Paljud ettevõtted seostavad haavatavuste skaneerimist iga-aastase turvaauditiga: kord aastas saabuvad audiitorid, käivitavad skanneri ja annavad üle aruande, mis on täis punaseid lahtreid, ning IT-osakond parandab paar nädalat asju. Pärast seda on järgmise aastani rahu.
Probleem on selles, et kahe auditi vahel möödub kaksteist kuud. Selle aja jooksul avaldavad tootjad tuhandeid uusi haavatavusi ja ründajad hakkavad neid kasutama päevade, mitte kuude jooksul. Aastane aruanne näitab minevikku, mitte praegust seisu.
Selles artiklis selgitame, mis on haavatavus ja CVE tegelikult, kuidas skaneerimine erineb läbistustestist, kuidas prioriteete seada, et IT-meeskond nimekirjas ära ei upuks, ja miks igakuine tsükkel on NIS2 või DORA auditi jaoks mitte luksus, vaid miinimum.
Mis on haavatavus ja mida tähendab CVE
Haavatavus on tarkvara või seadistuse viga, mida saab kasutada soovimatu tegevuse jaoks: sisse pääseda ilma paroolita, käivitada võõrast koodi, lugeda võõraid andmeid. See võib olla operatsioonisüsteemis, brauseris, serverirakenduses, võrguseadmes või isegi printeris.
CVE (Common Vulnerabilities and Exposures) on teadaolevate haavatavuste avalik register. Igaüks saab tunnuse, näiteks CVE-2026-12345, kirjelduse ja tõsiduse hinnangu CVSS-skaalal 0 kuni 10. Hinnang näitab, kui palju kahju saab tekitada ja kui lihtne see on.
Praktiline probleem: CVSS-hinnang ei tea teie ettevõttest midagi. Kümme isoleeritud süsteemis, millele internetist ligi ei pääse, võib olla vähem kiireloomuline kui seitse avalikult kättesaadaval VPN-seadmel.
Teine sage viga on arvata, et haavatavused asuvad ainult serveritel. Meie kogemuses on enamik kriitilisi leide võrguseadmetel, mille püsivara pole pärast ostmist uuendatud, ja töökohtade arvutitel, kus on brauserite või PDF-lugejate vanad versioonid.
Skaneerimine ja läbistustest on erinevad tööriistad
Neid kahte teenust aetakse sageli segi, kuid need vastavad erinevatele küsimustele.
Haavatavuste skaneerimine on automaatne. Skanner kontrollib iga võrgus olevat seadet, võrdleb leitud tarkvaraversioone ja seadistusi CVE registriga ning koostab nimekirja: mis, kus, kui tõsine. See on kiire (tunnid), korratav ja suhteliselt odav, seega sobib regulaarseks kasutamiseks.
Läbistustest on käsitsitöö. Spetsialist käitub nagu ründaja: püüab ühendada mitu haavatavust päris rünnakuks, liikuda ühest süsteemist teise ja jõuda konkreetse eesmärgini. See võtab päevi või nädalaid ja vastab küsimusele „kas keegi saab sisse murda“, mitte „millised nõrkused on olemas“.
| Küsimus | Skaneerimine | Läbistustest |
|---|---|---|
| Kes teeb | Tarkvara | Inimene |
| Sagedus | Igal kuul või sagedamini | Kord aastas või suuremate muudatuste järel |
| Tulemus | Haavatavuste nimekiri hinnangutega | Rünnakustsenaarium ja tagajärjed |
| Vastab küsimusele | Mida tuleb uuendada | Kas kaitse toimib tervikuna |
Üks ei asenda teist. Läbistustest ilma regulaarse skaneerimiseta leiab augud, mida skanner oleks näidanud kuus kuud varem. Skaneerimine ilma testita ei näita, kas mitu väikest auku liituvad suureks.
Miks igal kuul
Meie kogemuses on olulisimad kolm põhjust.
Esiteks uuendustsükkel. Microsoft, brauseritootjad ja enamik teisi annavad paikasid välja igal kuul. Skaneerimine pärast iga tsüklit näitab, mis installiti ja mis mitte. Ilma selleta saate puuduvast uuendusest teada alles pärast intsidenti.
Teiseks keskkond muutub. Igal kuul ilmub uus arvuti, uus server või uus rakendus ja keegi avab „ajutiselt“ pordi. Aastane skaneerimine ei näe neid muudatusi üksteist kuud.
Kolmandaks aeg avalikustamise ja ärakasutamise vahel. Kui populaarses VPN- või e-posti süsteemis avaldatakse kriitiline haavatavus, algavad massilised ärakasutamiskatsed päevade jooksul. Kui saate sellest teada aastaaruandest, on juba hilja.
