6.4 Öryggis- og veikleikastjórnunarmælikvarðar

Yfirlit og tilgangur

Þetta viðfangsefni lokar 6. hluta með því að víkka sama áreiðanleikaaga og þessi hluti hefur byggt, markasetningu, varnarmælikvarðapörun, heiðarlega atvikaskýrslugjöf, yfir í aðgreinda en náskylda áhættu: ekki hvort kerfi bilar af sjálfu sér, heldur hvort einhver lætur það bila, eða nýtir það, af ásettu ráði. Veikleikastjórnunarmælikvarðar mæla hve vel skipulagsheild finnur og lagar öryggisveikleika áður en þeir eru nýttir: hve margir veikleikar eru til, hve alvarlegir þeir eru og, mikilvægt, hve fljótt þeir eru lagaðir þegar þeir eru uppgötvaðir, því þekktur en ólagaður veikleiki er viðvarandi, magnbundin áhætta sem skipulagsheildin hefur valið að bera, hvort sem er vísvitandi eða af vanrækslu.

Meginefni þessa viðfangsefnis er hliðstætt meðhöndlun viðfangsefnis 4.4 á stöðugreiningarniðurstöðum beint: hrár veikleikafjöldi er lélegur mælikvarði, blandar saman léttvægum og alvarlegum vandamálum, og er útsettur fyrir nákvæmlega sömu leikáhættu, skilgreiningarþrengingu, bælingu og þröskuldsleik, sem viðfangsefni 1.2 lýsir almennt. Sértæka viðbótin sem öryggismælikvarðar krefjast er tími-til-úrbóta rakinn gegn alvarleika, því alvarlegur veikleiki sem situr ólagaður mánuðum saman táknar grundvallarlega ólíka áhættu en sami veikleiki gripinn og lagaður innan dags, upplýsingar sem einföld talning ein getur ekki miðlað.

Fyrir stór teymi bera öryggismælikvarðar afleiðingar umfram tafarlausa tæknilega áhættu: stórfyrirtæki standa frammi fyrir samnings- og orðsporsútsetningu af broti, og opinberar skipulagsheildir standa frammi fyrir þjóðaröryggis-, lagalegum og almenningstraustsafleiðingum sem gera öryggismælikvarða að raunverulegu almannahagsmunamáli, ekki bara innri verkfræðiáhyggju. Þetta viðfangsefni meðhöndlar veikleikastjórnun með sama strangleika og sama varnarmælikvarðapörunaraga og þessi bók beitir í gegnum allt, því öryggismælikvarðar eru útsettir fyrir hverja leikáhættu sem þessi bók lýsir, með samsvarandi hærri hagsmunum þegar sá leikur tekst.

Lykilmeginreglur

Tími-til-úrbóta eftir alvarleika skiptir meira máli en hrár veikleikafjöldi. Alvarlegt vandamál ólagað mánuðum saman er grundvallarlega ólík áhætta en sama vandamál gripið og lagað fljótt.
Öryggismælikvarðar eru útsettir fyrir sömu leikáhættu og stöðugreiningarniðurstöður (viðfangsefni 4.4), með hærri hagsmunum þegar leikur tekst.
Alvarleikaflokkun þarfnast ytri, staðlaðra viðmiða hvar sem mögulegt er, ekki eingöngu innri dómgreindar sem getur rekið í átt að mildi.
Veikleiki upplýstur og lagaður fljótt er merki um heilbrigt ferli, ekki bilun til að fela. Að refsa fyrir uppljóstrun letur tilkynningarnar sem allt þetta kerfi veltur á.
Öryggisskuld er flokkur tæknilegrar skuldar (viðfangsefni 4.5) og ætti að keppa um forgangsraðaða úrbótagetu á sama skýra, magnbundna grunni.

Ráðleggingar

Raktu tíma-til-úrbóta eftir alvarleika sem aðalmælikvarða

Fyrir sérhvern uppgötvaðan veikleika, skráðu alvarleika hans (með stöðluðum kvarða eins og Common Vulnerability Scoring System, CVSS, þar sem það á við) og raktu tímann frá uppgötvun til raunverulegra úrbóta, ekki til þess að miði er lokað eða lagfæring sameinuð en ekki enn afhent. Settu skýr úrbótatímamörk eftir alvarleika, algengt mæld í dögum fyrir alvarleg vandamál og vikum fyrir lægri alvarleika, og raktu samræmi við þau mörk sem aðalöryggisheilsumælikvarða, frekar en hráan, óvegin veikleikafjölda.

