Ievainojamību novērtēšana: atrodiet savas vājās vietas pirms uzbrucējiem
Ievainojamību novērtēšanā izejam cauri visai videi – tīklam, serveriem, lietotnēm un mākoņa kontiem – un atrasto sakārtojam pēc riska. Rezultātā redzat nevis vispārīgu draudu sarakstu, bet konkrētus konstatējumus par to, kas jūsu sistēmās šobrīd stāv vaļā.
Ievainojamību pamanāt agrāk nekā tas, kurš to izmantotu.
Mums uzticas
Kas ir ievainojamību novērtēšana un ko tā parāda?
Sistēmas, lietotnes un tīkla infrastruktūru pārbaudām pēc kārtas: atrodam vājās vietas, sakārtojam tās pēc bīstamības un pierakstām, ko labot vispirms. Ielaušanās tests jeb pentests strādā dziļumā – izvēlas vienu vai divus ceļus un tiek līdz galam. Ievainojamību novērtēšana strādā plašumā: cauri visai videi.
Latvijas tirgū ar vārdu „ievainojamība“ mēdz apzīmēt divas dažādas lietas. Viena ir vēl nezināmu ievainojamību pētniecība svešā programmatūrā – pētnieku darbs, kura rezultāts nonāk CVE ierakstā. Otra ir šī: skenējam un pārbaudām sistēmas, kas jau šodien darbojas jūsu organizācijā. Šī lapa ir par otro.
Vēl viena robeža, ko ir vērts nosaukt uzreiz. Šī ir tehniska drošības pārbaude, nevis likumā noteikta procedūra: novērtējam gatavību un sagatavojam tehnisku pierādījumu, bet Nacionālās kiberdrošības likuma (turpmāk – NKDL) 44. pantā noteikto auditu neveicam.
Ko tas dod?
Savlaicīga novēršana
Kļūdu izlabojat, pirms to atrod kāds cits.
Gatavība prasībām
Regulāras pārbaudes sagaida gan NIS2 un NKDL, gan ISO/IEC 27001, gan Vispārīgās datu aizsardzības regulas (VDAR) 32. pants. Ziņojums ir pierādījums, ka pārbaude tiešām notikusi.
Skaidra secība
Sākat ar to, kas patiešām apdraud darbību, nevis ar to, kas sarakstā gadījies pirmais.
Reāla aina
Redzat, kur aizsardzība stāv šodien – pēc pārbaudes, nevis pēc sajūtas.
Novērtēšanas gaita
Kā notiek ievainojamību novērtēšana
Skeneris ātri aptver visu vidi, taču ne katrs tā trāpījums ir īsts. Tāpēc katru rezultātu pārbaudām ar roku: ziņojumā nonāk tikai tas, kas tiešām pastāv un ir izmantojams.
Konsultācija un tvērums
Kopā nosakām mērķus, tvērumu un pārbaudāmo sistēmu sarakstu. Noskaidrojam, kuras sistēmas organizācijai ir vissvarīgākās.
Ievainojamību skenēšana
Ar Nessus, OpenVAS un Nuclei izejam cauri infrastruktūrai. Parādās zināmās ievainojamības (CVE), atvērti porti un kļūdaini iestatījumi.
Manuāla pārbaude un analīze
Skeneris dod sarakstu, nevis rezultātu. Katru trāpījumu pārbauda cilvēks: atmetam kļūdainos un meklējam loģikas kļūdas, ko automatizēta pārbaude nepamana.
Ziņojums un novēršanas prioritātes
Katram konstatējumam piešķiram riska līmeni pēc CVSS un pierakstām konkrētu novēršanas soli. Komanda zina, ar ko sākt un kas var pagaidīt.
Tvērums
Ko pārbaudām
Uzbrucējs neizvēlas – ķeras pie tā, ko atrod. Tāpēc infrastruktūras ievainojamību novērtēšana aptver visu vidi, ne tikai dažas izceltas sistēmas.
Ārējais un iekšējais tīkls
Izejam cauri serveriem, darbstacijām un tīkla iekārtām, tostarp visam, kas ir redzams no interneta.
Tīmekļa un mobilās lietotnes
Meklējam SQL injekcijas, XSS un piekļuves tiesību kļūdas.
Mākoņvide
Pārbaudām AWS, Azure un Google Cloud iestatījumus. Latvijas organizācijās mākonis parasti sākas ar Microsoft 365 un Entra ID, tāpēc arī tie ietilpst tvērumā.
