Средства контроля защищенности (СКЗ)

Как сканеры уязвимостей проверяют системы, чем отличается проверка с учётными данными и без и почему важен не отчёт, а исправление.

Урок · ~7 мин · demyanov · курс «Классы СрЗИ»

Что такое анализ защищённости

Средства анализа защищённости проверяют информационную систему на уязвимости и ошибки настройки. Они делают то, что сделал бы внимательный нарушитель – но раньше и с отчётом для владельца системы.

Что они проверяют

Известные уязвимости в версиях ОС, служб и приложений – по базам вроде банка данных угроз ФСТЭК и каталога CVE.
Ошибки конфигурации: пароли по умолчанию, лишние открытые порты, слабые политики.
Соответствие требованиям: сверка настроек с эталонным профилем.

Как это устроено

Сканер находит активы, определяет версии и сопоставляет их с базой уязвимостей. Проверка без учётных данных (Black Box) смотрит на систему снаружи, как это делает нарушитель; с учётными данными (White Box) заглядывает внутрь — видит установленные обновления и настройки и находит гораздо больше.

Посмотри, как это работает

Схема «Цикл анализа защищённости» – архитектура с потоками. Элементы: Сканер уязвимостей (установлено: База уязвимостей, Профили проверок); АРМ администратора; Серверы; АРМ; Сетевое оборудование; СУБД. Связи: Сканер уязвимостей → Серверы (Проверка, порты, версии); Сканер уязвимостей → АРМ (Проверка, с учётными данными); Сканер уязвимостей → Сетевое оборудование (Проверка, настройки); Сканер уязвимостей → СУБД (Проверка, версия); Сканер уязвимостей → АРМ администратора (Результаты, отчёт); АРМ администратора → Серверы (Исправление, исправление). По шагам: 1. Сканер обнаруживает активы в диапазоне адресов и определяет, какие порты открыты и какие службы отвечают. 2. С учётными данными он заходит внутрь: видит установленные обновления, версии ПО, политики — и находит то, что снаружи не видно. 3. Находки получают приоритет по критичности и попадают в отчёт; у каждой должен появиться ответственный и срок исправления. 4. После исправления проверку повторяют: только так понятно, что слабое место действительно закрыто.

Какие меры он закрывает

Целевая функция — выявление уязвимостей и контроль защищённости. Встроенный функционал — журналирование и разграничение доступа к самому сканеру.

Какие меры закрывают средства класса «Средства анализа защищённости»

Данные каталога: 2 средств в классе.

MaxPatrol 8 – Positive Technologies
XSpider PRO – Positive Technologies

Приказ ФСТЭК России № 21

Целевым функционалом: АНЗ.1, АНЗ.2, АНЗ.3, АНЗ.4, АНЗ.5

Приказ ФСТЭК России № 17

Целевым функционалом: АНЗ.1, АНЗ.2, АНЗ.3, АНЗ.4, АНЗ.5

Приказ ФСТЭК России № 117

Целевым функционалом: КК, КО, КУ

Угрозы, которые стоят за найденными уязвимостями, помогает определить модуль подбора УБИ:

Интерактивная демонстрация модуля запускается кнопкой «Как это работает» на странице модуля.

Типичные ошибки

Сканирование «для галочки». Раз в год без разбора результатов — это отчёт, а не защита.
Только внешний взгляд. Без учётных данных теряется большая часть уязвимостей.
Отчёт без владельца. У каждой найденной проблемы должны быть ответственный и срок.
Проверка боевой системы в рабочее время. Хрупкие системы могут пострадать от самого сканирования.
Нет повторной проверки. Исправление, которое не проверили, нельзя считать исправлением.
Отсутствие уязвимостей = защищенная система. Нельзя считать систему с отсутствующими уязвимостями защищенной. СКЗ показывает на векторы атаки, которые будут опробованы в первую очередь и не отменяет применения СрЗИ других классов.

Проверь себя

Что ищут средства анализа защищённости?
Чем проверка с учётными данными лучше проверки «снаружи»?
Что обязательно должно быть у каждой найденной проблемы?
Зачем повторять проверку после исправления?