Vad är en sårbarhetsbedömning? Och hur man genomför en

Sårbarhetsbedömning är processen att identifiera, klassificera och prioritera säkerhetsbrister i IT-infrastrukturen. En omfattande sårbarhetsbedömning utvärderar om ett IT-system är utsatt för kända sårbarheter, tilldelar allvarlighetsnivåer till identifierade sårbarheter och rekommenderar åtgärder eller åtgärder där det behövs.

Sårbarhetsbedömningar är en vanlig säkerhetsprocedur eftersom de ger en detaljerad bild av de säkerhetsrisker som en organisation kan stå inför, vilket gör det möjligt för dem att bättre skydda sin informationsteknik och känsliga data från cyberhot.

Sårbarheter kan hittas i applikationer som hanteras av tredjepartsleverantörer eller internt tillverkad programvara, och många brister är lätta att åtgärda när de väl har identifierats.

Varför är sårbarhetsbedömning viktigt?

Sårbarhetsbedömning är viktigt eftersom det ger dig information om säkerhetsbristerna i din miljö och ger vägledning om hur du åtgärdar eller åtgärdar problemen innan de kan utnyttjas.

Denna process ger dig en bättre förståelse för din IT-infrastruktur, säkerhetsbrister och övergripande risker, vilket avsevärt förbättrar informationssäkerheten och applikationssäkerhetsstandarderna samtidigt som sannolikheten för att en cyberbrottsling får obehörig åtkomst till din organisation minskar.

Vilka är de olika typerna av sårbarhetsbedömning?

Det finns flera typer av sårbarhetsbedömning:

Nätverksbaserad utvärdering: Används för att identifiera möjliga nätverkssäkerhetsproblem och kan upptäcka sårbara system i kabelanslutna och trådlösa nätverk.
Värdbaserad utvärdering: Används för att lokalisera och identifiera sårbarheter i servrar, arbetsstationer och andra nätverksvärdar. Den här genomsökningen undersöker vanligtvis öppna portar och tjänster och kan ge insyn i konfigurationsinställningarna och korrigeringshanteringen för skannade system.
Utvärdering av trådlöst nätverk: Används för att söka igenom Wi-Fi nätverk och attackvektorer i den trådlösa nätverksinfrastrukturen. Det kan validera att ditt företags nätverk är säkert konfigurerat för att förhindra obehörig åtkomst och kan även identifiera falska åtkomstpunkter.
Programutvärdering: Identifiering av säkerhetsrisker i webbprogram och deras källkod med hjälp av automatiserade verktyg för sårbarhetsgenomsökning på klientdelen eller statisk/dynamisk analys av källkoden.
Databasutvärdering: Utvärdering av databaser eller stordatasystem för sårbarheter och felkonfiguration, identifiering av falska databaser eller osäkra utvecklings-/testmiljöer och klassificering av känsliga data för att förbättra datasäkerheten.

Vad är processen för bedömning av säkerhetsbrister?

Processen för säkerhetsrisker består av fem steg:

Sårbarhetsidentifiering: Analysera nätverksskanningar, penntestresultat, brandväggsloggar och sårbarhetsskanningsresultat för att hitta avvikelser som tyder på att en cyberattack kan dra nytta av en sårbarhet.
Sårbarhetsanalys: Bestäm om den identifierade sårbarheten kan utnyttjas och klassificera allvarlighetsgraden för exploateringen för att förstå nivån på säkerhetsrisken.
Riskbedömning: Bedöm vilka sårbarheter som kommer att mildras eller åtgärdas först baserat på deras maskbarhet och andra risker.
Reparation: Uppdatera berörd programvara eller maskinvara där det är möjligt.
Begränsning: Bestäm om motåtgärder och hur du ska mäta deras effektivitet i händelse av att en patch inte är tillgänglig.

Sårbarhetsbedömningsprocessen är en viktig komponent i livscyklerna för sårbarhetshantering och IT-riskhantering och måste göras regelbundet för att vara effektiv.

Mer information finns i vår guide om sårbarhetshantering.

1. Identifiering av sårbarheter

Sårbarhetsidentifiering är processen att upptäcka och göra en komplett lista över sårbarheter i din IT-infrastruktur.

Detta uppnås i allmänhet genom en kombination av automatiserad sårbarhetsskanning och manuell penetrationstestning.

En sårbarhetsskanner kan utvärdera datorer, nätverk eller webbprogram för kända sårbarheter som de som anges i CVE (Common Vulnerabilities and Exposures).

Sårbarhetstestning kan köras via autentiserade eller oautentiserade skanningar:

Autentiserade genomsökningar: Tillåt sårbarhetsskannrar att få åtkomst till nätverksresurser med hjälp av fjärradministrativa protokoll och autentisera med angivna systemautentiseringsuppgifter. Fördelen med autentiserade skanningar är att de ger tillgång till data på låg nivå, t.ex. specifika tjänster, konfigurationsdetaljer och korrekt information om operativsystem, installerad programvara, konfigurationsproblem, åtkomstkontroll, säkerhetskontroller och patchhantering.
Oautentiserade genomsökningar: Ge inte åtkomst till nätverksresurser, vilket kan resultera i falska positiva identifieringar och otillförlitlig information om operativsystem och installerad programvara. Denna typ av skanning används i allmänhet av cyberangripare och IT-säkerhetsanalytiker för att försöka fastställa säkerhetsstatusen för externa tillgångar, tredjepartsleverantörer och för att hitta eventuella dataläckor.

