Haavoittuvuuksien hallintaprosessi: havainnosta korjaukseen

Prosessin kuusi vaihetta

• Inventaario: ilman kattavaa omaisuusluetteloa järjestelmiä jää tarkistamatta (ks. attack surface management).
• Havaitseminen: skannerit, agentit ja pilviliitännät tuottavat havaintoja.
• Arviointi: vakavuuden, hyödynnettävyyden, tavoitettavuuden ja liiketoiminta-arvon yhdistäminen.
• Priorisointi: järjestyksen määrittäminen riskin mukaan ja määräaikojen asettaminen.
• Korjaaminen: päivitys, konfiguraatiomuutos tai korvaava toimenpide.
• Uudelleentarkistus ja osoittaminen: uusi skannaus, tuloksen dokumentointi.

Miksi CVSS yksin ei riitä

CVSS-arvo kuvaa haavoittuvuuden teknistä vakavuutta – ei riskiä yrityksellenne. Suurta osaa korkean CVSS-arvon haavoittuvuuksista ei koskaan hyödynnetä, tai ne koskevat järjestelmiä, joihin ei edes pääse käsiksi. Joka toimii tiukasti CVSS:n mukaan, sitoo resursseja vääriin kohteisiin.

Paremmat signaalit: EPSS, KEV ja hyökkäyspolut

• EPSS (FIRSTin Exploit Prediction Scoring System) arvioi todennäköisyyttä, että haavoittuvuutta hyödynnetään seuraavien 30 päivän aikana.
• Yhdysvaltain CISA-viraston KEV-luettelo listaa haavoittuvuudet, joita tiedetään hyödynnettävän aktiivisesti.
• Tavoitettavuus ja hyökkäyspolut näyttävät, onko haavoittuvuus tavoitettavissa ulkoa ja johtaako se kriittisiin järjestelmiin – tämän tekee exposure management.

Määräajat ja näyttö

Korjausmääräaikojen tulee perustua riskiin, esimerkiksi muutama päivä aktiivisesti hyödynnetyille, tavoitettavissa oleville haavoittuvuuksille kriittisissä järjestelmissä. ISO/IEC 27001 -auditoinneissa (liite A 8.8 ”Teknisten haavoittuvuuksien hallinta”) ja NIS2:ssa ratkaisee, että prosessi, määräajat ja korjaukset on dokumentoitu jäljitettävästi.

Mitä haavoittuvuuksien hallintaohjelmistolta kannattaa vaatia

• Kaikkien lähteiden yhdistäminen ilman kaksoiskappaleita
• Priorisointi hyödynnettävyyden ja tavoitettavuuden mukaan, ei vain CVSS:n
• Tehtävät taustatietoineen vastuutiimeille
• Automaattinen uudelleentarkistus korjauksen jälkeen
• Raportit historiatietoineen auditoijille ja johdolle