Datubāzes
Atsevišķi skatāmies piekļuves tiesības, glabāto datu šifrēšanu un Microsoft SQL Server, PostgreSQL un MongoDB iestatījumus. Personas datu noplūde nozīmē arī ziņošanu Datu valsts inspekcijai.
API
Pa API plūst dati starp sistēmām. Pārbaudām, kam ir piekļuve, un vai to var iegūt kāds, kam tā nepienākas.
IoT un OT iekārtas
Tvērumā iekļaujam arī ražošanas iekārtas, industriālās sistēmas un iegultās ierīces.
Salīdzinājums
Ievainojamību novērtējums vai ielaušanās tests: kāda ir atšķirība?
Abas pārbaudes ir vajadzīgas, tikai uzdevumi tām ir dažādi. Īsi: ievainojamību novērtēšana atrod visas durvis, bet ielaušanās tests dažas no tām arī atver.
| Aspekts | Ievainojamību novērtējums | Ielaušanās tests |
|---|---|---|
| Mērķis | Atrast un klasificēt pēc iespējas vairāk ievainojamību (plašums). | Izspēlēt reālu uzbrukumu un ievainojamības arī izmantot (dziļums). |
| Metode | Ievainojamību skenēšana ar manuālu pārbaudi. | Galvenokārt manuāls darbs: testētājs domā kā uzbrucējs. |
| Biežums | Regulāri – reizi mēnesī vai ceturksnī, lai aina nenovecotu. | Retāk – reizi gadā un pēc lielākām izmaiņām, lai pārbaudītu noturību. |
| Rezultāts | Detalizēts ievainojamību saraksts ar novēršanas prioritātēm. | Ziņojums par to, cik tālu uzbrukums tika un ko tas nozīmē uzņēmumam. |
Nezināt, kura pārbaude der jūsu situācijai? Rakstiet mums.
Klientu atsauksmes
Ko par mums saka klienti
Biežāk uzdotie jautājumi (BUJ)
01 Cik bieži jāatkārto ievainojamību novērtēšana?
Ieteicams reizi ceturksnī un pēc katras lielākas izmaiņas: kad ieviešat jaunu sistēmu, veicat plašu atjauninājumu vai pārceļat savu pakalpojumu uz mākoni. Turklāt NKDL 25. panta piektās daļas 2. punkts uzliek subjektam pienākumu veikt IKT infrastruktūras drošības pārbaudes un novērst konstatētos trūkumus; šo pārbaužu saturu precizē Ministru kabineta noteikumi Nr. 397. Regulāra ievainojamību skenēšana ir vienkāršākais veids, kā līdz šādai pārbaudei nonākt bez pārsteigumiem.
02 Cik ilgi notiek ievainojamību novērtēšana?
Tas ir atkarīgs no vides izmēra un sarežģītības. Tipisks novērtējums prasa 2–5 dienas; plašai videi ar vairākiem tīkliem un lietotnēm vajag ilgāk. Precīzu termiņu nosaucam pēc pirmās sarunas un fiksējam rakstiski pirms darba sākuma.
03 Vai pārbaude ir droša ražošanas sistēmām?
Jā. Skenēšanu veicam saudzīgi un neizmantojam paņēmienus, kas var apturēt pakalpojumu vai bojāt datus. Riskantākos soļus saskaņojam iepriekš, un jutīgākās sistēmas skenējam norunātā laika logā, lai pārbaude netraucētu ikdienas darbu.
04 No kā ir atkarīgas novērtējuma izmaksas?
Izšķirošais ir tvērums: cik IP adrešu, lietotņu un mākoņa kontu skenējam, cik dziļi pārbaudām katru sistēmu un vai pēc labojumiem vēlaties atkārtotu pārbaudi. Pēc īsas sarunas sagatavojam nesaistošu piedāvājumu ar fiksētu cenu.
05 Vai novērtējumu var veikt attālināti?
Jā. Haxoris ir Slovākijas uzņēmums, un Latvijā biroja nav; ievainojamību novērtēšanai fiziska klātbūtne nav vajadzīga. Ārējo daļu sākam bez piekļuves tīklam, bet iekšējai pārbaudei lūdzam kontu ar lasīšanas tiesībām vai vietu tīklā, no kuras skenēt.