Läs mer om hur du identifierar sårbar programvara från tredje part >

Liksom alla säkerhetstester är sårbarhetsskanning inte perfekt, vilket är anledningen till att andra tekniker som penetrationstestning används. Penetrationstestning är en metod för att testa en informationsteknisk tillgång för att hitta exploaterbara sårbarheter och kan automatiseras med programvara eller utföras manuellt.

Oavsett om den körs automatiskt eller utförs manuellt av ett säkerhetsteam kan penntestning hitta säkerhetsbrister och möjliga attackvektorer som missas av verktyg för sårbarhetsskanning. Den kan också användas för att testa säkerhetskontroller på plats, efterlevnad av informationssäkerhetspolicyer, anställdas känslighet för sociala ingenjörsattacker som phishing eller spear phishing, samt för att testa incidenthanteringsplaner.

2. Analys av sårbarhet

När sårbarheter har identifierats måste du identifiera vilka komponenter som är ansvariga för varje sårbarhet och grundorsaken till säkerhetsbristerna. Grundorsaken till sårbarheten kan till exempel vara en föråldrad version av ett bibliotek med öppen källkod.

I det här fallet finns det en tydlig väg till reparation och uppgradering av biblioteket. Det finns dock inte alltid en enkel lösning, vilket är anledningen till att organisationer ofta måste köra varje sårbarhet genom en säkerhetsbedömningsprocess som klassificerar sårbarhetens allvarlighetsgrad, identifierar möjliga lösningar och beslutar om den identifierade risken ska accepteras, åtgärdas eller mildras baserat på organisationens riskhanteringsstrategi.

3. Riskbedömning

Målet med det här steget är att prioritera sårbarheter. Detta innebär ofta att man använder ett verktyg för sårbarhetsbedömning som tilldelar varje sårbarhet en rang eller allvarlighetsgrad.

Till exempel använder UpGuard BreachSight, ett verktyg för hantering av attackytor, CVSS-poängen (Common Vulnerability Scoring System) för att tilldela en numerisk poäng från 0 till 10 baserat på sårbarhetens huvudsakliga egenskaper och allvarlighetsgrad.

Med det sagt kommer alla bra sårbarhetsbedömningsrapporter att ta hänsyn till ytterligare faktorer som:

Vilket system påverkas?
Vilka känsliga uppgifter som lagras i systemet, t.ex. personligt identifierbar information (PII) eller skyddad hälsoinformation (PHI)
Vilka affärsfunktioner är beroende av systemet
Lättheten att attackera eller kompromissa
Affärseffekten av en lyckad exploatering
Om sårbarheten är tillgänglig från Internet eller kräver fysisk åtkomst
Hur gammal sårbarheten är
Alla regulatoriska krav som din organisation har, t.ex. CCPA, FISMA, GLBA, PIPEDA, LGPD, 23 NYCRR 500, FIPA, PCI DSS, HIPAA eller SHIELD Act
Kostnaden för ett dataintrång i din bransch

Läs vår guide om hur du utför en riskbedömning av IT-cybersäkerhet >

4. Åtgärder

Sårbarhetsreparation innebär att åtgärda eventuella säkerhetsproblem som ansågs oacceptabla i riskbedömningsprocessen. Detta är vanligtvis en gemensam insats mellan utvecklings-, drift-, efterlevnads-, riskhanterings- och säkerhetsteam, som beslutar om en kostnadseffektiv väg för att åtgärda varje sårbarhet.

Många system för sårbarhetshantering tillhandahåller rekommenderade tekniker för att åtgärda vanliga sårbarheter, som kan vara så enkla som att installera lättillgängliga säkerhetskorrigeringar eller så komplexa som att byta ut maskinvara.

Specifika reparationssteg varierar beroende på säkerhetsrisken men omfattar ofta:

Uppdatering av operativa förfaranden
Utveckla en robust process för konfigurationshantering
Programvara för korrigering

5. Åtgärd

Alla sårbarheter kan inte åtgärdas, och det är där åtgärder kommer in. Riskreducering fokuserar på att minska sannolikheten för att en sårbarhet kan utnyttjas eller minska effekten av sårbarheten.

Specifika riskreduceringssteg varierar mycket, beroende på din risktolerans och budget, men omfattar ofta:

Introduktion av nya säkerhetskontroller
Byta ut hårdvara eller mjukvara
Kryptering
Riskhantering för leverantörer
Hantering av attackytan
Kontinuerlig säkerhetsövervakning

Vilka potentiella hot kan förhindras genom sårbarhetsbedömning?

