Rendszeres látképet igénylő üzemeltetők
Ha a szerverpark és a hálózat folyamatosan változik, a havi vagy negyedéves vizsgálat megmutatja, mi romlott el az utolsó vizsgálat óta.
/ SÉRÜLÉKENYSÉGVIZSGÁLAT
Sérülékenységvizsgálat (vulnerability assessment)
Mielőtt a támadó találja meg a gyenge pontokat, Ön már tudja, hol vannak. A sérülékenységvizsgálat átfogó képet ad a rendszerek ismert hibáiról, és megmutatja, melyiket kell elsőként javítani.
[ 01 ] / MI EZ
Mi a sérülékenységvizsgálat, és miben más, mint a penetrációs teszt?
Röviden
A sérülékenységvizsgálat (vulnerability assessment) a rendszerek ismert biztonsági hibáinak szisztematikus felderítése, értékelése és rangsorolása. Szélesebb, de kevésbé mély, mint a penetrációs teszt: nem a hibák kihasználására, hanem a lehető legtöbb gyengeség megtalálására és a javítás sorrendjének meghatározására törekszik.
A sérülékenységvizsgálat a rendszerek ismert hibáit keresi: hiányzó javításokat, elavult szoftvereket, hibás konfigurációkat, gyenge titkosítást és felesleges szolgáltatásokat. Automatizált eszközökkel nagy hatókört fed le rövid idő alatt, majd a szakértők kézzel ellenőrzik a találatokat, hogy a végeredmény ne tele legyen téves riasztásokkal.
A penetrációs teszt ezzel szemben mélyebbre ás: kihasználja a hibákat, láncolja őket, és megmutatja, mekkora kárt tudna okozni egy valódi támadó. A kettő kiegészíti egymást: a sérülékenységvizsgálat a rendszeres, széles alapozás, a penetrációs teszt pedig az időnkénti, mély próba.
A találatok értéke a rangsorolásban van. Egy hibalista, amely ezer tételt tartalmaz, nem segít, ha nem derül ki belőle, hol kezdjen a csapat. Ezért nem csupán a súlyossági pontszámot (CVSS) nézzük, hanem azt is, hogy a hibát aktívan kihasználják-e, mennyire elérhető a rendszer, és mekkora az üzleti jelentősége.
Módszertanok és szabványok
- CVSS v4.0 és v3.1
- EPSS
- CISA KEV
- CVE / NVD
- CIS Controls v8
- ISO/IEC 27001
- PCI DSS 11.3
- NIS2 sérülékenységkezelés
[ 02 ] / KINEK AJÁNLJUK
Kinek éri meg a sérülékenységvizsgálat?
Minden szervezetnek, amely internetre kapcsolt vagy kritikus rendszereket üzemeltet, és szeretné tudni, hol áll a javításokkal – különösen, ha a szabályozás rendszeres vizsgálatot vár el.
PCI DSS és ISO 27001 hatálya alá tartozók
A keretrendszerek rendszeres sérülékenységvizsgálatot várnak el. A jelentés auditbizonyítékként használható.
NIS2 és DORA által érintett szervezetek
A sérülékenységek kezelése és a rendszeres tesztelés a szabályozások kötelező eleme. A program megmutatja a folyamat működését.
Gyorsan növekvő, felhőt használó cégek
Ha gyorsan születnek az új szolgáltatások és fiókok, könnyű elveszíteni a leltárt. A vizsgálat az ismeretlen vagy elfelejtett eszközöket is felfedi.
Beszerzés vagy összeolvadás előtt állók
Átvilágításnál gyorsan képet ad a megvásárolt vagy beolvadó cég rendszereinek biztonsági állapotáról.
Penetrációs tesztre készülők
A teszt előtti vizsgálat kiszűri a nyilvánvaló hibákat, így a drága, mély teszt a ténylegesen összetett problémákra fókuszálhat.
[ 03 ] / MIT TARTALMAZ
A sérülékenységvizsgálat elemei
A hatókört a környezethez igazítjuk. Az alábbi elemek jellemzően a szolgáltatás részei lehetnek.
