Table of Contents
Z roku na rok świadomość o zagrożeniach rośnie wraz z liczbą osób, które aktywnie działają w cyberbezpieczeństwie lub się nim interesują. Wzrost badaczy bezpieczeństwa jest proporcjonalny do wzrostu nowo wykrytych podatności. Więcej badamy, więcej odkrywamy, to naturalne zjawisko. Mamy coraz nowsze techniki ataku, nowe podatności, niektóre nawet tak trywialne w eksploitacji, że poradziłby sobie z nimi przeciętny użytkownik klawiatury i myszki, który znajdzie instrukcję w Internecie.
Niniejszy artykuł jest wstępem do webinaru, który będzie miał miejsce 07.06.2022 o godzinie 10:00. Webinar nie będzie technicznym wykładem, a omówieniem potrzeb i wymagań koniecznych do przeprowadzenia skutecznej i efektywnej oceny bezpieczeństwa.
- poznasz 3 różne sposoby oceny bezpieczeństwa
- dowiesz się jak wybrać właściwy sposób oceny bezpieczeństw
- podejmiesz pierwsze kroki ku ocenie bezpieczeństwa w organizacji, dzięki materiałom przesyłanym uczestnikom
DLACZEGO WARTO ZAINTERESOWAĆ SIĘ CYBERBEZPIECZEŃSTWEM?
Patrząc szerzej na cybersytuację w ostatnich latach najbezpieczniejszym rozwiązaniem byłoby przyjęcie postawy nieuniknionej wrażliwości na zagrożenia, koniecznego przygotowania się do odparcia potencjalnego ataku, oraz załatania lub zabezpieczenia luk, które jeszcze nie zostały odkryte. Lepiej założyć, że jeżeli komponenty oprogramowania dziś nie zawierają podatności to nie znaczy, że jutro ktoś takowej podatności nie znajdzie. Szczególnie popularnym dniem do publikowania informacji o nowo wykrytej i dotykającej rzeszy firm podatności pozostaje piątek, ponieważ często zgodnie z prawami Murphy’ego właśnie w ten dzień najgroźniejsze podatności lubią być publikowane. Jak można się spodziewać regularne ocenianie bezpieczeństwa, budowanie świadomości zagrożeń oraz inwentaryzacja komponentów naszego systemu informatycznego mogą uchronić właścicieli biznesu nie tylko przed stratami finansowymi, ale też przed weekendami pełnymi nadgodzin.
KTO I KIEDY POWINIEN ZAINTERESOWAĆ SIĘ CYBERBEZPIECZEŃSTWEM SWOJEJ FIRMY?
Jeżeli głównym ośrodkiem Twoich interesów jest aplikacja webowa, za pomocą której sprzedajesz jakieś usługi czy produkty lub też jest to strona będąca internetową wizytówką Twojego biznesu. To jako właściciel powinieneś być świadomy czy i jakie zagrożenia mogą czyhać na Ciebie w Internecie. Powinieneś zainteresować się sprawdzeniem stanu bezpieczeństwa swojej aplikacji. Tyczy się to też aplikacji mobilnych. Jeżeli posiadasz jakąś infrastrukturę sieciową, która podtrzymuje działanie Twojego biznesu, powinieneś zainteresować się jej bezpieczeństwem co najmniej dwa razy do roku.
Cyberbezpieczeństwo jest procesem i każdy kto prowadzi interesy w Internecie może paść ofiarą ataku. Przez zmienność warunków, nowe lub ewoluujące błędy i luki bezpieczeństwa należy dbać o cykliczne testowanie, skanowanie i sprawdzanie elementów naszych środowisk sieciowych i aplikacyjnych. Sprawdzanie bezpieczeństwa, podnoszenie świadomości swojej i swoich pracowników oraz partnerów biznesowych powinno wejść w nawyk każdemu z nas. Nie ma tu złotej zasady określającej jeden słuszny okres pomiędzy kolejnymi ocenami bezpieczeństwa. Każdy powinien dbać o swojej systemy najlepiej jak potrafi, na ile pozwala mu czas i budżet. Przyjmuje się, że każda zmiana w sieci lub oprogramowaniu powinna być oceniona pod kątem bezpieczeństwa zanim zostanie zaimplementowana w pełni produkcyjnie. Dla środowisk o stałych strukturach zaleca się przegląd bezpieczeństwa przynajmniej dwa razy w roku.
REGULARNA OCENA BEZPIECZEŃSTWA KLUCZEM DO OCHRONY BIZNESU
Niestety dość smutnym ale prawdziwym stwierdzeniem jest to, że specjaliści cyberbezpieczeństwa są podobni do lekarzy. Znajdą problem, którego nie byłeś świadom, a następnie go naprawią o ile im za to zapłacisz. Brzmi to jak bardzo niesprawiedliwa sytuacja, ale zasadna jeśli mówimy o ochronie naszego zdrowia lub innych spraw, które długoterminowo chcemy utrzymać w jak najlepszej kondycji. Jednym z czynników umożliwiających zapobieganie i szybką reakcję na zagrożenia zdrowia są regularne i indywidualnie sprecyzowane badania. Z cyberbezpieczeństwem jest dokładnie tak samo. Regularna ocena bezpieczeństwa jest kluczem do ochrony naszego biznesu przed cyberzagrożeniami i podobnie jak w przypadku badań, także powinna być indywidualnie sprecyzowana, a także przeprowadzana regularnie w celu szybkiego wykrywania chorób i minimalizowania kosztów leczenia.
