоста, а потім хакер може легко отримати доступ до електронної пошти цього співробітника організації з будь-якого місця. Вони також можуть використовувати його для іншого несанкціонованого доступу.
Спосіб усунення: використання політик безпеки електронної пошти та часта зміна паролів системи через певний проміжок часу – найкраще рішення для цього.
Смартфони та інші цифрові пристрої . Смартфони та інші планшетні пристрої можуть працювати як комп'ютер на додаток до виконання різних завдань, таких як інтелектуальні дзвінки, відеодзвінки, великий обсяг пам'яті, камера з високою роздільною здатністю та величезна система підтримки програм. Ризик витоку конфіденційних даних також високий, оскільки співробітник організації, що використовує смартфон, може клацнути зображення секретної бізнес-пропозиції або розцінок і може надіслати їх будь-кому, хто користується мобільною мережею 4G.
Спосіб усунення: необхідно впровадити політики, які можуть контролювати доступ до пристрою під час входу до мережі та виходу з неї.
Слабка безпека облікових даних : використання слабких паролів у мережній системі легко піддає мережу різним вірусним атакам.
Спосіб усунення: пароль, який використовується для мережної безпеки, має бути надійним, як унікальна комбінація буквено-цифрових символів та символів. Крім того, не можна використовувати той самий пароль протягом тривалого часу, необхідно регулярно змінювати системний пароль для отримання кращих результатів.
Погана конфігурація та використання застарілого брандмауера : брандмауер відіграє важливу роль у процесі управління мережевою безпекою. Якщо адміністратор неправильно налаштує брандмауер на різних рівнях мережі, вона стане вразливою до атак. Крім того, програмний патч брандмауера повинен постійно оновлюватися для правильного функціонування брандмауера. Використання застарілого обладнання та програмного забезпечення брандмауера марно.
Спосіб усунення: Регулярне оновлення програмного забезпечення міжмережевого екрану та правильна реалізація.
Етапи оцінки вразливості:
Збір даних : першим кроком оцінки є збір всіх необхідних даних, що стосуються ресурсів, що використовуються в системі, таких як IP-адреси системи, використовувані носії, обладнання, тип антивіруса, використовуваного системою, і т. д.;
Виявлення можливих мережних загроз : тепер, маючи вхідні дані, ми можемо визначити можливі причини та лазівки мережних загроз у мережі, які можуть завдати шкоди нашій системі. Тут нам також необхідно визначити ризики та пріоритетність загроз (The impact of Risk, The threshold of Risk, Risk strategy, business impact);
Аналіз паролів маршрутизаторів та WI-FI : необхідно перевірити, що паролі, що використовуються для входу в маршрутизатор, і пароль, який використовується для доступу до Інтернету, досить надійні, щоб їх було важко зламати. Крім того, тут важливо переконатися, що пароль змінюється через регулярні проміжки часу, щоб система стала стійкішою до атак;
Аналіз стійкості (strength) мережі організації : Наступним кроком є оцінка стійкості мережі системи по відношенню до звичайних атак, включаючи розподілену атаку типу "відмова в обслуговуванні" (DDoS), атаку "людина посередині" (MITM) та мережне вторгнення. Це, у свою чергу, дасть нам чітке уявлення про те, як наша система реагуватиме у разі цих атак, і чи здатна вона врятуватися чи ні;
Оцінка безпеки мережевих пристроїв : тепер проаналізуйте реакцію мережевих пристроїв, таких як комутатор, маршрутизатор, модем та ПК, на атаки мереж. Тут докладно розповідатиметься про реакцію пристроїв із посиланням на погрози;
Сканування на виявлені вразливості : останній крок оцінки - сканування системи щодо відомих загроз і вразливостей, які вже є у мережі. Це робиться за допомогою різноманітних інструментів сканування;
Створення звіту : Дуже важливою є документація щодо процесу оцінки вразливості мережі. Вона повинна містити всі дії, виконані від початку до кінця, та погрози, виявлені під час тестування, а також процес їх усунення;
Повторне тестування : слід постійно перевіряти та аналізувати систему на предмет нових можливих загроз та атак та вживати всіх можливих заходів для їх пом'якшення;
Процес оцінки вразливості виступає як вхідні дані для політики мережевої безпеки (network security policy).