01
Eszközleltár és hatókör-egyeztetés
Felderítjük a hálózati eszközöket és szolgáltatásokat, és közösen rögzítjük, mit, mikor és milyen módon vizsgálunk, hogy az üzemeltetést ne zavarjuk.
02
Hitelesített és hitelesítés nélküli vizsgálat
Kívülről, mint egy támadó, és belülről, jogosultsággal is megvizsgáljuk a rendszereket. A hitelesített vizsgálat sokkal pontosabb a hiányzó javításokról és a konfigurációról.
03
Webalkalmazások vizsgálata
Az alkalmazásréteg gyakori hibáinak (például az OWASP Top 10 kategóriák) automatizált felderítése, a kritikus találatok kézi ellenőrzésével.
04
Hálózati eszközök és szolgáltatások
Tűzfalak, kapcsolók, VPN-ek, távoli elérések és kitett szolgáltatások gyenge pontjai, hibás konfigurációi és elavult verziói.
05
Felhő és konténerek
Felhőfiókok, tárhelyek, jogosultságok, konténerképek és orchestrator-beállítások ellenőrzése az ismert hibák és a hibás konfiguráció szempontjából.
06
Kézi validálás és téves riasztások szűrése
Minden jelentős találatot ellenőrzünk, így a javító csapat valódi hibákkal dolgozik, és nem szkenner-zajjal.
07
Kockázat szerinti priorizálás
A súlyossági pontszám mellett figyelembe vesszük a kihasználhatóságot, az elérhetőséget és az érintett rendszer üzleti jelentőségét.
08
Javítási terv és újraellenőrzés
Konkrét javítási javaslatok, felelősök és határidők, majd a javítások utáni újravizsgálat annak igazolására, hogy a hibák valóban megszűntek.
[ 04 ] / HOGYAN ZAJLIK
A sérülékenységvizsgálat folyamata
A folyamat célja, hogy a vizsgálat kiszámítható, ismételhető és az üzemeltetésre nézve biztonságos legyen.
Hatókör és szabályok
Rögzítjük a vizsgálandó rendszereket, az időablakot, az elérhetőségeket és a vizsgálat intenzitását. Megállapodunk a kapcsolattartásban és a leállási feltételekben.
Felderítés
Feltérképezzük az elérhető eszközöket és szolgáltatásokat, és összevetjük az ügyfél leltárával. Ez gyakran ismeretlen vagy elfelejtett rendszereket is felfed.
Vizsgálat
Hitelesített és hitelesítés nélküli vizsgálatot futtatunk a megbeszélt időablakban, a rendszerek terhelésére figyelve.
Validálás és értékelés
Kézzel ellenőrizzük a jelentős találatokat, kiszűrjük a téves riasztásokat, és az üzleti kontextus szerint értékeljük a kockázatot.
Jelentés és egyeztetés
Vezetői összefoglalót és részletes technikai jelentést adunk, majd közösen megbeszéljük a javítási sorrendet.
Újraellenőrzés és ismétlés
A javítások után újravizsgálunk, és a vizsgálatot a megegyezett ütemben ismételjük, így a trend is követhető.
[ 05 ] / MIT OLD MEG
Mit old meg a sérülékenységvizsgálat, és miért éri meg?
A legtöbb sikeres támadás nem ismeretlen, hanem ismert és javítható hibákat használ ki. A rendszeres vizsgálat időben megmutatja ezeket, még mielőtt egy támadó megtenné, és csökkenti az átlagos időt a hiba felfedezése és javítása között.
Emellett a vizsgálat objektív, mérhető képet ad a biztonsági állapotról: látható, javul-e a helyzet, mennyi idő alatt javítják a kritikus hibákat, és hol van elmaradás. Ez a vezetőségnek és az auditoroknak is érthető bizonyíték.
- az ismert hibák felfedezése a támadók előtt
- a javítások sorrendjének megalapozott meghatározása
- mérhető trend és a javítási idő követése
- auditbizonyíték PCI DSS, ISO 27001, NIS2 és DORA felé
- ismeretlen és elfelejtett eszközök felfedezése
Amit kézhez kap
- vezetői összefoglaló és kockázati kép
- validált, priorizált sérülékenységlista
- technikai részletek és javítási javaslatok
- javítási terv felelősökkel és határidőkkel
- újraellenőrzési jelentés
- trendjelentés ismétlődő program esetén
[ 06 ] / MIÉRT A QYNTAR
Miért a Qyntar végezze a sérülékenységvizsgálatot?
