Ocena Podatności

Ocena podatności w sieci

Ocena podatności obejmuje systematyczne sprawdzenie zasobów, usług, oprogramowania i konfiguracji w określonym zakresie. Narzędzia oraz analitycy zbierają informacje o dostępnych hostach, portach, wersjach i ustawieniach, po czym porównują je z bazami znanych słabości. Wynik nie jest próbą włamania do systemu. Jest uporządkowanym wykazem ustaleń, ich warunków wystąpienia, poziomu ryzyka i zalecanych działań. Raport może rozróżniać problemy krytyczne, takie jak publicznie dostępna usługa z wysoką podatnością, oraz problemy o mniejszym wpływie, takie jak niezgodna z polityką konfiguracja. Opis pomaga właścicielom zasobów planować naprawy, akceptować ryzyko i później weryfikować wynik.

Ocena podatności jest proaktywną praktyką diagnostyczną. Jej zakres może obejmować inwentaryzację zasobów, skanowanie sieci, analizę konfiguracji, weryfikację poprawek i klasyfikację ustaleń według ryzyka. Ocena dostarcza informacji przed wystąpieniem incydentu oraz wspiera cykliczne zarządzanie podatnościami. W dojrzałym programie bezpieczeństwa łączy się ją z remediacją, ponownym skanowaniem, monitoringiem i raportowaniem, aby poprawa stanu ochrony była mierzalna w czasie.

Definicja podatności: słaby punkt systemu

Podatność jest słabością w projekcie, implementacji lub konfiguracji systemu, którą można wykorzystać w określonych warunkach. Skutek może obejmować naruszenie poufności, integralności lub dostępności, uzyskanie uprawnień albo obejście kontroli dostępu. Źródło podatności wpływa na sposób jej wykrywania i naprawy:

• Błędy w oprogramowaniu: Błąd w aplikacji lub systemie operacyjnym może stworzyć warunki do wykorzystania podatności. Przykładem jest przepełnienie bufora, w którym nieprawidłowa obsługa danych pozwala nadpisać pamięć, zmienić przebieg programu lub wykonać kod z uprawnieniami procesu.
• Błędna konfiguracja:Ustawienia systemu mogą odbiegać od bezpiecznej konfiguracji bazowej. Przykładami są domyślne lub łatwe do odgadnięcia hasła, takie jak 'admin'/'haslo123', wrażliwe porty dostępne z internetu oraz wyłączone funkcje bezpieczeństwa. Ocena powinna wskazać zakres dostępu i zasób, którego dotyczy ustawienie.
• Nieaktualne systemy: Brak poprawek bezpieczeństwa pozostawia znane słabości w oprogramowaniu. Dostawcy publikują aktualizacje i informacje o podatnościach, często z identyfikatorem CVE. System bez wymaganej poprawki może być podatny na publicznie opisany sposób wykorzystania, dlatego ważne są inwentaryzacja wersji, priorytetyzacja i kontrola wdrożenia.
• Wady projektowe: Słabość protokołu lub architektury może umożliwić nadużycie nawet przy implementacji bez błędów programistycznych. Naprawa wymaga wtedy zmiany projektu, ograniczeń kompensujących albo wycofania usługi.

Cykl zarządzania podatnościami: proces ciągły

Skuteczne zarządzanie podatnościami jest ciągłym, cyklicznym procesem. Skanowanie i raport stanowią początek pracy. Cykl obejmuje identyfikację, śledzenie, priorytetyzację, naprawę i weryfikację ustaleń, a także dokumentowanie decyzji o akceptacji ryzyka. Powtarzanie tych czynności daje mierzalny obraz zmian stanu bezpieczeństwa w czasie.

1. 1. Odkrywanie: Co posiadamy?

   Pierwszym krokiem jest odkrywanie zasobów i utworzenie aktualnego spisu urządzeń, aplikacji oraz usług działających w sieci. Inwentaryzacja obejmuje serwery, stacje robocze, drukarki, przełączniki, zapory sieciowe i urządzenia IoT, wraz z właścicielem, adresem, wersją oraz przeznaczeniem. Pozwala określić powierzchnię ataku i zauważyć zasoby pominięte w dalszych etapach.

2. 2. Skanowanie: Znajdowanie wad

   W fazie identyfikacji skaner podatności sonduje odkryte zasoby w poszukiwaniu znanych słabości. Sprawdza otwarte porty, rozpoznaje usługi i wersje oprogramowania, a następnie porównuje wyniki z bazą podatności oraz regułami konfiguracji. Rezultatem jest lista ustaleń dla każdego zasobu. Pozycje wymagają interpretacji, ponieważ baner może być niepełny, wersja może zostać błędnie rozpoznana, a warunek podatności może zależeć od ustawień.

