Hoe te slagen bij patchbeheer terwijl u gezond blijft

Patchbeheer is het ovenfilter van de IT-wereld. Je weet dat je het moet bijwerken en je weet dat je het regelmatig moet doen. Maar je blijft het uitstellen tot je plots een paar maanden te laat bent en je wordt lastiggevallen door hackers en malware. Het hele proces wordt verergerd, omdat u niet alleen weinig tijd hebt om uw verschillende patch-taken te beheren, maar om volledig volgens het boek te zijn, moet u deze patches testen met de software en besturingssystemen die u hebt zowel geïnstalleerd als elkaar. En het is de bedoeling dat u dat allemaal doet tussen een eindeloze stroom van gebruikerseisen, managementprioriteiten en de dagelijkse taak om uw netwerk en servers draaiende te houden. Maar degenen die beknibbelen op patchen, eindigen vaak aan het zakelijke einde van een enorme datalek die nationaal nieuws maakt en meestal leidt tot een roze slip. Dus hoe ga je al dat spul patchen?

Het korte antwoord is dat je waarschijnlijk niet alles kunt patchen tenzij je het geluk hebt om een ​​ongewoon grote staf en een Chief Financial Officer (CFO) te hebben die genereus genoeg is om al die mensen te betalen samen met al het andere dat je moet kopen om laat een datacenter werken. Er zijn softwarepakketten voor netwerkbewaking die patch-mogelijkheden bevatten, maar deze dekken meestal niet alles wat u nodig hebt om uit een enkele doos te patchen. Oplossingen voor apparaatbeheer hebben vaak ook patch-mogelijkheden, maar voor infrastructuur, zelfs kritieke infrastructuur zoals routers, switches en vergelijkbare apparaten, zou u wellicht meerdere patch-tools voor individuele merken kunnen gebruiken.

En denk niet dat je kunt ontsnappen door volledig cloudgebaseerd te worden. Ten eerste is bijna niemand tegenwoordig voor 100 procent cloudgebaseerd, dus je hebt vrijwel zeker een datacenterinfrastructuur ter plaatse. Bovendien zult u nooit ontsnappen aan de steeds groeiende lijst met client-apparaten waarvoor patching van het besturingssysteem en firmware nodig is, evenals "slimme" lokale middelen zoals camera's, NAS-apparaten (netwerkopslag), printers en meer. Dat alles moet nog steeds actueel worden gehouden, dus de patch-duivel komt je altijd vinden.

Als je net als veel andere managers bent, dan zorg je ervoor dat je medewerkers werken aan wat de belangrijkste updates lijkt te zijn. Je downloadt ze, test ze misschien, zet ze in productie en hoopt dan op het beste. Hoe je belangrijkheid kiest, hangt meestal af van verschillende factoren of zelfs persoonlijke voorkeuren, maar het is vaak eenvoudigweg gebaseerd op welke exploits het meest bedreigend zijn. Dat is misschien echt, maar dat is echt niet de beste manier om het aan te pakken.

Meest dringende taken voor cybersecurity-professionals in 2018

Prioriteren, classificeren en scannen

Eerst geef je prioriteit, zegt Ed Bellis, mede-oprichter en Chief Technology Officer (CTO) van Kenna Security. "Er zijn bepaalde kleine subsets die je absoluut moet prioriteren, " zei Bellis. U bepaalt wat die subset van patches is door te kijken naar de functies die het meest kritisch zijn voor uw bedrijf, en vervolgens naar de patches die het meeste verschil maken voor die functies.

"E-mail kan bijvoorbeeld kritisch zijn en kan bestaan ​​uit kritieke apparaten", aldus Sean Blenkhorn, Field CTO en VP van Worldwide Sales Engineering bij eSentire. Hij zei dat het noodzakelijk is om te beslissen hoe belangrijk verschillende systemen voor uw bedrijf zijn en zich daarop eerst te concentreren. Breek ze in hun "patchable" elementen en bouw vanaf daar uw strategie. In dit geval kan het serverfirmware, opslagfirmware, het besturingssysteem van de server en de e-mailserversoftware zijn, evenals de bijbehorende antimalware- / antispamsoftware aan de serverzijde. Klantgerichte software voor eindpuntbescherming maakt meestal geen groot deel uit van handmatige patchingstrategieën, omdat dat soort software zichzelf bijwerkt, tenzij IT anders aangeeft.

Blenkhorn zei dat een fout die veel organisaties maken, is om eerst een kwetsbaarheidsscanner uit te voeren, maar hij zei dat je, zonder eerst te classificeren welke systemen het belangrijkste zijn, kunt eindigen met pagina's met kwetsbaarheidsresultaten en niet weet wanneer of of je fixes moet toepassen.