Класифікації сканерів уразливостей:
За типом активів/ресурсів (assets):
Мережеві сканери (Network-based scanners). Ви можете використовувати мережні сканери для виявлення неавторизованих пристроїв або невідомих користувачів у мережі. Ці сканери дозволяють мережевим адміністраторам визначати, чи існують у мережі приховані лазівки по периметру, такі як несанкціонований віддалений доступ. Мережеві сканери не мають прямого доступу до файлової системи. Таким чином, вони не можуть проводити перевірку безпеки низького рівня;
Хост-сканери (Host-based scanners). Як випливає з назви, сканер на основі хоста знаходиться на кожному хості в мережі, що відстежується. Він виявляє та ідентифікує вразливості на робочих станціях, серверах або інших мережних вузлах, забезпечуючи більшу видимість налаштувань конфігурації ваших активів;
Сканери програм (Application scanners). Сканери програм знаходять уразливості на веб-сайтах. Їхній режим роботи аналогічний режиму роботи пошукових систем – вони «повзуть» по веб-сайтах, відправляючи ряд зондів на кожну веб-сторінку на веб-сайті, щоб знайти слабкі місця;
Сканери бездротової мережі (Wireless network scanners). Сканери бездротових мереж, також звані аналізаторами бездротових протоколів (wireless protocol analyzers), є інструментами, які ви можете використовувати для виявлення відкритих бездротових мереж у вашому середовищі. Організації, які забороняють використання бездротових мереж, можуть використовувати ці сканери бездротових мереж для виявлення будь-яких неавторизованих мереж Wi-Fi;
Сканери баз даних (Database scanners). Ви можете використовувати сканери баз даних для виявлення вразливостей у вашій базі даних. Сканери баз даних можуть допомогти вам запобігти шкідливим зламам, таким як атаки з використанням SQL-ін'єкцій;
За джерелом:
Сканери зовнішніх вразливостей . За допомогою зовнішніх сканерів ви виконуєте сканування вразливостей поза мережею компанії. Зовнішні сканери зазвичай націлені на ІТ-інфраструктуру, доступну в Інтернеті, включаючи відкриті порти в мережевому брандмауері та брандмауерах веб-додатків;
Сканери внутрішніх вразливостей . На відміну від зовнішніх сканерів, внутрішні сканери проводять сканування вразливостей зсередини корпоративної мережі. Це сканування дозволяє захистити та зміцнити критично важливі програми, виявляючи внутрішні загрози, наприклад, шкідливі програми, що проникли в мережу;
За авторизованістю:
З аутентифікацією . Сканування з автентифікацією - також зване сканування з обліковими даними - дозволяє адміністратору мережі увійти в систему як користувач і визначити слабкі місця мережі з точки зору довіреного користувача. Оскільки ви увійшли до системи, ви можете глибше проникнути в мережу, щоб знайти численні загрози;
Без аутентифікації . Під час сканування без автентифікації вам не потрібно входити до мережі для виконання сканування. Хоча ви можете отримати уявлення про мережу стороннім, ви, швидше за все, упустите більшість вразливостей під час використання сканування без автентифікації;
Тестування на проникнення (Penetration testing) :
Це імітація атаки, в ході якої комп'ютерна система, мережа або програма перевіряються на наявність слабких місць у системі безпеки. Ці тести засновані на поєднанні інструментів та методів, які справжні хакери використовували б для злому. Це схоже на те, як банк наймає когось, щоб у ролі грабіжника спробувати проникнути в їхню будівлю та отримати доступ до сховища. Якщо «грабіжник» досягне успіху і проникне до банку чи сховища, банк отримає цінну інформацію про те, як їм потрібно посилити заходи безпеки. Інші поширені назви тестів на проникнення - це white hat attacks and ethical hacking. Цей вид тестування виконується як вручну, так і автоматично і може бути як Black Box, так і Grey та White.
Приклади кейсів тестування на проникнення:
Тест на проникнення в мережу:
виявлення вразливостей мережного та системного рівня;
визначення неправильних конфігурацій та налаштувань;
виявлення вразливості бездротової мережі;
шахрайські послуги;
відсутність надійних паролів та наявність слабких протоколів.
виявлення недоліків прикладного рівня;
підробка запитів;
застосування зловмисних скриптів;
порушення роботи управління сеансами;
Тест на фізичне проникнення:
зламування фізичних бар'єрів;
перевірка та зламування замків;
порушення роботи та обхід датчиків;
виведення з ладу камер відеоспостереження;
Відмінності Vulnerability Assessment від Penetration testing
VAPT = Vulnerability Assessment + Penetration testing
Vulnerability Assessment
Penetration Testing
Це метод пошуку та вимірювання вразливості системи
Знаходить вразливості та використовує їх
Кінцевим результатом є список уразливостей, які пріоретизуються за їх впливом
Тест проникнення більш цілеспрямований. Він допомагає намітити шлях, яким зловмисник проникне в систему
В основному автоматизовано
В основному вручну
Швидше
Довше
Дешевше
Дорожче
Спрямовано вшир
Спрямовано вглиб кожної вразливості для досягнення конкретних цілей
Виконується у критично важливих системах у реальному часі
Виконується на некритичних системах
Оцінка вразливості повинна проводитися не рідше одного разу на квартал, переважно після оновлення обладнання або серйозних змін у мережі
Тестування на проникнення слід проводити щорічно після значних змін
Докладно описується, які існують уразливості і що змінилося з моменту останнього аналізу
Ефективно ідентифікує інформацію, яка була скомпрометована
Джерела:
Дод. матеріал:
Last updated