Exempel på cyberattacker som kan förhindras genom sårbarhetsbedömning är:

Privilegieeskaleringsattacker: Privilegieeskalering är utnyttjande av programmeringsfel, sårbarhet, konstruktionsfel, konfigurationsförbiseende eller åtkomstkontroll i ett operativsystem eller program för att få obehörig åtkomst till resurser som vanligtvis är begränsade för programmet eller användaren. Läs mer om utökning av privilegier här.
SQL-injektioner: SQL-injektionsattacker inträffar när ogiltiga eller ej betrodda data skickas till en kodtolk via formulärinmatning eller ett annat fält för datainlämning i ett webbprogram. Lyckade injektionsattacker kan leda till dataläckor, skadade data, dataintrång, förlust av ansvar och nekad åtkomst.
XSS-attacker: Cross-site scripting (XSS) är en typ av säkerhetsproblem som vanligtvis finns i webbapplikationer. XSS gör det möjligt för angripare att mata in skript på klientsidan på webbsidor som visas av andra användare och kan användas för att kringgå åtkomstkontroll, till exempel principen för samma ursprung. Effekten av XSS kan sträcka sig från en liten olägenhet till betydande cybersäkerhetsrisk, beroende på känsligheten hos data som hanteras av den sårbara webbplatsen och vilken typ av åtgärder som vidtas. Läs mer om cross-site scripting här.
Osäkra standardvärden: Det är vanligt att programvara och maskinvara levereras med osäkra inställningar, till exempel lösenord som är lätta att gissa, för att göra registreringen enklare. Även om detta är bra ur ett användbarhetsperspektiv, lämnar många dessa standardkonfigurationer intakta, vilket kan göra dem exponerade.

Vilka är de olika typerna av verktyg för sårbarhetsbedömning?

Verktyg för sårbarhetsbedömning är utformade för att automatiskt söka efter nya och befintliga hot i din IT-infrastruktur. Typer av verktyg inkluderar:

Skannrar för webbprogram som mappar attackytan och simulerar kända attackvektorer
Protokollskannrar som söker efter sårbara protokoll, portar och andra tjänster
Nätverksskannrar som hjälper till att visualisera nätverk och upptäcka sårbarheter i nätverket, till exempel herrelösa IP-adresser, falska paket och misstänkt paketgenerering

Det är bästa praxis att schemalägga regelbundna, automatiserade genomsökningar av all infrastruktur och använda resultaten som en del av din pågående process för sårbarhetsbedömning.

UpGuard BreachSight skannar automatiskt din attackyta dagligen efter sårbarheter.

Vad är skillnaden mellan sårbarhetsbedömning och penetrationstestning?

Som nämnts ovan omfattar en sårbarhetsbedömning ofta penetrationstestning för att identifiera sårbarheter som kanske inte upptäcks av automatiserad genomsökning. Denna process kallas ofta för sårbarhetsbedömning/penetrationstestning (VAPT).

Med det sagt räcker det inte med enbart penetrationstestning som en fullständig sårbarhetsbedömning. Sårbarhetsbedömning syftar till att upptäcka sårbarheter och rekommendera lämpliga åtgärder för att minska eller ta bort den identifierade risken.

Penetrationstestning innebär däremot att man identifierar sårbarheter och försöker utnyttja dem för att attackera ett system, orsaka ett dataintrång eller exponera känsliga uppgifter. Även om detta kan utföras som en del av en sårbarhetsbedömning, är det primära syftet med penetrationstestning att kontrollera om det finns en sårbarhet som kan utnyttjas.

Läs hela vårt inlägg om penetrationstestning för mer information.

Företag som Intercontinental Exchange, Taylor Fry, The New York Stock Exchange, IAG, First State Super, Akamai, Morningstar och NASA använder UpGuards säkerhetsbetyg för att skydda sina data, förhindra dataintrång och utvärdera sin säkerhetsverksamhet.

För bedömning av dina informationssäkerhetskontroller kan UpGuard BreachSight övervaka din organisation för 70+ säkerhetskontroller som ger ett enkelt, lättförståeligt cybersäkerhetsbetyg och automatiskt upptäcka läckta autentiseringsuppgifter och dataexponeringar i S3-hinkar, Rsync-servrar, GitHub-repor och mer.

Sårbarhetsmodulen i UpGuard BreachSight listar publicerade sårbarheter som kan utnyttjas i programvaran som körs på din IT-infrastruktur. Dessa sårbarheter identifieras automatiskt genom information som exponeras i HTTP-huvuden och webbplatsinnehåll.

Varje identifierad sårbarhet får en CVSS, en publicerad standard som utvecklats för att fånga de viktigaste egenskaperna hos en sårbarhet, som ger en numerisk poäng mellan 0 och 10 som återspeglar dess allvarlighetsgrad.

UpGuard Vendor Risk kan minimera den tid som din organisation lägger på att utvärdera relaterade och tredjeparts informationssäkerhetskontroller genom att automatisera leverantörsfrågeformulär och tillhandahålla mallar för leverantörsfrågeformulär.

Vår expertis har presenterats i bland annat The New York Times, The Wall Street Journal, Bloomberg, The Washington Post, Forbes, Reuters och TechCrunch.

Du kan läsa mer om vad våra kunder säger på Gartners recensioner.