การจัดการช่องโหว่คืออะไร?

การจัดการช่องโหว่เป็นกระบวนการระบุประเมินลําดับความสําคัญแก้ไขและรายงานเกี่ยวกับช่องโหว่ด้านความปลอดภัยในเว็บแอปพลิเคชันคอมพิวเตอร์อุปกรณ์มือถือและซอฟต์แวร์

การจัดการช่องโหว่อย่างต่อเนื่องเป็นส่วนสําคัญของการรักษาความปลอดภัยทางไซเบอร์และความปลอดภัยของเครือข่าย และอยู่ในรายการการควบคุมความปลอดภัยขั้นพื้นฐานของศูนย์ความปลอดภัยทางอินเทอร์เน็ต (CIS) โดยอ้างว่าองค์กรจําเป็นต้อง "ได้รับ ประเมิน และดําเนินการกับข้อมูลใหม่อย่างต่อเนื่องเพื่อระบุช่องโหว่ และเพื่อแก้ไขและลดโอกาสสําหรับผู้โจมตี ”

กล่าวโดยย่อ การจัดการช่องโหว่ช่วยให้องค์กรมีกระบวนการในการระบุ จัดลําดับความสําคัญ และแก้ไขเวกเตอร์การโจมตีที่เป็นไปได้ และลดพื้นผิวการโจมตีให้เหลือน้อยที่สุด

ช่องโหว่คืออะไร?

ช่องโหว่คือจุดอ่อนที่สามารถถูกใช้โดยการโจมตีทางไซเบอร์เพื่อเข้าถึงโดยไม่ได้รับอนุญาตหรือดําเนินการโดยไม่ได้รับอนุญาตบนระบบคอมพิวเตอร์ ช่องโหว่อาจทําให้ผู้โจมตีสามารถเรียกใช้โค้ด เข้าถึงหน่วยความจําของระบบ ติดตั้งมัลแวร์ และขโมย ทําลาย หรือแก้ไขข้อมูลที่ละเอียดอ่อน

ช่องโหว่ที่น่ากังวลที่สุดสําหรับทีมรักษาความปลอดภัยคือช่องโหว่ที่หนอนได้ เช่น การโจมตีด้วยแรนซัมแวร์ WannaCry cryptoworm หนอนคอมพิวเตอร์เป็นซอฟต์แวร์ที่เป็นอันตรายประเภทหนึ่งที่จําลองตัวเอง ทําให้คอมพิวเตอร์เครื่องอื่นติดไวรัสในขณะที่ยังคงทํางานอยู่บนระบบที่ติดไวรัส

เวิร์มมักอาศัยการกระทําและการใช้ประโยชน์จากช่องโหว่ในโปรโตคอลเครือข่าย ระบบปฏิบัติการ หรือแบ็คดอร์เพื่อเผยแพร่โดยที่ผู้ใช้ไม่รู้ตัว

ตัวอย่างแรกคือหนอนมอร์ริส หนอนมอร์ริสเป็นหนึ่งในหนอนอินเทอร์เน็ตตัวแรกและเขียนขึ้นเพื่อเน้นข้อบกพร่องด้านความปลอดภัยมากกว่าที่จะก่อให้เกิดความเสียหาย

มันแพร่กระจายโดยการใช้ประโยชน์จากช่องโหว่ที่รู้จัก เช่น ช่องโหว่ที่ตอนนี้จะแสดงอยู่ใน CVE ใน Unix sendmail finger, rsh/rexec รวมถึงรหัสผ่านที่อ่อนแอ ในจุดสูงสุดของ Morris Worm ทํางานบนเกือบ 10 เปอร์เซ็นต์ของคอมพิวเตอร์ที่เปิดใช้งานอินเทอร์เน็ตทั้งหมดในขณะนั้น

Morris Worm เน้นย้ําถึงความจําเป็นในการใช้ซอฟต์แวร์การจัดการช่องโหว่และเหตุใดทีมรักษาความปลอดภัยจึงควรปรับปรุงระบบของตนให้ทันสมัยอยู่เสมอ

