Egy szervezet IT-rendszere ritkán épül terv szerint. Évek alatt nő: jön egy új telephely, egy felhős szolgáltatás, egy gyorsan beüzemelt távoli hozzáférés, elmegy egy kolléga, de a fiókja marad. Az üzemeltetők a napi működést látják, és ez így természetes. Azt viszont, hogy a rendszer egésze hol sebezhető, a napi munkából nehéz összerakni.
Az IT-biztonsági felmérés erre ad választ. Az alábbiakban végigvesszük, mikor érdemes elvégezni, mely területeket vizsgál egy strukturált átvilágítás, és hogyan lesz az eredményből olyan teendőlista, amin el lehet indulni.
Miért érdemes felmérni
A felmérés legfontosabb haszna, hogy a feltételezéseket tényekre cseréli. A legtöbb szervezetben él egy kép arról, hogyan működik a mentés, ki fér hozzá a pénzügyi rendszerhez, vagy mennyire frissek a szerverek. Ez a kép gyakran egy néhány évvel korábbi állapotot tükröz.
Különösen érdemes felmérni, ha:
- nagyobb biztonsági fejlesztés előtt áll, és tudni szeretné, melyik terület szorul rá leginkább;
- jelentős változás történt: összeolvadás, új telephely, informatikai partnerváltás vagy egy kulcsember távozása;
- a vezetés vagy egy partner rákérdez, milyen állapotban van a szervezet IT-biztonsága, és erre ma nincs dokumentált válasz;
- incidens történt vagy kis híján megtörtént, és látni kell, mi maradt még hasonlóan nyitva.
A NIS2 irányelv hatálya alá tartozó szervezeteknél a kockázatok ismerete és kezelése szabályozási elvárás is. Ehhez a felmérés jó kiindulópont, de önmagában még nem bizonyítja a megfelelést.
Mit vizsgál egy strukturált átvilágítás
A strukturált itt azt jelenti, hogy a felmérés előre rögzített területeken, mindenhol azonos szempontok szerint halad végig. Így a megállapítások összevethetők, és egy későbbi ismételt felmérés is ugyanazt méri. Öt terület adja a gerincét.
Hozzáférés-kezelés
Ki fér hozzá mihez, és miért. A vizsgálat kiterjed a felhasználói és a rendszergazdai fiókokra, a jogosultságok kiosztására és visszavonására, a többfaktoros hitelesítés lefedettségére, valamint a szolgáltatásfiókokra, amelyeket gyakran senki nem tart számon. Jellemző megállapítás a kilépett munkatárs még aktív fiókja és a széles körben kiosztott helyi rendszergazdai jog. A tartományi környezet tipikus támadási útjairól az Active Directoryról szóló cikkünkben írtunk.
Frissítések és sebezhetőségek
Itt az a kérdés, mennyi idő telik el egy javítás megjelenése és telepítése között, és vannak-e olyan rendszerek, amelyekre már nem is érkezik javítás. A vizsgálat kitér az operációs rendszerekre, a kiszolgálók és a hálózati eszközök firmware-ére, valamint a harmadik féltől származó alkalmazásokra. A legnagyobb kockázatot rendszerint a gyártói támogatásból kifutott rendszerek jelentik, amelyeket valamiért nem lehet leváltani, és senki nem dokumentálta, milyen kiegészítő védelem óvja őket. A javítások sorrendjéről a sebezhetőségkezelésről szóló cikkünk szól részletesen.
Mentés
Az, hogy a mentés lefut, még keveset mond. A felmérés azt vizsgálja, mi kerül mentésre és mi marad ki, elérhető-e a mentés a hálózatból egy kompromittált rendszergazdai fiókkal, van-e a hálózattól elválasztott másolat, és mikor próbálta ki valaki utoljára a visszaállítást. A felhős adatok és a hálózati eszközök konfigurációja gyakran kimarad a mentési körből. A mai mentési stratégia elemeit a 3-2-1 szabályról szóló cikkünk veszi sorra.