"Voer eerst de classificatie uit en voer vervolgens de scan uit, " zei Blenkhorn. Hij zei dat drie kwetsbaarheidsscanners die hij het meest gebruikt ziet, van Qualys of Tenable zijn, maar hij merkt op dat er verschillende anderen zijn.

Hij zei dat de reden dat u uw systemen classificeert vóór het scannen is, zodat u een intelligente beslissing kunt nemen over wat hun prioriteit zou moeten zijn. Als u bijvoorbeeld een ernstige kwetsbaarheid vindt in een systeem dat zelden wordt gebruikt of dat niets echt belangrijks doet, dan is het misschien het beste om dat systeem gewoon weg te doen, of op zijn minst uit te schakelen totdat u tijd kunt krijgen om het te patchen.

The Impossible Dream: Patch All Vulnerabilities

Door eerst de classificatie uit te voeren, kunt u ook leren wanneer een kwetsbaarheid onmiddellijk moet worden hersteld, misschien omdat het van cruciaal belang is voor uw organisatie en ook voor internet. Misschien kunt u ook het patchen van een systeem uitstellen dat kwetsbaarheden heeft die geen exploits hebben, niet op internet zijn gericht, of beide. Hij zei dat het niet alleen belangrijk is om te bepalen of er een kwetsbaarheid is, maar ook of er een exploit bestaat en of de exploit wordt gebruikt.

In veel gevallen, zei Blenkhorn, zijn er geen exploits in de echte wereld, wat betekent dat het wellicht logischer is om je op andere acties te concentreren. Een manier om kwetsbaarheden onder controle te krijgen, is door te kijken naar professionele cybersecurity-beoordelingsrapporten van leveranciers zoals Kenna Security. Deze rapporten analyseren verschillende dreigingsdatabases en rapporteren over hun bevindingen, waarbij kwetsbaarheden op verschillende factoren worden gemeten, afhankelijk van hoe de verkoper van het rapport het onderwerp benaderde.

"ons eerste rapport dat afgelopen voorjaar uitkwam, " zei Bellis, "we hebben elke kwetsbaarheid in de database bekeken." Hij zei dat hun tweede rapport net in januari 2019 uitkwam. Volgens Bellis concentreert de analyse zich op het feit dat zeer weinig kwetsbaarheden daadwerkelijk exploits hebben gekend, wat betekent dat het logischer is om zich daarop te concentreren in plaats van kwetsbaarheden die onwaarschijnlijk zijn aangevallen worden. Het rapport helpt IT-professionals deze beslissing te nemen voor de infrastructuur die ze hebben geïnstalleerd.

"We hebben die kwetsbaarheden opgesplitst per technologiebron", legt Bellis uit. Hij zei dat de belangrijkste kwetsbaarheden van Oracle kunnen komen voor zijn enorme database-voetafdruk, Adobe voor zijn wijdverspreide en altijd patching Reader-client, Microsoft voor Microsoft Windows 10 en vergelijkbare grote softwareproviders. Maar hij merkte op dat er enorme verschillen kunnen zijn in de manier waarop met die kwetsbaarheden wordt omgegaan.

"Er is een enorm verschil in het saneringspercentage, " zei Bellis. "Het werd vrij duidelijk dat Microsoft het voor klanten heel gemakkelijk en operationeel heeft gemaakt om hun kwetsbaarheden te repareren. Oracle en Java bevinden zich aan de andere kant van die schaal."

Neem de geautomatiseerde aanpak

Een andere benadering is om speciale software aan te schaffen die een groot deel van de analyse en het planningsgewicht van patchbeheer van u af neemt. Dit is de geautomatiseerde aanpak.

"IT-beheerders kunnen niet handmatig een account bijhouden van alle ontbrekende patches in hun netwerk", aldus Giridhara Raam M, productevangelist voor ManageEngine (een divisie van Zoho Corporation), in een e-mailuitwisseling. "Daarom hadden ze een geautomatiseerd systeem nodig om het netwerk te scannen, de ontbrekende patches te identificeren, die patches van de leverancierssite te downloaden, patches te testen en op tijd op de beoogde machines te implementeren, " ging hij verder. "IT-beheerders moeten deze implementaties buiten kantooruren kunnen plannen om gedoe voor werknemers te voorkomen."

ManageEngine heeft hulpmiddelen die kunnen helpen, net als andere leveranciers, waaronder LogicMonitor en Microsoft. Het is echter nog steeds noodzakelijk om uw netwerkactiva te classificeren, zodat u weet op welke kwetsbaarheden u zich moet concentreren.

Het is de classificatie die centraal staat. U hoeft zich niet op elke kwetsbaarheid tegelijk te concentreren; je hoeft alleen maar te beginnen met degenen die waarschijnlijk problemen veroorzaken en vervolgens vanaf daar verder te bouwen.