Daugelis Lietuvos įmonių pažeidžiamumų skenavimą sieja su metiniu saugumo auditu: kartą per metus atvažiuoja auditoriai, paleidžia skenerį, pateikia ataskaitą su raudonais langeliais, ir IT skyrius porą savaičių taiso. Po to – ramybė iki kitų metų.
Problema ta, kad tarp dviejų auditų praeina dvylika mėnesių, per kuriuos gamintojai paskelbia tūkstančius naujų pažeidžiamumų, o užpuolikai juos pradeda naudoti per dienas, ne per mėnesius. Metinė ataskaita rodo praeitį, o ne dabartinę būklę.
Šiame straipsnyje paaiškiname, kas iš tikrųjų yra pažeidžiamumas ir CVE, kuo skenavimas skiriasi nuo penetracijos testo, kaip nustatyti prioritetus, kad IT komanda nepaskęstų sąraše, ir kodėl TIS2 bei DORA auditui mėnesinis ciklas yra ne prabanga, o minimalus lygis.
Kas yra pažeidžiamumas ir ką reiškia CVE
Pažeidžiamumas – tai programinės įrangos ar konfigūracijos klaida, kurią galima panaudoti nepageidaujamam veiksmui: patekti be slaptažodžio, paleisti svetimą kodą, perskaityti svetimus duomenis. Jis gali būti operacinėje sistemoje, naršyklėje, serverio programoje, tinklo įrenginyje ar net spausdintuve.
CVE (Common Vulnerabilities and Exposures) – tai viešas žinomų pažeidžiamumų registras, kuriame kiekvienas gauna identifikatorių, pavyzdžiui, CVE-2026-12345, aprašymą ir pavojingumo įvertį pagal CVSS skalę nuo 0 iki 10. Įvertis rodo, kiek žalos galima padaryti ir kaip lengva tai padaryti.
Praktinė problema: CVSS įvertis nieko nežino apie jūsų įmonę. Dešimtukas sistemoje, kuri nepasiekiama iš interneto ir izoliuota, gali būti mažiau skubus nei septynetas viešai pasiekiamame VPN įrenginyje.
Dar viena dažna klaida – manyti, kad pažeidžiamumai yra tik serveriuose. Mūsų praktikoje daugiausia kritinių radinių būna tinklo įrenginiuose, kurių programinė įranga neatnaujinta nuo įsigijimo, ir darbo vietose su senomis naršyklių ar PDF skaityklių versijomis.
Skenavimas ir penetracijos testas – skirtingi įrankiai
Šios dvi paslaugos dažnai painiojamos, bet atsako į skirtingus klausimus.
Pažeidžiamumų skenavimas yra automatinis. Skeneris tikrina kiekvieną įrenginį tinkle, lygina rastas programų versijas ir konfigūracijas su CVE registru ir pateikia sąrašą: kas, kur, kokio lygio. Tai greita (valandos), kartojama ir palyginti nebrangu, todėl tinka reguliariai.
Penetracijos testas yra rankinis darbas. Specialistas elgiasi kaip užpuolikas: bando sujungti kelis rastus pažeidžiamumus į realią ataką, pereiti iš vienos sistemos į kitą, pasiekti konkretų tikslą. Tai trunka dienas ar savaites ir atsako į klausimą „ar galima įsilaužti“, o ne „kokios spragos egzistuoja“.
| Klausimas | Skenavimas | Penetracijos testas |
|---|---|---|
| Kas atlieka | Programinė įranga | Žmogus |
| Dažnis | Kas mėnesį arba dažniau | Kartą per metus ar po didelių pokyčių |
| Rezultatas | Pažeidžiamumų sąrašas su įverčiais | Atakos scenarijus ir pasekmės |
| Atsako į klausimą | Ką reikia atnaujinti | Ar apsauga veikia kaip visuma |
Vienas nepakeičia kito. Penetracijos testas be reguliaraus skenavimo randa spragas, kurias skeneris būtų parodęs prieš pusmetį. Skenavimas be testo nerodo, ar kelios nedidelės spragos kartu sudaro didelę.
Kodėl kas mėnesį
Trys priežastys, kurios mūsų praktikoje svarbiausios.
Pirma, atnaujinimų ciklas. Microsoft, naršyklių gamintojai ir dauguma kitų leidžia pataisas kas mėnesį. Skenavimas po kiekvieno ciklo parodo, kas buvo įdiegta, o kas – ne. Be jo apie neįdiegtą atnaujinimą sužinote tik po incidento.
Antra, aplinka keičiasi. Kiekvieną mėnesį atsiranda naujas kompiuteris, naujas serveris, nauja programa, kažkas atidaro portą „laikinai“. Metinis skenavimas šių pokyčių nemato vienuolika mėnesių.
Trečia, laikas tarp paskelbimo ir panaudojimo. Kai paskelbiamas kritinis pažeidžiamumas populiarioje VPN ar pašto sistemoje, masiniai bandymai jį išnaudoti prasideda per dienas. Jei apie jį sužinote iš metinės ataskaitos – jau vėlu.