3. 3. Analiza i priorytetyzacja: ustalenie kolejności działań

   Skanowanie dużej sieci może wygenerować raport z tysiącami ustaleń. Etap analizy określa rzeczywiste ryzyko i kolejność działań naprawczych. Zespół może użyć CVSS, informacji o dostępnych exploitach, krytyczności zasobu i kontekstu biznesowego. Znaczenie ma między innymi publiczna ekspozycja serwera, jego położenie w sieci oraz przechowywane dane. Te kryteria pomagają wybrać podatności wymagające pierwszej reakcji oraz oddzielić duplikaty i wyniki fałszywie dodatnie.

4. 4. Naprawa (Remediacja): Rozwiązywanie problemów

   W tej fazie zespoły operacyjne IT i programiści naprawiają ustalenia wybrane według priorytetu. Remediacja może obejmować zastosowanie poprawki dostawcy, rekonfigurację systemu do bezpiecznej konfiguracji bazowej, wyłączenie podatnej usługi albo wdrożenie kontroli kompensującej, na przykład reguły zapory. Zmiana powinna mieć właściciela, termin i kryterium sprawdzenia.

5. 5. Weryfikacja: Czy naprawa zadziałała?

   Po zastosowaniu poprawki trzeba sprawdzić jej skuteczność oraz wpływ na działanie usługi. Ponowne skanowanie naprawionego systemu powinno potwierdzić usunięcie warunku podatności, a test konfiguracji lub działania aplikacji powinien wykazać brak niepożądanych skutków. Wynik zamyka pętlę dla danego ustalenia i pozwala zaktualizować ocenę ryzyka rezydualnego.

6. 6. Raportowanie: Dokumentowanie i śledzenie postępów

   W całym cyklu postępy są dokumentowane i raportowane. Raport techniczny dla zespołów IT powinien zawierać zasób, dowód, warunek wystąpienia, rekomendację i status. Kierownictwo potrzebuje podsumowania opartego na ryzyku, terminach i właścicielach, a analiza trendów pokazuje zmiany liczby ustaleń, czasu naprawy i ekspozycji. Dane wspierają wykazanie zgodności oraz uzasadnienie inwestycji w bezpieczeństwo.

Jak działają skanery podatności

Skanery podatności automatyzują część rozpoznania i sprawdzania zasobów. Dokładna kolejność zależy od produktu, zakresu i użytych poświadczeń, lecz typowy przebieg obejmuje następujące kroki:

1. Odkrywanie hostów: Skaner ustala, które hosty w danym zakresie sieci odpowiadają, często używając zapytań ARP albo skanowania ICMP (ping). Brak odpowiedzi nie zawsze oznacza wyłączenie hosta, ponieważ zapora może filtrować dany typ ruchu.
2. Skanowanie portów: Dla każdego aktywnego hosta skaner może sprawdzić pełny zakres $65,536$ wartości numerów portów TCP lub UDP, choć w praktyce często wybiera zakresy istotne dla danego środowiska. Wynik wskazuje porty dostępne z perspektywy skanera. Otwarty port sugeruje usługę nasłuchującą, lecz nie opisuje jej podatności.
3. Identyfikacja usługi i wersji:Skaner wchodzi w interakcję z otwartym portem, aby rozpoznać usługę, na przykład serwer WWW albo bazę danych, oraz jej wersję. Może użyć techniki "banner grabbing" i odczytać wiadomość powitalną wysyłaną przez usługę. Przykładowy baner serwera WWW ma postać 'Server: Apache/2.4.29 (Ubuntu)'. Baner jest wskazówką, więc powinien być weryfikowany innymi metodami.
4. Dopasowywanie podatności: Na podstawie rozpoznanego oprogramowania i wersji skaner korzysta z aktualizowanej bazy znanych podatności, reguł konfiguracji i informacji o poprawkach. Koreluje dane celu z warunkami dotyczącymi konkretnej wersji, po czym tworzy ustalenia wymagające przeglądu. Samo dopasowanie identyfikatora nie dowodzi możliwości wykorzystania podatności.

Perspektywy skanowania: nieuwierzytelnione i uwierzytelnione

Wynik skanowania zależy od perspektywy, z której wykonywany jest skan, oraz od zakresu poświadczeń. To rozróżnienie wpływa na widoczność usług, konfiguracji i poprawek.

• Skanowanie nieuwierzytelnione (Black Box): Skan wykonywany jest z perspektywy zewnętrznego użytkownika bez specjalnych uprawnień. Skaner widzi usługi dostępne z danej sieci i może wykrywać ich podatności, lecz nie odczytuje wewnętrznego stanu systemu operacyjnego, zainstalowanych aplikacji ani poziomu poprawek. Wynik opisuje ekspozycję widoczną z zewnątrz i może pomijać problemy wymagające dostępu lokalnego.
• Skanowanie uwierzytelnione (Credentialed / White Box): Skaner otrzymuje poświadczenia, na przykład nazwę użytkownika i hasło albo klucz SSH, i loguje się do systemu docelowego. Może wtedy uruchamiać polecenia lokalne, odczytać listę oprogramowania, sprawdzić wersje oraz zweryfikować poziomy poprawek w menedżerze pakietów lub rejestrze. Wynik jest zwykle dokładniejszy dla systemów wewnętrznych, choć jego zakres zależy od uprawnień, agenta i konfiguracji. Poświadczenia powinny być ograniczone, chronione i używane zgodnie z procedurą.