Mert a szkenner eredménye nyers adat. Mi támadói szemmel értékeljük, mi számít valóban, és mi nem.
Támadói tapasztalat
Tudjuk, melyik hiba kihasználható a gyakorlatban, ezért a lista tetején a valódi kockázatok állnak, nem a legmagasabb pontszámú, de nehezen kihasználható hibák.
Kevesebb zaj
A találatokat kézzel validáljuk, így a javító csapat nem pazarolja az idejét téves riasztásokra.
Üzemeltetést tisztelő vizsgálat
Az időablakot, az intenzitást és a leállási feltételeket előre egyeztetjük, hogy a vizsgálat ne zavarja az éles működést.
Továbblépési lehetőség
Ha a vizsgálat összetettebb problémát jelez, a penetrációs teszt vagy a hardening természetes folytatás.
[ 07 ] / GYAKORI KÉRDÉSEK
Gyakran ismételt kérdések – sérülékenységvizsgálat
Mi a különbség a sérülékenységvizsgálat és a penetrációs teszt között?
A sérülékenységvizsgálat széles körben, főként automatizáltan keresi az ismert hibákat, és rangsorolja őket. A penetrációs teszt mélyebb, kézi munka: kihasználja a hibákat, láncolja őket, és megmutatja a valódi üzleti kockázatot. A két szolgáltatás kiegészíti egymást.
Milyen gyakran érdemes sérülékenységvizsgálatot végezni?
Az internetre kitett rendszereknél legalább negyedévente, kritikus környezetben havonta vagy folyamatosan. Jelentős változtatás vagy új rendszer bevezetése után is érdemes vizsgálni. A PCI DSS például legalább negyedéves vizsgálatot vár el.
Veszélyeztetheti a vizsgálat az éles rendszerek működését?
A vizsgálatot úgy tervezzük, hogy minimális terhelést okozzon: egyeztetett időablakban, szabályozott intenzitással, leállási feltételekkel. A kényes rendszereket szükség esetén külön, óvatosabb módon vizsgáljuk.
Mi a hitelesített vizsgálat, és miért jobb?
A hitelesített vizsgálat során a szkenner jogosultsággal belép a rendszerekbe, így pontosan látja a hiányzó javításokat és a konfigurációt. Sokkal kevesebb téves riasztást és több valódi találatot ad, mint a hitelesítés nélküli vizsgálat.
Mit jelent a CVSS, és elég-e ez a priorizáláshoz?
A CVSS a hiba súlyosságát fejezi ki egy pontszámmal, de nem veszi figyelembe, hogy a hibát kihasználják-e, és mennyire fontos a rendszer. Ezért az EPSS, a CISA KEV lista és az üzleti jelentőség figyelembevételével rangsorolunk.
Megfelel a vizsgálat a PCI DSS vagy az ISO 27001 elvárásainak?
A jelentés bizonyítékként használható a rendszeres sérülékenységvizsgálatot elváró kontrollokhoz. A PCI DSS külső vizsgálatához jóváhagyott szkennelő szolgáltató (ASV) szükséges. Ezt a vizsgálat előtt egyeztetjük.
Mi történik a vizsgálat után?
Átadjuk a priorizált listát és a javítási tervet, megbeszéljük a sorrendet, és a javítások után újraellenőrzünk. Kérésre ismétlődő programot is indítunk, amely a trendet is mutatja.
[ 08 ] / KAPCSOLÓDÓ SZOLGÁLTATÁSOK
Ezek is érdekelhetik
[ + ] / KAPCSOLAT
Kapcsolat
E-mail
Mondja el, milyen biztonsági kihívással áll szemben.
Egy konkrét technikai kérdéstől a komplex biztonsági projektekig segítünk tisztázni a lehetőségeket, a prioritásokat és a továbblépés irányát.
Mutasd az e-mail címet
info
qyntar
com