Даниил Белицкий о процессах Vulnerability Management

Даниил Белицкий, ведущий архитектор SOC группы компаний SolidLab, принял участие в эфире АМ Live, на котором эксперты обсудили, как выстраивать процесс Vulnerability Management в компаниях.

Даниил Белицкий, о методологии внедрения VM-решений:

– Для помощи во внедрении у нас существует менеджмент-сервис, который сопровождает заказчика в моменте выстраивания процессов. Т.е. недостаточно сообщить заказчику, что у него есть уязвимость. Необходимо предлагать ее валидацию, проверять возможности эксплуатации и консультировать, насколько выявленный недостаток актуален для заказчика.

О проблеме закрытия уязвимостей:

– Не все уязвимости имеют информацию о том, как ее закрыть. Не по всем есть патчи, более того, не все заказчики осознают, что не всегда следует их ждать, и что можно принять компенсирующие меры.

О требованиях к функционалу VM-платформ:

— Правильная VM-платформа должна уметь работать сама в себе, функционировать самодостаточно. В условиях, когда у заказчика есть выстроенный зрелый процесс SOC, то важно, чтобы VM-платформа была интегрирована с SIEM-мом или SOAR-ом для последних корреляционных правил, быстрой передачи. Также важна интеграция с тикет-системами. Приходить к VM-решениям необходимо. При этом нужно приходить к командам, кто умеет работать со своими решениями, другими словами — к зрелой VM-платформе.

О частоте проверок:

— Запросы заказчиков могут различаться: кому-то нужно регулярно проверять уязвимости, потому что инфраструктура динамически меняется, у кого-то мало изменений. Кто-то раз в день сканирует, другие – раз в месяц. Регулярное сканирование у заказчиков с динамической меняющейся инфраструктурой — это важно, процесс не должен останавливаться.

О разделении процессов управления уязвимостями и патчами:

— Патч может сломать что-то, что уже работает. Мы все еще сталкиваемся с ситуациями, когда некоторые крупные инфраструктуры используют устаревшие операционки или другие инструменты, потому что на них работает какое-то устаревшее ПО, без которого, к сожалению вся работа встанет. Отключить его невозможно. Автопатчинг в это случае бесполезен.