ที่กล่าวว่าช่องโหว่ที่อันตรายที่สุดเรียกว่าช่องโหว่ซีโร่เดย์ ช่องโหว่ซีโร่เดย์คือช่องโหว่ที่ยังไม่ได้แพตช์ซึ่งนักพัฒนาซอฟต์แวร์ ฮาร์ดแวร์ หรือเฟิร์มแวร์ไม่รู้จัก ดังนั้นจึงไม่มีแพตช์

BlueKeep (CVE-2019-0708) เป็นตัวอย่างข้อบกพร่องในการเรียกใช้โค้ดจากระยะไกลที่ส่งผลกระทบต่อระบบประมาณหนึ่งล้านระบบ (ณ วันที่ 29 พฤษภาคม 2019) ที่ใช้ระบบปฏิบัติการ Microsoft เวอร์ชันเก่า

ช่องโหว่ซีโร่เดย์นี้พาดหัวข่าวในช่วงแพตช์วันอังคารเดือนพฤษภาคม 2019 ของ Microsoft เนื่องจากความสามารถในการหนอน

ซึ่งหมายความว่าการโจมตีทางไซเบอร์ที่ประสบความสําเร็จโดยใช้ BlueKeep สามารถแพร่กระจายในลักษณะเดียวกับการหาประโยชน์จาก EternalBlue ของ WannaCry

Microsoft มองว่า BlueKeep เป็นภัยคุกคามทางไซเบอร์ขนาดใหญ่ต่อความปลอดภัยของข้อมูลและความปลอดภัยทางไซเบอร์ ซึ่งพวกเขาได้เปิดตัวแพตช์สําหรับระบบปฏิบัติการที่ไม่ได้รับการสนับสนุนและหมดอายุการใช้งาน เช่น Windows 2003 และ Windows XP

เหตุใดจึงจําเป็นต้องมีการจัดการช่องโหว่

การเติบโตของอาชญากรรมไซเบอร์ที่เพิ่มขึ้นและการตรวจสอบกฎระเบียบที่เพิ่มขึ้นทําให้องค์กรต้องให้ความสําคัญกับความปลอดภัยของข้อมูลมากขึ้น กระบวนการจัดการช่องโหว่ควรเป็นส่วนหนึ่งของกลยุทธ์การจัดการความเสี่ยงด้านข้อมูลโดยรวมขององค์กร

กระบวนการนี้ช่วยให้องค์กรได้รับภาพรวมอย่างต่อเนื่องของช่องโหว่ในสภาพแวดล้อมด้านไอทีและความเสี่ยงที่เกี่ยวข้อง

การระบุและลดช่องโหว่เท่านั้นที่องค์กรสามารถลดความเสี่ยงของผู้โจมตีที่ใช้ประโยชน์จากช่องโหว่ใหม่การแพตช์ช่องโหว่ที่ระบุตามที่ระบุไว้ใน CVE และฐานข้อมูลช่องโหว่อื่น ๆ เป็นกลยุทธ์การจัดการความเสี่ยงที่มีประสิทธิภาพซึ่งช่วยลดความเสี่ยงด้านความปลอดภัยทางไซเบอร์

เรียนรู้คุณสมบัติหลักของซอฟต์แวร์แก้ไขความเสี่ยงที่มีประสิทธิภาพ>

กระบวนการจัดการช่องโหว่คืออะไร?

กระบวนการจัดการช่องโหว่เป็นแนวทางปฏิบัติแบบวัฏจักรในการระบุ จําแนก แก้ไข และลดช่องโหว่ด้านความปลอดภัย องค์ประกอบสําคัญสําหรับโปรแกรมการจัดการช่องโหว่ ได้แก่ การตรวจจับช่องโหว่ การประเมินช่องโหว่ และการรายงาน

อ่านโพสต์ฉบับเต็มของเราเกี่ยวกับการประเมินช่องโหว่ที่นี่

ตรวจพบช่องโหว่ได้อย่างไร?

