Инвентаризация
Определяем, что вообще есть в инфраструктуре и что войдёт в проверку: серверы, рабочие станции, сетевое оборудование, приложения, внешний периметр. Уязвимости на неучтённых узлах — самые опасные, потому что о них никто не знает.
Аудит ИБ
Аудит уязвимостей инфраструктуры
Находим известные уязвимости в серверах, рабочих станциях, сетевом оборудовании и приложениях, отсеиваем ложные срабатывания и выстраиваем очередь устранения по реальному риску — а не по формальному уровню из сканера.
На выходе — не сырая выгрузка из сканера, а разобранный отчёт: что реально применимо, что опасно, что закрывать первым и какими мерами. Уязвимостей всегда больше, чем ресурсов на их устранение, и ценность аудита в ответе на вопрос, за что браться.
Суть подхода
Проблема не в том, чтобы найти уязвимости, а в том, что с ними делать
Запустить сканер и получить отчёт на тысячу строк может кто угодно. Проблема начинается дальше.
Сканер выдаёт сотни находок, часть из которых — ложные срабатывания, часть неприменима к вашей конфигурации, часть критична только на бумаге, а часть действительно опасна прямо сейчас. Без разбора этот список парализует: устранять всё невозможно, а как выбрать — непонятно. В итоге отчёт откладывается, и уязвимости остаются открытыми не потому, что их не нашли, а потому, что не смогли договориться, за что браться.
Аудит уязвимостей — это не про сканирование, а про то, чтобы из сырого списка получить понятную очередь работ.
Состав работ
Что входит в аудит
Сканирование
Проверяем узлы на известные уязвимости, ошибки конфигурации и устаревшее ПО, сканируя как внешний периметр, так и внутреннюю сеть. Используем сертифицированные ФСТЭК сканеры, если это требуется условиями проекта или регуляторными требованиями; в остальных случаях подбираем инструменты под инфраструктуру и задачу. Для АСУ ТП, медицинского оборудования и других чувствительных систем режим согласуем отдельно: часть проверок выполняется без активного сканирования — по данным инвентаризации, версиям ПО, конфигурациям и документации.
Отсев ложных срабатываний
Проверяем находки вручную. Ложные срабатывания и неприменимые к вашей конфигурации уязвимости отсеиваем, чтобы в отчёт попало то, что действительно требует внимания.
Приоритизация по реальному риску
Ранжируем не по формальному баллу сканера, а с учётом совокупности факторов: базовой оценки CVSS, наличия публичного эксплойта и фактов эксплуатации в реальных атаках, доступности узла из интернета, критичности актива и уже действующих компенсирующих мер. Отдельно учитываем контекст актива — где именно находится уязвимость: публичный сервер, контроллер домена, сервер с персональными данными, рабочая станция, технологический сегмент или тестовая среда. Поэтому критичная на бумаге уязвимость на изолированном тестовом узле может подождать, а средняя на публичном сервере с ПДн — нет.
План устранения
Раскладываем работы в очередь: что закрыть немедленно, что запланировать, что можно принять. По каждой уязвимости — способ устранения: обновление, изменение настройки, компенсирующая мера, если патч пока невозможен.
Формат работы
Разовый аудит и регулярный процесс — это разные вещи
Уязвимости появляются постоянно: выходят новые обновления, публикуются новые уязвимости в уже установленном ПО, меняется инфраструктура. Разовый аудит показывает состояние на один день. Через месяц картина другая.
Разовый аудит
Подходит, когда нужно оценить текущее состояние: перед проверкой, после инцидента, при приёмке инфраструктуры, для разовой оценки перед принятием решений.
Срез состояния на конкретный момент
Регулярный процесс (Vulnerability Management)
Сканирование, приоритизация и контроль устранения встроены в постоянный цикл. Это не разовая услуга, а налаженная работа: инфраструктура проверяется по расписанию, новые уязвимости отслеживаются, устранение контролируется.
Непрерывный контроль, список не накапливается
Частая путаница
Чем это отличается от смежных проверок
Что делает
Как
Отвечает на вопрос
Аудит уязвимостей
Находит известные уязвимости массово, по всей инфраструктуре
Широко и регулярно
Какие известные дыры есть и что закрывать первым
Тест на проникновение
Проверяет, можно ли реально пробить защиту, эксплуатируя уязвимости в связке
Глубоко и точечно
Можно ли этим реально воспользоваться
Аудит конфигураций
Проверяет правильность настроек, а не наличие уязвимостей в ПО
Изнутри, по настройкам
Правильно ли настроено то, что есть
Аудит веб-приложений
Проверяет конкретное приложение, включая уязвимости бизнес-логики, которых нет в базах
Анализ приложения и API
Что можно проэксплуатировать в конкретном сервисе
Подготовка
Что нужно для старта работ
Перечень или диапазоны узлов в границах проверки: серверы, рабочие станции, оборудование, внешние адреса
Доступ для сканирования: сетевой доступ к узлам, при необходимости — учётные записи для аутентифицированного сканирования
Сведения об инфраструктуре и применяемых средствах защиты
Согласованное окно для сканирования, если часть систем чувствительна к нагрузке
Контакты администраторов для уточнений
Этапы работы
Как проходит аудит
Согласуем объём и способ сканирования
Определяем узлы, тип сканирования, окно работ, ограничения для чувствительных систем.
