Hastes med å lappe? Slik prioriterer du sikkerhetsinnsatsen

God data inn, god data ut: Hvordan innovasjon innen teknologi har utviklet seg Xeroxs CISO Alissa Abdullah diskuterer hvordan innovasjon innen teknologi og sikkerhet har endret seg gjennom karrieren hennes.

Å skynde seg å korrigere nylig avslørte sårbarheter kan ikke være verdt anstrengelsen, ifølge en rapport fra Kenna Security og Cyentia Institute publisert tirsdag. Rapporten indikerer at bare "omtrent en tredjedel av publiserte CVE-er faktisk observeres i levende bedriftsmiljøer, " med bare 5% observert og kjent for å være aktivt utnyttet av ondsinnede aktører.

I stedet for å fokusere på å bruke nye lapper, foreslår rapporten at organisasjoner takler sikkerhet fra utsiktspunktet av prioritering. Med over 110 000 CVE-er publisert - og omtrent 300 nye CVE-er publisert per uke i 2018 - blir aktuelle med sårbarheter når de blir avdekket, vil sannsynligvis bli overveldende. På samme måte kan dette utvide fagfolk innen IT-sikkerhet. Å lage lapp i et tallspill fører lett til at et større antall sårbarheter med lav risiko blir lappet, og avleder oppmerksomheten fra sårbarheter med høy risiko som krever mer innsats for å lappe.

Visualisering av problemet belyser utfordringen IT-sikkerhetspersoner møter. En tidligere rapport fra Kenna Security hevder at en sårbarhet er syv ganger mer sannsynlig å bli utnyttet i naturen når offentlig utnyttingskode eksisterer. Med omtrent en tredjedel av publiserte CVE-er observert i levende miljøer, etterlater dette omtrent 5000 CVE-er både observert og aktivt utnyttet - og det er her prioritering bør prioriteres.

Bilde: Kenna Security / Cyentia Institute

Kjenn leverandørene dine, kjenn sårbarhetene dine

Å vite hvor sårbarheter oppstår er nøkkelen til å strategisere din tilnærming når du skal håndtere dem. I følge rapporten er Oracle, Microsoft og Adobe ansvarlige for syv av ti sårbarheter, selv om det er gitt rekkevidden til de tre leverandørene i bedriften, bør dette ikke være overraskende.

Av åpne sårbarheter er 18, 4% relatert til Java, med Adobe Acrobat (7, 5%) på andreplass og Windows 10 (3, 2%) i tredje. Microsoft-produkter (Windows, Internet Explorer) avrunder fjerde til niende plassering, med Flash Player på en tiende, på 2, 3%.

På grunn av de omfattende sikkerhetsproblemene som finnes i Java, har organisasjoner tatt for å bare forby runtime fra arbeidsstasjoner, underbegrense behovet og eliminere tiden som ble brukt til sikkerhetsoppdateringer. På samme måte eliminerer organisasjoner som utelukkende er avhengige av Google Chrome for å tilby Adobe Flash, den oppdateringstiden som kreves, ettersom Chrome's NaCl-implementering av Flash blir bakt inn i nettleseroppdateringer.

Hvordan prioritere

Rapporten inneholder følgende tre tips for å forbedre patcheringsstrategien din:

  1. Forbedre et altfor enkelt eller altfor komplekst beslutnings tre for sårbarhetsutbedring.
  2. Mål resultatene dine ved å bruke selvanalysespørsmål som "Kunne vi måle dette, hvorfor eller hvorfor ikke, og hva ville det vist hvis vi gjorde det?"
  3. Registrer svaret ditt på det neste prioriterte sikkerhetsproblemet, for å se hvor effektiv strategien din er: "Start klokken fra oppdagelsesdatoen, tell antall systemer som er berørt, og følg hvordan det endrer seg over tid gjennom skanning, pennprøver osv., "ifølge rapporten. "Hvis du kan, kan du prøve dette med noen få forskjellige kilder / typer sårbarheter for å se om kurven varierer."

De store takeawayene for teknologiledere:

  • Omtrent 300 nye CVE-er publisert per uke i 2018, mens det totale antallet CVE-er er over 110.000. - Kenna Security, 2019
  • Oracle, Microsoft og Adobe er ansvarlige for syv av ti sårbarheter. - Kenna Security, 2019

Cybersecurity Insider Nyhetsbrev

Styrke organisasjonens IT-sikkerhetsforsvar ved å holde deg oppdatert om de siste nettbaserte sikkerhetsnyhetene, løsningene og beste praksis. Leveres tirsdager og torsdager

Registrer deg i dag

© Copyright 2020 | mobilegn.com