หัวใจสําคัญของเครื่องมือการจัดการช่องโหว่ทั่วไปคือเครื่องสแกนช่องโหว่

เครื่องสแกนช่องโหว่เป็นซอฟต์แวร์ที่ออกแบบมาเพื่อประเมินคอมพิวเตอร์ เครือข่าย หรือแอปพลิเคชันเพื่อหาช่องโหว่ที่ทราบ เช่น ที่ระบุไว้ใน CVE การสแกนช่องโหว่สามารถระบุและตรวจจับช่องโหว่ที่เกิดจากการกําหนดค่าที่ผิดพลาดและการเขียนโปรแกรมที่มีข้อบกพร่องภายในเครือข่าย และทําการสแกนที่รับรองความถูกต้องและไม่ได้รับการรับรองความถูกต้อง:

• การสแกนที่รับรองความถูกต้อง: อนุญาตให้สแกนช่องโหว่เข้าถึงทรัพยากรเครือข่ายโดยใช้โปรโตคอลการดูแลระบบระยะไกล เช่น Secure Shell (SSH) หรือโปรโตคอลเดสก์ท็อประยะไกล (RDP) และตรวจสอบสิทธิ์โดยใช้ข้อมูลเข้าสู่ระบบที่ให้มา ประโยชน์ของการสแกนที่ผ่านการรับรองความถูกต้องคือให้การเข้าถึงข้อมูลระดับต่ํา เช่น บริการเฉพาะ รายละเอียดการกําหนดค่า และข้อมูลที่ถูกต้องเกี่ยวกับระบบปฏิบัติการ ซอฟต์แวร์ที่ติดตั้ง ปัญหาการกําหนดค่า การควบคุมการเข้าถึง การควบคุมความปลอดภัย และการจัดการแพตช์
• การสแกนที่ไม่ได้รับการรับรองความถูกต้อง: อย่าให้การเข้าถึงทรัพยากรในเครือข่าย ซึ่งอาจส่งผลให้เกิดผลบวกที่ผิดพลาดและข้อมูลที่ไม่น่าเชื่อถือเกี่ยวกับระบบปฏิบัติการและซอฟต์แวร์ที่ติดตั้ง โดยทั่วไปแล้วการสแกนประเภทนี้จะใช้โดยผู้โจมตีทางไซเบอร์และนักวิเคราะห์ความปลอดภัยด้านไอทีเพื่อพยายามกําหนดเสถียรภาพด้านความปลอดภัยของสินทรัพย์ที่ต้องเผชิญกับภายนอกผู้จําหน่ายบุคคลที่สามและเพื่อค้นหาการรั่วไหลของข้อมูลที่อาจเกิดขึ้น

เช่นเดียวกับบริการรักษาความปลอดภัยอื่นๆ เครื่องสแกนช่องโหว่นั้นไม่สมบูรณ์แบบ ซึ่งเป็นเหตุผลว่าทําไมองค์กรจึงใช้เทคนิคอื่นๆ เช่น การทดสอบการเจาะระบบและการแฮ็กของ Google

การทดสอบการเจาะระบบเป็นแนวทางปฏิบัติในการทดสอบสินทรัพย์เทคโนโลยีสารสนเทศเพื่อค้นหาช่องโหว่ที่สามารถใช้ประโยชน์ได้ และสามารถทําอัตโนมัติด้วยซอฟต์แวร์หรือดําเนินการด้วยตนเอง

ไม่ว่าจะเป็นแบบอัตโนมัติหรือแบบแมนนวล การทดสอบปากกาจะรวบรวมข้อมูลเกี่ยวกับเป้าหมาย จากนั้นผู้ทดสอบปากกาจะรายงานผลการวิจัย นอกจากนี้ยังสามารถใช้เพื่อทดสอบการควบคุมความปลอดภัยในองค์กรการปฏิบัติตามนโยบายความปลอดภัยของข้อมูลความอ่อนไหวของพนักงานต่อการโจมตีทางวิศวกรรมสังคมเช่นฟิชชิ่งหรือสเปียร์ฟิชชิ่งตลอดจนเพื่อทดสอบแผนการตอบสนองต่อเหตุการณ์

การแฮ็กของ Google คือการใช้เครื่องมือค้นหาเพื่อค้นหาช่องโหว่ด้านความปลอดภัย ทีมไอทีและผู้โจมตีสามารถใช้ตัวดําเนินการค้นหาขั้นสูงในการค้นหาข้อมูลที่หายากหรือข้อมูลที่เปิดเผยโดยไม่ได้ตั้งใจผ่านการกําหนดค่าเครื่องมือรักษาความปลอดภัยและบริการคลาวด์ที่ผิดพลาด ช่องโหว่เหล่านี้มักจะแบ่งออกเป็นสองประเภท ได้แก่ ช่องโหว่ของซอฟต์แวร์และการกําหนดค่าที่ผิดพลาด

กระบวนการประเมินช่องโหว่คืออะไร?