Język podatności: CVE i CVSS

Wspólne identyfikatory i oceny ułatwiają wymianę informacji między badaczami, dostawcami, administratorami i zespołami reagowania. CVE nazywa publicznie ujawnioną podatność, a CVSS opisuje jej bazową powagę przy określonych warunkach wykorzystania.

CVE: unikalny identyfikator podatności

Common Vulnerabilities and Exposures (CVE) jest publicznym zbiorem identyfikatorów, opisów i odniesień, a szczegółowe informacje o produktach, poprawkach i wpływie mogą znajdować się w innych bazach. Identyfikator zapewnia jednoznaczne odwołanie do ujawnionej podatności. Składnia ma postać 'CVE-YYYY-NNNN...', ponieważ część sekwencyjna zawiera co najmniej cztery cyfry i może być dłuższa. Przykładem jest $CVE-2017-5754$, identyfikator związany z podatnością Meltdown.

Wspólny identyfikator pozwala dostawcom zabezpieczeń, badaczom i administratorom odnosić się do tej samej podatności bez zależności od nazwy produktu. Jeżeli narzędzie skanujące zgłasza 'CVE-2021-44228', a dostawca systemu lub zabezpieczenia publikuje informacje o Log4Shell z tym samym identyfikatorem, zespoły mogą połączyć ustalenie, opis i zalecaną poprawkę. Identyfikator nie zastępuje sprawdzenia wersji oraz warunków wystąpienia.

CVSS: ocena powagi podatności

Przy dużej liczbie ustaleń potrzebna jest porównywalna ocena powagi. Common Vulnerability Scoring System (CVSS) opisuje tę powagę za pomocą wyniku numerycznego od $0.0$ do $10.0$ oraz etykiety jakościowej. Wynik bazowy dotyczy właściwości podatności, a wynik końcowy może uwzględniać także metryki czasowe i środowiskowe.

Wynik bazowy CVSS jest obliczany z metryk opisujących warunki wykorzystania i wpływ na podatny komponent. CVSS opisuje powagę podatności, lecz nie jest pełną oceną ryzyka organizacji. Priorytet wymaga także uwzględnienia ekspozycji, wartości zasobu i dostępnych zabezpieczeń:

• Wektor ataku (AV): Określa, czy wykorzystanie wymaga dostępu przez sieć, przyległą sieć, lokalnie albo fizycznie. Wartość Network (N) opisuje atak możliwy z poziomu sieci. Jej wpływ na wynik zależy od pozostałych metryk.
• Złożoność ataku (AC): Opisuje warunki poza kontrolą atakującego, które muszą być spełnione. Low (L) oznacza brak szczególnych warunków tego rodzaju, lecz nie gwarantuje powodzenia każdego uruchomienia.
• Wymagane uprawnienia (PR): Określa poziom uprawnień potrzebny przed wykorzystaniem podatności. None (N) oznacza brak wymaganego konta lub uprawnień.
• Interakcja z użytkownikiem (UI): Określa, czy osoba poza atakującym musi wykonać działanie, takie jak otwarcie dokumentu lub kliknięcie odnośnika. None (N) oznacza brak takiej interakcji.
• Zakres (S): Określa, czy wykorzystanie podatnego komponentu może wpłynąć na komponent poza jego granicą bezpieczeństwa. Changed (C) wskazuje zmianę zakresu, a Unchanged (U) utrzymanie tej samej granicy.
• Metryki wpływu (poufność, integralność, dostępność): Metryki C, I i A opisują wpływ na poufność, integralność oraz dostępność systemu. Każda przyjmuje wartość None (N), Low (L) albo High (H). Wysokie wartości wszystkich trzech metryk oznaczają pełny wpływ według modelu CVSS.

Przykładowy wektor z AV:N, AC:L, PR:N, UI:N, zakresem Changed oraz wysokim wpływem na poufność, integralność i dostępność otrzymuje w CVSS v3.1 najwyższy bazowy wynik $10.0$ (Critical). W praktyce ustalenie wyniku wymaga przypisania każdej metryki zgodnie z definicją i opisem konkretnej podatności.

Ocena podatności i testy penetracyjne: różne cele

Ocena podatności i test penetracyjny mają różne cele oraz zakres. Ocena szuka i porządkuje wiele potencjalnych słabości, a test penetracyjny kontrolowanie wykorzystuje wybrane ścieżki, aby sprawdzić rzeczywisty wpływ i działanie zabezpieczeń.

Oba działania uzupełniają dojrzały program bezpieczeństwa. Ocena podatności dostarcza regularnego przeglądu wielu zasobów i pomaga planować remediację, a test penetracyjny sprawdza wybrane zabezpieczenia z perspektywy kontrolowanego przeciwnika. Wyniki obu działań należy łączyć z właścicielami zasobów, terminami napraw i ponowną weryfikacją.