Notaðu staðlaða alvarleikaeinkunnagjöf frekar en eingöngu innri dómgreind

Þar sem staðlað ytra einkunnakerfi eins og CVSS er tiltækt, notaðu það sem aðalgrunn alvarleikaflokkunar frekar en að treysta alfarið á innri, hugsanlega ósamkvæma dómgreind. Þetta speglar flokkunaraga viðfangsefnis 5.1 á sloppnum göllum og atvikaflokkunaraga viðfangsefnis 6.2, beittan hér á öryggi sérstaklega, og það stenst sömu mildirekshættu og þau viðfangsefni vara við, því ytra fest einkunn er erfiðari að endurskilgreina hljóðlega niður á við en eingöngu innri.

Byggðu sannarlega óhefnandi veikleikauppljóstrunar- og innri tilkynningamenningu

Beittu sakleysiseftirárýnimeginreglu viðfangsefnis 6.2 beint á öryggi: verkfræðingur sem uppgötvar og tilkynnir veikleika sem hann kynnti, eða rannsakandi sem upplýsir ábyrgt um einn fundinn utan frá, ætti að vera meðhöndlaður sem veitandi verðmæta þjónustu, ekki sem játandi bilun. Að refsa fyrir uppljóstrun, innanhúss eða frá ytri rannsakendum, letur áreiðanlega einmitt tilkynningarnar sem allt veikleikastjórnunarkerfið veltur á, sem rekur raunverulega áhættu neðanjarðar frekar en inn í stýrt úrbótaferli.

Meðhöndlaðu öryggisskuld sem flokk innan tæknilega skuldabiðlistans þíns

Felldu þekkta, samþykkta-áhættu veikleika, þá sem vísvitandi hafa ekki enn verið lagaðir vegna keppandi forgangsröðunar, inn í sama sýnilega, magnbundna tæknilega skuldabiðlistann sem lýst er í viðfangsefni 4.5, með sama kostnaður-við-að-laga á móti kostnaður-við-að-bera römmun. Þetta kemur í veg fyrir að öryggisáhætta hverfi annaðhvort í ósýnilega, óskjalfesta „við vitum af því“ stöðu eða keppi ósanngjarnt við eiginleikavinnu án skýrra, magnbundinna raka fyrir forgangi sínum.

Sameinaðu veikleikamælikvarða við útsetningar- og nýtanleikasamhengi

Ekki ber sérhver veikleiki með sömu nafneinkunn sömu raunverulegu áhættu: alvarlegur veikleiki í innra tóli án ytri netútsetningar er ólík áhætta en sama nafnalvarleiki í internetsýnilegri þjónustu sem meðhöndlar viðskiptavinagögn. Þar sem mögulegt er, vegðu forgangsröðun eftir raunverulegu útsetningar- og nýtanleikasamhengi, ekki alvarleikaeinkunn einni, svo úrbótageta einbeitist að raunverulega áhættumestu atriðunum fyrst.

Málamiðlanir: kostir og gallar

Nálgun	Kostir	Gallar
Hrár veikleikafjöldi	Einfalt að skýra frá	Blandar saman léttvægum og alvarlegum vandamálum; auðleikið gegnum bælingu
Alvarleikavegin tími-til-úrbóta rakning	Endurspeglar raunverulega áhættuútsetningu yfir tíma	Krefst agaðrar, samkvæmrar flokkunar og rakningar
Eingöngu innri alvarleikadómgreind	Sveigjanleg, sniðin að samhengi	Hætt við mildireki og ósamkvæmni milli teyma
Stöðluð ytri einkunnagjöf (t.d. CVSS) auk samhengisvigtunar	Samkvæm, ytra fest, stenst leik	Krefst viðbótarsamhengisgreiningar fyrir sannarlega nákvæma forgangsröðun

Aðalspennan er samkvæmni á móti samhengi. Eingöngu stöðluð einkunnagjöf er samkvæm og stenst leik en getur misst af raunverulegu samhengi, útsetningu og nýtanleika, sem ræður raunverulegri áhættu; eingöngu samhengisbundin, innri dómgreind fangar blæbrigði en er hætt við sömu mildirekshættu og þessi bók varar við fyrir hvern annan flokkunarháðan mælikvarða. Leystu spennuna með því að festa á stöðluðu einkunnagjöfinni sem samkvæmum grunni, og beita síðan skjalfestri, endurskoðunarhæfri samhengisvigtun ofan á hana, frekar en annarri öfgunum einni.