กระบวนการประเมินช่องโหว่สามารถแบ่งออกเป็นห้าขั้นตอน:

1. ระบุช่องโหว่: การวิเคราะห์การสแกนเครือข่าย ผลการทดสอบปากกา บันทึกไฟร์วอลล์ และผลการสแกนช่องโหว่เพื่อค้นหาความผิดปกติที่บ่งชี้ว่าการโจมตีทางไซเบอร์อาจใช้ประโยชน์จากช่องโหว่
2. ตรวจสอบช่องโหว่: ตัดสินใจว่าช่องโหว่ที่ระบุสามารถถูกใช้ประโยชน์ได้หรือไม่ และจําแนกความรุนแรงของการหาประโยชน์เพื่อทําความเข้าใจระดับความเสี่ยงด้านความปลอดภัย
3. การจัดลําดับความสําคัญของช่องโหว่: ประเมินว่าช่องโหว่ใดจะได้รับการบรรเทาหรือแก้ไขก่อนโดยพิจารณาจากความสามารถในการหนอนและความเสี่ยงอื่นๆ
4. ลดช่องโหว่: ตัดสินใจเกี่ยวกับมาตรการรับมือและวิธีวัดประสิทธิภาพในกรณีที่ไม่มีแพตช์
5. แก้ไขช่องโหว่: การลบและแก้ไขช่องโหว่ที่ทราบเพื่อป้องกันการแสวงหาประโยชน์เพิ่มเติม

หลังจากระบุช่องโหว่แล้วจําเป็นต้องได้รับการประเมินเพื่อทําความเข้าใจว่ามีความเสี่ยงใดบ้างโซลูชันการรักษาความปลอดภัยที่เป็นไปได้และวิธีการจัดการตามกลยุทธ์การจัดการความเสี่ยงขององค์กรของคุณ

โซลูชันการจัดการช่องโหว่สามารถให้คะแนนความปลอดภัย เช่น คะแนน Common Vulnerability Scoring System (CVSS) ซึ่งสามารถช่วยให้องค์กรเข้าใจว่าช่องโหว่ใดที่ควรให้ความสําคัญก่อน

สิ่งเพิ่มเติมที่ควรพิจารณา ได้แก่ :

• ช่องโหว่เป็นผลบวกปลอมหรือไม่?
• ช่องโหว่นี้สามารถใช้ประโยชน์ได้จากอินเทอร์เน็ตหรือผู้โจมตีจําเป็นต้องเข้าถึงทางกายภาพ
• การใช้ประโยชน์จากช่องโหว่นี้ยากแค่ไหน?
• มีรหัสช่องโหว่ที่เปิดเผยต่อสาธารณะสําหรับช่องโหว่นี้หรือไม่
• ผลกระทบทางธุรกิจคืออะไรหากช่องโหว่นี้ถูกใช้ประโยชน์
• องค์กรของคุณใช้กลยุทธ์การป้องกันเชิงลึกที่ลดโอกาสและ/หรือผลกระทบของช่องโหว่นี้ที่ถูกใช้ประโยชน์หรือไม่
• ช่องโหว่อายุเท่าไหร่?
• องค์กรของคุณมีข้อกําหนดด้านกฎระเบียบ เช่น CCPA, FISMA, GLBA, PIPEDA หรือ NIST Cybersecurity Framework หรือไม่
• ต้นทุนเฉลี่ยของการละเมิดข้อมูลในอุตสาหกรรมของคุณคือเท่าใด

เมื่อช่องโหว่ถือว่าเป็นความเสี่ยงด้านความปลอดภัยทางไซเบอร์ที่ยอมรับได้ขั้นตอนต่อไปคือการจัดลําดับความสําคัญของวิธีปฏิบัติ:

• การแก้ไข: ช่องโหว่ได้รับการแก้ไขและไม่สามารถใช้ประโยชน์ได้
• การบรรเทาผลกระทบ: โอกาสหรือผลกระทบที่ช่องโหว่สามารถถูกใช้ประโยชน์ได้จะลดลง
• การยอมรับ: ไม่มีการดําเนินการใดๆ เนื่องจากช่องโหว่ถือว่ามีความเสี่ยงต่ํา หรือค่าใช้จ่ายมากกว่าต้นทุนที่เกิดขึ้นโดยองค์กรของคุณอย่างมากหากถูกใช้ประโยชน์

ระบบการจัดการช่องโหว่จํานวนมากจะมีเทคนิคการแก้ไขที่แนะนําสําหรับช่องโหว่ทั่วไป ซึ่งอาจเป็นเรื่องง่ายพอๆ กับการติดตั้งแพตช์ความปลอดภัยที่พร้อมใช้งาน หรือซับซ้อนพอๆ กับการเปลี่ยนฮาร์ดแวร์

ช่องโหว่ควรได้รับการรายงานต่อสาธารณะหรือไม่?

มีการถกเถียงกันอย่างต่อเนื่องว่าองค์กรที่พบช่องโหว่ใหม่ควรรายงานหรือไม่ แต่ก็ยังคงเป็นประเด็นที่ถกเถียงกันกับสองฝ่ายที่ตรงกันข้าม:

1. การเปิดเผยข้อมูลทั้งหมดทันที: ผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์บางคนโต้แย้งให้มีการเปิดเผยข้อมูลทันทีรวมถึงข้อมูลเฉพาะเกี่ยวกับวิธีใช้ประโยชน์จากช่องโหว่ ผู้สนับสนุนการเปิดเผยข้อมูลทันทีเชื่อว่ามันนําไปสู่ซอฟต์แวร์ที่ปลอดภัยและการแพตช์ที่เร็วขึ้นเพื่อปรับปรุงความปลอดภัยของซอฟต์แวร์ความปลอดภัยของแอปพลิเคชันความปลอดภัยของคอมพิวเตอร์ความปลอดภัยของระบบปฏิบัติการและความปลอดภัยของข้อมูล
2. จํากัดการไม่เปิดเผย: ในขณะที่คนอื่น ๆ ต่อต้านการเปิดเผยช่องโหว่เพราะพวกเขาเชื่อว่าช่องโหว่จะถูกใช้ประโยชน์ ผู้สนับสนุนการเปิดเผยข้อมูลที่จํากัดเชื่อว่าการจํากัดข้อมูลในกลุ่มที่เลือกจะช่วยลดความเสี่ยงของการแสวงหาประโยชน์

เช่นเดียวกับข้อโต้แย้งส่วนใหญ่ทั้งสองฝ่ายมีประเด็นที่ถูกต้อง

เรียนรู้เพิ่มเติมเกี่ยวกับโปรแกรมการเปิดเผยช่องโหว่ที่นี่ >

ฉันควรกังวลเกี่ยวกับช่องโหว่ของผู้จําหน่ายบุคคลที่สามหรือไม่

การจัดการความเสี่ยงของผู้ขาย (VRM) เป็นส่วนหนึ่งของการจัดการช่องโหว่ที่มักถูกมองข้าม การมุ่งเน้นไปที่ความปลอดภัยทางไซเบอร์ภายในของคุณเพียงอย่างเดียวไม่เพียงพออีกต่อไป หากผู้จําหน่ายบุคคลที่สามของคุณไม่มีโซลูชันการรักษาความปลอดภัยและมาตรฐานความปลอดภัยแบบเดียวกัน

ใช่ การเอาท์ซอร์สสามารถแนะนําข้อได้เปรียบเชิงกลยุทธ์ (ต้นทุนที่ต่ํากว่า การเข้าถึงความเชี่ยวชาญ และการมุ่งเน้นขององค์กร) ที่กล่าวว่ายังสามารถแนะนําช่องโหว่เพิ่มเติมที่ไม่ได้อยู่ในการควบคุมของคุณในทันทีทําให้การโจมตีทางไซเบอร์และการจารกรรมขององค์กรเป็นไปได้

ผู้ขายบุคคลที่สามที่มีความปลอดภัยของข้อมูลไม่ดีทําให้เกิดความเสี่ยงด้านความปลอดภัยทางไซเบอร์ที่สําคัญในรูปแบบของความเสี่ยงของบุคคลที่สามและความเสี่ยงของบุคคลที่สาม