Tam tikrose situacijose mėnuo per ilgas: viešai pasiekiamus serverius ir tinklo įrenginius skenuojame kas savaitę, o po kritinių CVE – iš karto.
Kaip nustatyti prioritetus, kad komanda nepaskęstų
Tipinė 50 darbo vietų įmonės pirmoji ataskaita turi kelis šimtus eilučių. Taisyti viską iš karto neįmanoma ir nereikia. Prioritetų logika:
- Pasiekiamumas iš interneto. Viskas, kas turi viešą IP adresą ar atvirą portą, – pirmiausia, nepriklausomai nuo įverčio.
- Žinomas aktyvus išnaudojimas. CVE, kurie jau naudojami realiose atakose, – antrieji, net jei CVSS įvertis vidutinis.
- Sistemos svarba. Domeno valdiklis, apskaitos serveris, el. paštas – prieš bandomąjį serverį.
- CVSS įvertis – tik ketvirtas kriterijus, kai pirmi trys vienodi.
- Seni pažeidžiamumai, kurie kartojasi kiekvieną mėnesį, – atskira kategorija: dažniausiai tai sistema, kurios niekas nebeatnaujina, ir sprendimas ne pataisa, o pakeitimas arba izoliavimas.
Rezultatas – sąrašas iš dešimties ar dvidešimties punktų, kuriuos galima atlikti per mėnesį, o ne iš trijų šimtų, kurie gąsdina ir todėl atidedami.
Atnaujinimų langas ir kas vyksta po skenavimo
Skenavimas be atnaujinimų – tik ataskaita. Klientams nustatome fiksuotą atnaujinimų langą: pavyzdžiui, darbo vietoms – antradienio naktį po Microsoft pataisų išleidimo, serveriams – ketvirtadienio naktį po testavimo. Darbuotojai žino, kada kompiuteris persikraus, apskaita žino, kada serveris bus nepasiekiamas 20 minučių.
Ciklas atrodo taip: skenavimas, prioritetų sąrašas, atnaujinimai lange, pakartotinis skenavimas, kuris patvirtina, kad spragos užvertos. Ataskaitoje lieka tai, ko negalima pataisyti iš karto, su priežastimi ir terminu.
Jei atnaujinimo įdiegti negalima (pavyzdžiui, gamintojas nebepalaiko sistemos arba pataisa lūžo testavimo metu), taikome kompensuojančią priemonę: apribojame prieigą ugniasiene, įjungiame papildomą EDR taisyklę arba perkeliame sistemą į izoliuotą tinklo segmentą. Tai užrašoma ataskaitoje kaip sprendimas, ne kaip neatliktas darbas.
Ataskaitos TIS2 ir DORA auditui
Abu reguliavimai reikalauja pažeidžiamumų valdymo proceso, ne vienkartinio patikrinimo. Auditorius klaus ne „ar skenavote“, o „kaip dažnai, kas peržiūri rezultatus, per kiek laiko pašalinate kritinius ir kur tai dokumentuota“.
Mėnesinis ciklas duoda būtent tai: dvylika ataskaitų per metus, kiekvienoje matoma, kas rasta, kas pašalinta ir kas liko su pagrindimu. DORA finansų sektoriaus įmonėms papildomai svarbu rodyti, kad kritinės sistemos skenuojamos dažniau ir kad trečiųjų šalių (pavyzdžiui, debesijos tiekėjo) sistemos taip pat apimtos. Apie TIS2 reikalavimus ir pasiruošimą jiems rašome atskirai.
Kaip tai įskaičiuota į IT priežiūrą
Mūsų IT priežiūros paslaugoje pažeidžiamumų skenavimas nėra papildoma eilutė. Kas mėnesį skenuojame visas prižiūrimas darbo vietas, serverius ir tinklo įrenginius, prioritetų sąrašą sudarome mes, atnaujinimus diegiame sutartame lange, o kliento vadovybė gauna vieno puslapio santrauką ir pilną ataskaitą, kurią galima pridėti prie atitikties dokumentacijos. Penetracijos testą ir platesnį vertinimą atliekame atskirai per IT saugumo auditą.
Nuo ko pradėti
- Suraskite paskutinę pažeidžiamumų ataskaitą. Jei jai daugiau nei trys mėnesiai arba jos nėra – tai jau atsakymas.
- Surašykite viską, kas pasiekiama iš interneto: VPN, paštas, svetainė, nuotolinis darbalaukis. Nuo to pradedamas skenavimas.
- Sutarkite atnaujinimų langą su verslo padaliniais, kad pataisos nebūtų atidedamos „kai bus patogu“.
- Nuspręskite, kas atsakingas už rezultatų peržiūrą kiekvieną mėnesį – vardu ir pavarde.
- Jei vidinių išteklių tam nėra, susisiekite – mėnesinį ciklą įtrauksime į priežiūrą be papildomų priedų ir pradėsime nuo pradinio skenavimo.
