Revista >> Bankwatch Mai 2010 [Nr. 13] >> Securitate

Managementul vulnerabilităţilor - O şansă în plus?

Razvan Grigorescu

01 Iunie 2010

2 Impresia greşită prin care se consideră că managementul vulnerabilităţilor se rezumă doar la aplicarea corecţiilor

Este adevărat că actualizările şi corecţiile recomandate de furnizorii sistemelor/aplicaţiilor reprezintă calea prin care se remediază cele mai multe dintre vulnerabilităţile identificate. Totuşi, există numeroase situaţii prin care vulnerabilităţile nu pot fi rezolvate exclusiv prin actualizarea la ultima versiune pusă la dispoziţie de furnizor.

Aceste situaţii necesită re-parametrizări şi configurări suplimentare, uneori fiind necesară re-proiectarea în totalitate a soluţiei respective.

3 Concepţia precum că managementul vulnerabilităţilor reprezintă exclusiv o problemă tehnică

Pentru a fi eficace în acest domeniu, trebuie acordată atenţie atât cadrului legislativ – politicilor existente, cât şi îmbunătăţirii prestaţiilor procesului în sine. Există numeroase puncte nevralgice evidente în cadrul politicilor IT şi de infrastructură. Să nu uităm că şi hibele existente în cadrul politicilor reprezintă, de asemenea, vulnerabilităţi. De exemplu, inexistenţa unei politici de securitate, care să stipuleze lungimea minimă şi nivelul de complexitate al parolelor în cadrul organizaţiei, reprezintă o vulnerabilitate existentă la nivelul politicii pe care scanerele nu o pot detecta, iar remediile nu o pot rezolva. De aceea, parolele cu un nivel insuficient de complexitate, lipsa cunoştinţelor legate de confidenţialitatea informaţiei, lipsa standardelor, ne-conformităţii în aplicarea şi respectarea acestora, configuraţia staţiilor de lucru etc. – pot contribui într-un mod mult mai eficient la eşecul unui program de securitate al informaţiei comparativ cu orice vulnerabilitate existentă în cadrul unei aplicaţii software.

4 Evaluarea unei vulnerabilităţi şi pierderea din vedere a imaginii de ansamblu

Acest aspect se întâlneşte în cazul celor care aplică în mod corect principiile managementului vulnerabilităţilor, dar, în etapa în care trebuie făcută prioritizarea remedierii vulnerabilităţilor identificate, eşuează în aprecierea corectă a impactului la nivelul procesului de afaceri în care este implicat sistemul respectiv, concentrându-se doar asupra vulnerabilităţii în sine. De exemplu, o vulnerabilitate de nivel scăzut, dar identificată pe un server WEB care deserveşte un serviciu critic pentru organizaţie, aflat în zona de-militarizată a unui echipament firewall şi expus atacurilor din Internet, trebuie tratat prioritar, comparativ cu un sistem de testare/dezvoltare aflat în măruntaiele camerei server-elor şi pe care a fost identificată o vulnerabilitate de nivel critic.

5 Să fii luat prin surprindere – atacuri de tipul „zilei zero”

Acest tip de atac provoacă fiori oricărui manager în securitatea informaţiei aflat în cunoştinţă de cauză. Natura atacului zădărniceşte şi cel mai bine pus la punct program de management al vulnerabilităţii. Împotriva acestui gen de ameninţare, abordarea CISO este diferită, fiind nevoit să pună la punct un sistem eficient de răspuns la incidente (parte a programului de management al incidentelor).

Acesta va avea în vedere crearea unui perimetru structurat de apărare, bazat pe mai multe nivele: mecanisme de control şi tehnologii diferite. Strategia descrisă va permite menţinerea integrităţii perimetrului apărat, chiar şi în situaţia „pierderii unei redute”... dar despre „apărarea în adâncime” am mai vorbit şi... vom mai vorbi.

1 Suplimentar costurilor identificate prin intermediul acestei formule, un incident de securitate poate conduce şi la pierderi reputaţionale. Acest aspect este cu atât mai relevant în situaţia organizaţiilor cărora li se încredinţează informaţii sau operaţiuni senzitive. Când se calculează costurile potenţiale din punct de vedere al pasivităţii în implementarea măsurilor preventive, orice organizaţie trebuie să ia în calcul şi posibilul impact reputaţional.

2 Atacul informatic de tipul „zilei zero” se concretizează în exploatarea unei vulnerabilităţi despre care nu există informaţii prealabile din partea furnizorului aplicaţiei informatice sau a oricărei alte surse autorizate.