นี่คือจุดที่ VRM สามารถช่วยได้ โปรแกรม VRM เกี่ยวข้องกับการจัดการและตรวจสอบความเสี่ยงของบุคคลที่สามและที่สี่ ตลอดจนการทําให้แน่ใจว่าข้อมูลลูกค้าและข้อมูลองค์กรจะไม่ถูกเปิดเผยในการละเมิดข้อมูลของบุคคลที่สามหรือบุคคลที่สามและการรั่วไหลของข้อมูล

การตรวจสอบด้านกฎระเบียบที่เพิ่มขึ้นหมายความว่าทีมจัดการความเสี่ยงของผู้ขายกระจายตัวและจําเป็นต้องพิจารณาการทํางานอัตโนมัติให้มากที่สุดรวมถึงแบบสอบถามผู้ขาย

อย่าทําผิดพลาดในการเจรจาข้อตกลงระดับการให้บริการกับผู้ขายที่มีศักยภาพเท่านั้น ให้ตรวจสอบผู้ขายแบบเรียลไทม์ และขอแก้ไขช่องโหว่ที่มีความเสี่ยงสูงหรือเปลี่ยนผู้ขาย

นโยบายความปลอดภัยของข้อมูลขององค์กรของคุณจําเป็นต้องมุ่งเน้นไปที่ท่าทางการรักษาความปลอดภัยของบุคคลที่หนึ่ง บุคคลที่สาม และที่สี่ ซึ่งหมายถึงการลงทุนเวลาในการพัฒนากรอบการบริหารความเสี่ยงของบุคคลที่สามที่แข็งแกร่ง และขอรายงาน SOC 2 ของผู้ขายของคุณ

คุณอาจต้องรับผิดทางกฎหมายสําหรับการละเมิดข้อมูลของบุคคลที่สามซึ่งเป็นผลมาจากการจัดการช่องโหว่ที่ไม่ดีขึ้นอยู่กับอุตสาหกรรมของคุณ

บริษัทต่างๆ เช่น Intercontinental Exchange, Taylor Fry, The New York Stock Exchange, IAG, First State Super, Akamai, Morningstar และ NASA ใช้ UpGuard เพื่อปกป้องข้อมูล ป้องกันการละเมิดข้อมูล ตรวจสอบช่องโหว่ และหลีกเลี่ยงมัลแวร์

เราเป็นผู้เชี่ยวชาญด้านการละเมิดข้อมูลและการรั่วไหลของข้อมูล งานวิจัยของเราได้รับการนําเสนอใน New York Times, Wall Street Journal, Bloomberg, Washington Post, Forbes, Reuters และ Techcrunch

UpGuard Vendor Risk สามารถลดระยะเวลาที่องค์กรของคุณใช้ในการจัดการความสัมพันธ์ของบุคคลที่สามโดยแบบสอบถามผู้ขายโดยอัตโนมัติและตรวจสอบเสถียรภาพด้านความปลอดภัยของผู้ขายอย่างต่อเนื่องเมื่อเวลาผ่านไปในขณะที่เปรียบเทียบกับอุตสาหกรรมของตน

ผู้ขายแต่ละรายได้รับการจัดอันดับตามเกณฑ์ 70+ เช่น การมีอยู่ของ SSL และ DNSSEC ตลอดจนความเสี่ยงของการจี้โดเมน การโจมตีแบบคนกลาง และการปลอมแปลงอีเมลสําหรับฟิชชิ่ง

ในแต่ละวัน แพลตฟอร์มของเราให้คะแนนผู้ขายของคุณด้วยคะแนนความปลอดภัยทางไซเบอร์จาก 950 เราจะแจ้งเตือนคุณหากคะแนนของพวกเขาลดลง

UpGuard BreachSight สามารถช่วยตรวจสอบ DMARC ต่อสู้กับการพิมพ์ผิดป้องกันการละเมิดข้อมูลและการรั่วไหลของข้อมูลหลีกเลี่ยงค่าปรับตามกฎระเบียบและปกป้องความไว้วางใจของลูกค้าผ่านการจัดอันดับความปลอดภัยทางไซเบอร์และการตรวจจับการสัมผัสอย่างต่อเนื่อง