Инвентаризируем и сканируем
Уточняем состав узлов, проводим сканирование внешнего периметра и внутренней сети.
Разбираем результаты
Отсеиваем ложные срабатывания, проверяем применимость находок к вашей конфигурации.
Приоритизируем
Ранжируем по реальному риску с учётом доступности узла, наличия эксплойтов и действующих мер защиты.
Готовим отчёт и план
По каждой значимой уязвимости: где, в чём суть, чем опасна, как устранить. Отдельно — очередь работ и сводка для руководства.
Разбираем с командой
Проходим отчёт с администраторами, помогаем спланировать устранение.
Контролируем устранение
При необходимости проводим повторное сканирование и подтверждаем, что уязвимости закрыты.
Результат
Что вы получаете
01
Перечень подтверждённых уязвимостей без ложных срабатываний, с уровнем риска по каждой
02
Приоритизацию по реальному риску, а не по формальному баллу сканера
03
По каждой уязвимости: расположение, суть, последствия, способ устранения
04
Очередь работ: что закрыть немедленно, что планово, что можно принять
05
Компенсирующие меры для уязвимостей, которые нельзя закрыть обновлением прямо сейчас
06
Сводку для руководства: общий уровень риска и главные проблемы
07
При регулярном процессе — динамику: закрываются уязвимости быстрее, чем появляются, или список растёт
08
Повторное сканирование и подтверждение устранения
Стандарты
На что опираемся
Сертифицированные ФСТЭК сканеры уязвимостейMaxPatrol VM, RedCheck, Сканер-ВС и другие в зависимости от инфраструктуры
Банк данных угроз безопасности информации ФСТЭК России (БДУ)и общедоступные базы уязвимостей — как источник сведений об уязвимостях и их критичности
Методические документы ФСТЭК Россиипо анализу уязвимостей и оценке угроз — в части, применимой к защищаемым системам
Требования к вашей инфраструктуреотраслевые, корпоративные, требования регуляторов, если установлены
Сроки
Сроки и стоимость
Срок и стоимость зависят от числа узлов и типа сканирования. На объём влияет:
Количество узлов в границах проверки
Сканирование только периметра или ещё и внутренней сети
Обычное или аутентифицированное сканирование
Разовый аудит или настройка регулярного процесса
Нужен ли контроль устранения и повторное сканирование
Почему мы
Почему IST
- 15 лет на рынке информационной безопасности
- 2 000+ реализованных проектов
- Офисы в Самаре, Оренбурге, Нижнем Новгороде и Москве
- Лицензии ФСТЭК и ФСБ
- Работаем с сертифицированными сканерами и внедряем их у заказчиков — знаем не только как найти уязвимости, но и как поставить процесс управления ими
- Отсеиваем ложные срабатывания и приоритизируем по реальному риску, а не отдаём сырую выгрузку из сканера
- Умеем закрыть найденное сами: обновления, настройки, компенсирующие меры, замена неподдерживаемого ПО
- Ставим не разовую проверку, а повторяемый процесс, чтобы список не накапливался заново
Вопросы
Частые вопросы
Чем аудит уязвимостей отличается от теста на проникновение?
Аудит уязвимостей находит известные уязвимости широко, по всей инфраструктуре, и выстраивает очередь устранения. Пентест берёт часть из них и проверяет, можно ли реально пробить защиту. Аудит — регулярная гигиена, пентест — проверка боем. Они дополняют друг друга.
Мы можем просто купить сканер и делать это сами. Зачем аудит?
Купить и запустить сканер несложно, сложность в разборе результатов: отсеять ложные срабатывания, понять применимость, приоритизировать по реальному риску. Именно на этом этапе большинство и останавливается, оставаясь с бесполезным отчётом. Аудит — это разбор, а не сканирование. Если нужно, поможем и поставить процесс, чтобы дальше вы вели его сами.
Сканирование не нарушит работу систем?
Обычное сканирование безопасно для большинства систем. Для чувствительного оборудования и АСУ ТП применяем щадящие режимы и согласованные окна, а часть проверок заменяем на анализ без активного воздействия. Границы и меры предосторожности фиксируем заранее.
Что такое аутентифицированное сканирование и зачем оно?
Это сканирование с учётными записями, при котором виден состав установленного ПО и обновлений. Оно точнее сканирования снаружи и даёт меньше ложных срабатываний, потому что проверяет фактическое состояние узла, а не догадки по открытым портам.
Как часто нужно проверять?
Разово — перед проверкой, после инцидента, при приёмке. Регулярно — с периодичностью, которую вы закрепите: новые уязвимости в установленном ПО публикуются постоянно, и однократная проверка устаревает за недели.
Начать проект
Разобраться с уязвимостями вашей инфраструктуры
Расскажите об инфраструктуре — сколько примерно узлов, нужен разовый аудит или регулярный процесс, есть ли чувствительные системы. Уточним объём и назовём срок и стоимость.