Mõnes olukorras on kuu liiga pikk: avalikult kättesaadavaid servereid ja võrguseadmeid skaneerime iga nädal ja kohe pärast kriitilisi CVE-sid.
Kuidas prioriteete seada, et meeskond ära ei upuks
Tüüpilise 50 töökohaga ettevõtte esimeses aruandes on mitusada rida. Kõike korraga parandada on võimatu ja ebavajalik. Prioriteetide loogika:
- Kättesaadavus internetist. Kõik, millel on avalik IP-aadress või avatud port, on esikohal, hindest sõltumata.
- Teadaolev aktiivne ärakasutamine. Päris rünnakutes juba kasutatud CVE-d on teisel kohal, isegi kui CVSS-hinnang on keskmine.
- Süsteemi tähtsus. Domeenikontroller, raamatupidamisserver ja e-post enne testserverit.
- CVSS-hinnang on alles neljas kriteerium, kui esimesed kolm on võrdsed.
- Vanad haavatavused, mis kordavad end igal kuul, on eraldi kategooria: tavaliselt on see süsteem, mida keegi enam ei uuenda, ja lahendus ei ole paikamine, vaid asendamine või isoleerimine.
Tulemus on kümne või kahekümne punkti nimekiri, mille saab kuu jooksul ära teha, mitte kolmsada, mis hirmutavad ja jäävad seetõttu edasi lükatud.
Uuendusaken ja mis juhtub pärast skaneerimist
Skaneerimine ilma uuendusteta on pelgalt aruanne. Klientidele kehtestame kindla uuendusakna: näiteks töökohad teisipäeva öösel pärast Microsofti paikade väljaandmist, serverid neljapäeva öösel pärast testimist. Töötajad teavad, millal nende arvuti taaskäivitub, ja raamatupidamine teab, millal server on 20 minutit kättesaamatu.
Tsükkel näeb välja selline: skaneerimine, prioriteetide nimekiri, uuendused aknas, korduvskaneerimine, mis kinnitab, et augud on suletud. See, mida ei saa kohe parandada, jääb aruandesse põhjenduse ja tähtajaga.
Kui uuendust ei saa installida (näiteks tootja ei toeta süsteemi enam või paikamine läks testimisel katki), rakendame kompenseeriva kontrolli: piirame ligipääsu tulemüüriga, lülitame sisse täiendava EDR-reegli või viime süsteemi isoleeritud võrgusegmenti. See fikseeritakse aruandes otsusena, mitte lõpetamata tööna.
Aruanded NIS2 ja DORA auditite jaoks
Mõlemad määrused nõuavad haavatavuste haldamise protsessi, mitte ühekordset kontrolli. Audiitor ei küsi „kas te skaneerisite“, vaid „kui sageli, kes tulemusi üle vaatab, kui kiiresti kriitilisi leide kõrvaldate ja kus see on dokumenteeritud“.
Igakuine tsükkel annab täpselt selle: kaksteist aruannet aastas, millest igaüks näitab, mis leiti, mis parandati ja mis jääb põhjendusega alles. Finantssektori ettevõtetel on DORA alusel oluline näidata ka seda, et kriitilisi süsteeme skaneeritakse sagedamini ja et kolmandate osapoolte süsteemid (näiteks pilveteenuse pakkuja omad) on samuti hõlmatud. Kirjutame eraldi NIS2 nõuetest ja nendeks valmistumisest.
Kuidas see on IT-hoolduses sisse arvestatud
Meie IT-hoolduses ei ole haavatavuste skaneerimine eraldi arveread. Igal kuul skaneerime kõik hallatavad töökohad, serverid ja võrguseadmed, koostame prioriteetide nimekirja, installime uuendused kokkulepitud aknas ning kliendi juhtkond saab ühelehelise kokkuvõtte ja täieliku aruande, mille saab lisada vastavusdokumentatsiooni. Läbistustesti ja laiemat hindamist tehakse eraldi IT-turvaauditina.
Kust alustada
- Leidke viimane haavatavuste aruanne. Kui see on vanem kui kolm kuud või seda pole, on see juba teie vastus.
- Tehke nimekiri kõigest, mis on internetist kättesaadav: VPN, e-post, veebileht, kaugtöölaud. Skaneerimine algab sealt.
- Leppige äriüksustega kokku uuendusaken, et paikasid ei lükataks edasi „kuni on mugav“.
- Otsustage, kes vastutab tulemuste igakuise ülevaatuse eest, nimeliselt.
- Kui teil pole sisemisi ressursse, võtke meiega ühendust. Lisame igakuise tsükli IT-hooldusesse lisatasuta ja alustame esmase skaneerimisega.
