Ведём процесс управления уязвимостями (Vulnerability Management, VM): поддерживаем реестр активов, регулярно сканируем инфраструктуру, проверяем применимость находок, приоритизируем по реальному риску, контролируем устранение и перепроверяем результат.
Найти уязвимости несложно — сканер выдаёт их сотнями. Дальше начинается то, на чём процесс обычно и останавливается: список передан, приоритеты не согласованы, сроки не назначены, за просроченное никто не отвечает. Предмет услуги — полный цикл от обнаружения до подтверждённого устранения или документированного решения по риску.
Через несколько циклов организация получает три вещи, которых до этого не было:
| Формат | Что делает АйЭсТи |
|---|---|
| Управление процессом | Инвентаризация, сканирование, проверка находок, приоритизация, постановка задач, контроль сроков, эскалация, перепроверка, отчётность |
| Управление и устранение | Всё перечисленное плюс устранение в системах, переданных нам в администрирование |
| Услуга | Результат |
|---|---|
| CyberCheck | Краткосрочная экспресс-проверка: срез по трафику и ключевым узлам, план первых действий |
| Экспертный аудит защищённости | Широкая разовая оценка инфраструктуры, архитектуры, настроек и рисков |
| Аудит уязвимостей | Разовый технический срез: какие известные уязвимости есть сейчас и что закрывать первым |
| Проектирование процессов ИБ | Как процесс должен быть устроен: роли, регламент, сроки, метрики — если вести его будет ваша команда |
| Управление уязвимостями | Постоянное ведение очереди: обнаружение, приоритизация, контроль устранения, перепроверка |
Сопоставляем данные существующих реестров и CMDB, службы каталога, виртуализации, средств защиты конечных точек, облачных кабинетов, сетевого обнаружения и сканирования диапазонов. Отмечаем активы без владельца, категории критичности или подтверждённого статуса эксплуатации: узел вне реестра остаётся и вне процесса устранения.
Внешний периметр и внутренняя сеть. Применяем сертифицированные ФСТЭК сканеры, если это требуется требованиями к вашим системам; иначе подбираем инструмент под инфраструктуру. Аутентифицированное сканирование повышает полноту и точность проверки и позволяет подтвердить версии, обновления и конфигурации, недоступные при внешнем сканировании.
Проверяем применимость к вашей конфигурации, объединяем дубликаты, фиксируем ложные срабатывания и исключения — с обоснованием, подтверждающим лицом и сроком пересмотра. Исключение без срока жизни со временем превращается в незамеченный риск.
См. следующий раздел.
Формируем очередь с назначенными владельцами и целевыми сроками по итоговой категории риска, передаём в работу — вашей ИТ-службе или нашим специалистам, согласно выбранному формату.
Отслеживаем статусы, предупреждаем о приближении сроков, эскалируем просроченное по согласованной схеме.
После устранения подтверждаем сканированием, что находка закрыта, и фиксируем повторные обнаружения.
Регулярный отчёт с динамикой, разбор с командой, корректировка приоритетов и периодичности.
До начала работ письменно фиксируются:
Результаты сканирования — перечень слабых мест, ценный для злоумышленника сам по себе. Фиксируются:
| Задача | АйЭсТи | Заказчик |
|---|---|---|
| Реестр активов | Ведём и актуализируем | Предоставляет реестры, сообщает о вводе и выводе систем |
| Сканирование, проверка находок, приоритизация | Выполняем и обосновываем | Предоставляет доступ, согласует окна, сроки и приоритеты |
| Устранение | Выполняем в системах, переданных в администрирование | Выполняет в остальной части |
| Компенсирующие меры | Предлагаем, настраиваем в своей зоне | Согласует и внедряет в своей |
| Принятие остаточного риска | Готовим обоснование | Принимает решение уполномоченным лицом |
| Эскалация просроченного | Эскалируем по согласованной схеме | Определяет адресатов с полномочиями |
Единица объёма — учитываемый актив и периодичность цикла. Что считается одним учитываемым активом (физический узел, виртуальная машина, сетевое устройство, внешний адрес, облачный ресурс), порядок выявления новых активов и перерасчёта определяются в договоре. На трудоёмкость влияют также тип сканирования, число сегментов и площадок, необходимость размещения сканирующих узлов в закрытых контурах, интеграция с системой постановки задач и объём работ по устранению.
Ключевые показатели:
Порядок: первичная консультация → определение области и инвентаризация → согласование расписания, категорий риска и сроков, схемы эскалации и распределения работ → договор, NDA и правила сканирования → первый цикл → регулярный режим.
Первый цикл обычно самый объёмный: он вскрывает накопленное за годы. Разбор этого объёма нередко выделяют в отдельные работы, чтобы не смешивать с регулярным процессом.
Стоимость зависит от числа учитываемых активов, периметра, типа сканирования, периодичности циклов, состава внеплановой обработки и того, входит ли устранение в нашу зону.
Аудит — срез на конкретный момент: нашли, приоритизировали, передали. Управление уязвимостями — постоянный цикл со сроками, контролем устранения и перепроверкой. Часто начинают с аудита и переходят к процессу.
Риск и допустимый профиль определяются отдельно для каждой группы систем. До запуска согласовываем область, профиль и интенсивность проверок, окна, аварийные контакты и критерии остановки. Для АСУ ТП, медицинского, устаревшего и специализированного оборудования применяем только допустимые методы либо заменяем активное сканирование анализом версий и конфигураций.
Расскажите, что есть: примерное число узлов, проводится ли сканирование сейчас, кто устраняет найденное, есть ли требования регулятора к анализу защищённости. Определим область и предложим расписание и распределение работ.