Hvad er forskellen mellem sårbarheder og fejlkonfigurationer?

Sårbarhedsvurdering er en nødvendig komponent i enhver komplet sikkerhedsværktøjskæde og det mest oplagte sted at starte for alle, der ønsker at forbedre deres sikkerhed. Ironisk nok kan det at starte med sårbarhedsvurdering faktisk forringe en organisations overordnede forsvar ved at flytte fokus fra årsagen til de fleste afbrydelser og brud: fejlkonfigurationer.

Fejlkonfigurationer - ikke særlig cool, men ekstremt vigtigt

Sofistikerede, højt profilerede cyberangreb får mest opmærksomhed, dels fordi de er skræmmende, og dels, lad os indrømme det, fordi de er seje. Det er fedt at overføre en binær fil på tværs af luftgabte systemer ved hjælp af temperaturudsving forårsaget af CPU-brug. Det er ikke fedt at logge ind på et system, hvor brugernavn og adgangskode ikke er blevet ændret fra standardindstillingerne, eller hvor der er en post-it-seddel, der hænger på skærmen. En af disse angrebsvektorer er langt mere tilbøjelig til at ske for dig end den anden. Med begrænsede ressourcer ville du gøre bedre at investere i den langt mere sandsynlige risiko.

For at sige det i hverdagstermer er det at springe konfigurationsintegritet over for at springe direkte til sårbarhedsdetektion som at tage kurser i, hvordan man bryder alligatorer og køre der med sikkerhedsselen spændt. Selvom du måske klarer dig meget bedre i et møde med en alligator, har du øget din samlede risiko for dødelighed ved at gå glip af det grundlæggende.

Få mere at vide om de vigtigste sikkerhedsfejlkonfigurationer, der forårsager databrud >

Integritet, tilgængelighed og fortrolighed - ikke kun for kampagneslogans

"At sætte de grundlæggende principper for informationssikkerhed i centrum giver mulighed for at prioritere konkurrerende initiativer og gøre fejlkonfigurationer til en topbekymring."

Betydningen af konfigurationsintegritet og sårbarhedsvurdering bør begge måles på deres evne til at øge informationssikkerheden. De tre komponenter i informationssikkerhed er dataintegritet, tilgængelighed og fortrolighed. Et tab af dataintegritet betyder, at den er blevet beskadiget; tilgængelighed betyder, at den ikke længere kan leveres til den relevante bruger; og fortrolighed betyder, at den er blevet stillet til rådighed for en forkert bruger. At sætte det grundlæggende i informationssikkerhed i centrum giver mulighed for at prioritere konkurrerende initiativer og gøre fejlkonfigurationer til en topprioritet.

Lav en liste og tjek den to gange

Hvad fanger sårbarhedsvurdering? En softwaresårbarhed betyder, at et bestemt udformet input til et program kan resultere i tab af informationssikkerhed, fra lammelsesangreb med lav alvorsgrad til forretningsraslende datalækager. Sårbarhedsvurdering er en måde at forbedre informationssikkerheden på ved at sammenligne den software, du har, med en liste over software, der vides at have sårbarheder. (Det er komplekst at få listen og udføre sammenligningen, men i det mindste er ideen ligetil.) Listen over sårbar software vokser over tid, efterhånden som sikkerhedsforskere eksperimenterer med nye måder at få programmer til at gøre noget, de ikke skal. Når et program er kendt for at have en sårbarhed, udsteder udbyderen en patch, brugere opdaterer, og de er ikke længere underlagt denne sårbarhed.

I hvert fald i teorien.

Læs hele vores indlæg om sårbarhedsvurdering >

Realitetstjek, tak

Grundlæggende patching er en kritisk aktivitet for infosec, men en der er lettere sagt end gjort. Patches til zero day-sårbarheder hastes ud for at afbøde en presserende risiko og kan introducere operationelle problemer - dvs. tab af tilgængelighed - på grund af et begrænset testvindue, begrænsede udviklingsressourcer til open source-software og selve systemernes permutationelle kompleksitet. De kan også kræve yderligere efterfølgende patches for at løse mere sofistikerede metoder til at udnytte det samme underliggende problem. (Og nogle problemer kan være så grundlæggende, at der ikke er nogen nem og idiotsikker løsning.)

Sårbarhedsvurdering er, for at låne Gartners udtryk, bimodal. På den ene side ønsker organisationer at følge med i, hvad den seneste udnyttelse er, som de ser på zdnet. På den anden side er de højst sandsynligt allerede langt bagud på den stadigt voksende liste over kendte sårbarheder. 99 % af sårbarhedsudnyttelserne i 2014 havde programrettelser, der var mere end et år gamle. Det vil sige, at du ville være 99 gange bedre stillet ved at ignorere det, der er på forsiden af internettet og i stedet rette noget, der har været i stykker i over et år.

Ud over sikkerhedsselen - Fastgørelse af bilen

-Gartner

Patches kan løse sårbarheder, men de kan også bare løse fejl, hvilket giver yderligere bevis på, at god informationssikkerhedspraksis er på et kontinuum fra at manøvrere smarte angribere for at undgå dumme fejl. Hvis vi fortsætter ned ad kontinuummet forbi grundlæggende patching, kommer vi til fejlkonfigurationer. Ligesom patching har en større indvirkning på sikkerheden end banebrydende sårbarhedsdetektion, har konfigurationsintegritet igen en større effekt på din evne til at opretholde informationssikkerhed. Talrige undersøgelser har vist, at fejlkonfigurationer er ansvarlige for størstedelen af brud og afbrydelser. Ifølge Gartner vil 99 % af alle firewallbrud være forårsaget af fejlkonfigurationer, ikke sårbarheder. Gartners tidligere analyse tilføjer, at fejlkonfigurationer tegner sig for omkring 70 % af mobilbrud, og fejlkonfigurationer i skyen tegner sig også for 80 % af cloud-brud. På et tidspunkt virker det som et misbrug af sproget at skyde skylden på sårbarheder, når selve softwaren er alvorligt forældet eller endda forbi slutningen af levetiden.

Sårbarhedsvurdering er en gyldig bekymring, men en bekymring, der skal komme efter gentagelige, reviderbare processer til afhjælpning af fejlkonfigurationer. Ikke alene er fejlkonfigurationer mere tilbøjelige til at føre til forretningsforstyrrelser på grund af et bortfald af informationssikkerhed, det er usandsynligt, at du effektivt vil være i stand til at afhjælpe sårbarhederne selv uden processerne. For klarhedens skyld er det værd at fortsætte med at bruge "sårbarhedsvurdering" til at betyde sammenligning af faktiske softwareversioner med dem på en sortliste. For pragmatiske drifts- og sikkerhedsprofessionelle, der spekulerer på "er jeg sårbar over for tab af integritet, tilgængelighed eller fortrolighed", bør fejlkonfigurationer være det første, de tjekker.