Hálózat
A hálózati rész a felmérés legtechnikaibb eleme. Kiderül belőle, milyen eszközök vannak ténylegesen a hálózaton, hogyan kapcsolódnak egymáshoz, és mennyire választják el a szegmensek a felhasználói gépeket a szerverektől. A tűzfalszabályok átnézése gyakran talál olyan engedélyt, amelyet egy régi projekt miatt nyitottak meg, és azóta is nyitva maradt. Ugyanígy vizsgálni kell a távoli hozzáférést, és azt, hogy a hálózati eszközök kezelőfelülete honnan érhető el.
Felhasználói biztonság
Sok támadás egy felhasználói kattintással vagy egy megszerzett jelszóval kezdődik. Ezért a felmérés kitér a végpontvédelemre, az e-mail-szűrésre és a jelszóházirendre, és arra is, hogy a munkatársak tudják-e, mi a teendő egy gyanús üzenetnél, és kinek kell jelezniük.
Hogyan zajlik a felmérés
Az elején érdemes rögzíteni a kiterjedést: mely telephelyek, rendszerek és felhős szolgáltatások tartoznak bele. Ezután a felmérés jellemzően több forrásból dolgozik:
- interjúk az üzemeltetőkkel és a folyamatgazdákkal arról, hogyan működnek a dolgok a gyakorlatban, és ki miért felel;
- a házirendek, a tűzfal- és hálózati beállítások és a mentési ütemezések átnézése;
- technikai ellenőrzések, amelyek a leírtakat összevetik a valós állapottal, például a fiókok, a frissítési szint és a hálózati eszközök lekérdezésével.
A vizsgálatok többsége jellemzően olvasási hozzáféréssel elvégezhető, így a napi működést alig érinti. A legértékesebb megállapítások gyakran az eltérésekből születnek: ahol a leírás szerint minden rendben van, a lekérdezés viszont mást mutat.
Mi a felmérés kimenete
Egy jó felmérési jelentés két olvasónak szól. Az üzemeltetőnek konkrét, ellenőrizhető megállapításokat ad: melyik rendszeren, milyen beállítás, miért kockázatos. A vezetésnek azt mutatja meg, hol tart a szervezet, és mely kockázatok érintik közvetlenül az üzletmenetet.
Egy megállapítás akkor használható, ha leírja, mit talált a felmérés és hol, miért jelent kockázatot, és mi a javasolt teendő. Ha ezek közül bármelyik hiányzik, a jelentés könnyen a fiókban marad, mert senki nem tudja, mit kezdjen vele.
Hogyan lesz belőle teendőlista
A felmérés értéke azon múlik, mi történik utána. A megállapításokat érdemes két szempont szerint rendezni: mekkora a kockázat, és mekkora munka a javítás.
- Gyors javítások: nagy kockázat, kis ráfordítás. Ezeket érdemes elsőként lezárni, mert a legtöbb javulást hozzák a legkevesebb munkával.
- Tervezett projektek: nagy kockázat, nagy ráfordítás, például a hálózat szegmentálása vagy egy elavult rendszer kiváltása. Ezekhez ütemezés, felelős és döntés kell.
- Folyamatos teendők: kisebb kockázatú tételek, amelyek beilleszthetők a napi üzemeltetésbe.
Minden tételhez tartozzon felelős és határidő. A lista akkor működik, ha rendszeresen visszanézik, mi készült el, mi csúszott, és miért. Egy idő után érdemes megismételni a felmérést ugyanazokkal a szempontokkal, így mérhető, mennyit javult a helyzet.
Hol kezdje
Ha a szervezetnél még nem készült strukturált felmérés, ez a legjobb első lépés, mert minden későbbi döntést megalapoz. Az ARLITECH IT-biztonsági felmérése a fenti öt területet vizsgálja, a hálózati eszközökkel és a topológiával együtt. Az eredmény részletes felmérési jelentés területenkénti kockázati besorolással, hálózati eszközleltár és topológiai térkép, 90 napos prioritási lista konkrét teendőkkel és költségbecsléssel, valamint vezetői összefoglaló és szóbeli prezentáció.