TEST PENETRACYJNY, AUDYT BEZPIECZEŃSTWA ORAZ SKANOWANIE PODATNOŚCI – TRZY OBLICZA OCENY BEZPIECZEŃSTWA
W zakładkach naszej strony możesz zobaczyć różne przykłady oceny bezpieczeństwa. Można podzielić je na 3 kategorie. Test penetracyjny, audyt bezpieczeństwa oraz skanowanie podatności. Zdarza się, że te pojęcia są używane zamiennie lub są mylone. Mają punkty wspólne jak i znaczące różnice. Elementem wspólnym dla przeprowadzenia kompleksowej oceny bezpieczeństwa jest wysoka świadomość zagrożeń i ryzyka. Właściciel firmy/systemu/aplikacji musi mieć świadomość o potencjalnym niebezpieczeństwie i konieczności zlecenia oceny bezpieczeństwa. Osoba oceniająca również musi wykazać się dużą wiedzą i świadomością aby w kompleksowy sposób przeprowadzić ocenę bezpieczeństwa dostosowaną do potrzeb klienta. Pozostaje jeszcze pytanie: „W jaki sposób dostosować ocenę bezpieczeństwa?”. W odpowiedzi pomogąróżnice pomiędzy pentestem, audytem bezpieczeństwa i skanowaniem podatności.
NA CZYM POLEGA I CO PRZYNOSI TEST PENETRACYJNY?
Test penetracyjny jest uznawany za jedną z najbardziej czasochłonnych i szczegółowych form oceny bezpieczeństwa. Polega na sprawdzeniu poziomu bezpieczeństwa testowanego systemu informatycznego przez wykonanie manualnych i automatycznych lub półautomatycznych technik ataku. Testom penetracyjnym możemy poddać aplikacje webowe, mobilne i desktopowe. Często testujemy też zewnętrzną i wewnętrzną infrastrukturę sieciową poddając ocenie bezpieczeństwa nie tylko urządzenia, ale i sposoby komunikacji między nimi. Wynikiem testu penetracyjnego jest raport z wykonanych aktywności zawierający rekomendacje naprawy, szczegółową analizę ryzyka oraz instrukcję sposobu replikacji wykrytych błędów bezpieczeństwa. W przypadku tworzenia oprogramowania warto poddawać testom penetracyjnym nowo wydewelopowane komponenty i funkcjonalności. Zaleca się także okresowe wykonanie testów penetracyjnych, na przykład co pół roku.
NA CZYM POLEGA I CO PRZYNOSI SKANOWANIE PODATNOŚCI?
Skanowanie podatności odbywa się za pomocą wspomnianych wcześniej automatycznych narzędzi, zwanych skanerami podatności. Narzędzia te pozwolą na wykonanie sprawnej oceny bezpieczeństwa w różnej skali środowiskach. Skanowanie podatności może być także jednym z wczesnych elementów wykonania testu penetracyjnego. Jednak należy mieć na uwadze, że błędy bezpieczeństwa wymagające manualnego sprawdzenia mogą pozostać nieodkryte. Zasadę działania skanera podatności możemy przedstawić w kilku prostych krokach. Pierwszym z nich jest odkrycie aktywnych komponentów infrastruktury sieciowej. Kolejnym krokiem skanowania podatności jest wykrycie usług zainstalowanych na wykrytych komponentach sieci. Finalnie skaner przechodzi do wysłania specjalnie spreparowanych pakietów, które weryfikują obecność znanych podatności na skanowanych systemie. Każda wykryta podatność jest oceniana w skali i przypisana do odpowiedniego poziomu krytyczności.
NA CZYM POLEGA I CO PRZYNOSI AUDYT BEZPIECZEŃSTWA?
Pojęcie audytu bezpieczeństwa jest często używane zamiennie z kontekście jakichkolwiek przedsięwzięć mających na celu ocenę bezpieczeństwa. Audyty bezpieczeństwa mogą być też przeprowadzane pod kątem zgodności ze znanymi standardami takimi jak ISO seria 27 000, PCI DSS, Cobit, czy SOC. Częstym zjawiskiem wymuszającym audyt bezpieczeństwa jest chęć współpracy z instytucjami lub firmami wymagającymi przeprowadzenia audytu, okresowe kontrole dla wrażliwych sektorów rynkowych oraz chęć uzyskania certyfikatu zgodności. Zależnie od skomplikowania audyty i przygotowania do nich mogą trwać od tygodnia do kilkunastu miesięcy. Często też osoba przeprowadzająca audyt bezpieczeństwa, musi posiadać odpowiednie uprawnienia. Przyjęło się, że audyt bezpieczeństwa polega na ocenie wielu komponentów systemu informatycznego, w których skład mogą wchodzić: procesy, procedury i polityki bezpieczeństwa, zachowanie dobrych praktyk, zgodność z obowiązującym prawem a nawet okresowe przeprowadzanie testów penetracyjnych.
CO DALEJ?
Skoro wiemy już jak ważna jest regularna ocena bezpieczeństwa i znamy trzy różne sposoby jej oceniania,możemy zastanowić się nad indywidualnym dopasowaniem usług pod nasze potrzeby i wymagania biznesowe. Dlatego zapraszamy na webinar, który przedstawi szczegółowo zalety i wyniki wymienionych kategorii oceny bezpieczeństwa. Dowiesz się również jak najlepiej wybrać sposób oceny dostosowany do potrzeb twojego biznesu oraz jak odróżnić poszczególne działania na podstawie składanych ofert.