Spurningar til að ræða með teyminu

Rekjum við tíma-til-úrbóta eftir alvarleika, eða aðeins hráan veikleikafjölda? Dragið fram raunverulegan núverandi mælikvarða ykkar og athugið hvort hann greinir alvarlegt vandamál ólagað mánuðum saman frá einu lagað innan dags, því hrár fjöldi meðhöndlar þessar mjög ólíkt áhættusömu aðstæður eins.
Notum við staðlað ytra alvarleikaeinkunnakerfi, eða treystir flokkun á eingöngu innri, hugsanlega ósamkvæma dómgreind? Ef eingöngu innri, ræðið hvað upptaka staðals eins og CVSS myndi breyta um núverandi flokkunarvenju ykkar.
Myndi verkfræðingur sem kynnti og tilkynnti síðan veikleika finnast það öruggt, eða óttast refsingu? Þetta er beina öryggissértæka útgáfan af sakleysismenningarspurningu viðfangsefnis 6.2, og heiðarlegt svar hér skiptir gífurlegu máli fyrir hvort veikleikagögn ykkar eru treystandi yfirleitt.
Höfum við sýnilegan, magnbundinn biðlista þekktra, samþykktra-áhættu veikleika, eða verður „við vitum af því“ staða hljóðlega ósýnileg og ómeðhöndluð yfir tíma? Athugið hvort öryggisskuld ykkar er rakin með sama strangleika og almenni tæknilegi skuldabiðlistinn ykkar (viðfangsefni 4.5).
Tekur úrbótaforgangsröðun okkar tillit til raunverulegrar útsetningar og nýtanleika, eða treystir hún eingöngu á nafnalvarleikaeinkunn óháð samhengi? Veljið raunverulegt dæmi þar sem tveir veikleikar með svipaðan nafnalvarleika báru mjög ólíka raunverulega áhættu, og ræðið hvort núverandi ferli ykkar hefði forgangsraðað þeim rétt.
Hefur alvarleikaflokkun veikleika nokkurn tímann rekið niður á við yfir tíma án skýrs rökstuðnings? Þetta speglar skilgreiningarleikmynstrið sem viðfangsefni 1.2 og viðfangsefni 6.2 vara bæði við; endurskoðið úrtak nýlegra flokkana ykkar fyrir þessa sértæku áhættu.

Geirasjónarhorn

Sprotafyrirtæki. Formleg veikleikastjórnunarferli eru oft óþörf mjög snemma, en að taka upp grunnsjálfvirka háðaskönnun og einfalda, heiðarlega innri tilkynningavenju frá upphafi kostar lítið og kemur í veg fyrir að öryggisskuld safnist ósýnilega áður en teymið hefur getu til að takast á við hana kerfisbundið.

Lítil fyrirtæki. Flestir nútíma þróunarvettvangar innihalda ókeypis eða ódýra sjálfvirka veikleikaskönnun fyrir háðir; virkjaðu þetta snemma og raktu tíma-til-úrbóta fyrir allt merkt sem alvarlegt, jafnvel án sérstakrar öryggisstarfsemi eða fágaðra tóla.

Stórfyrirtæki. Samkvæm, stöðluð alvarleikaeinkunnagjöf og sannarlega óhefnandi uppljóstrunarmenning eru báðar nauðsynlegar og báðar erfiðari að viðhalda í stórum mæli, þar sem ósamkvæmni yfir tugi teyma og menningarrek í átt að sakaleit eftir alvarlegt atvik eru stöðugar áhættur. Fjárfestu í sérstakri öryggisstjórnarháttastarfsemi til að viðhalda flokkunarsamkvæmni og vernda uppljóstrunarmenningu virkt.

Hið opinbera. Öryggismælikvarðar hér skarast oft beint við þjóðaröryggi, regluvörslu og almenningstraust, og alvarlegur, illa meðhöndlaður veikleiki getur haft afleiðingar langt umfram dæmigert einkageirabrot. Viðhaltu ströngri, ytra festri alvarleikaflokkun, verndaðu innri og ytri uppljóstrunarmenningu virkt, og meðhöndlaðu öryggisskuld með því gagnsæi og forgangsröðunarstrangleika sem þetta viðfangsefni mælir með, því óskjalfestur, hljóðlega samþykktur alvarlegur veikleiki í opinberum innviðum er sannarlega alvarleg, endurskoðunarhæf áhætta.

Dæmi

Stórfyrirtæki. Öryggisteymi hugbúnaðarfyrirtækis hafði árum saman skýrt aðeins frá hráum veikleikafjölda til forystu, tölu sem hafði verið flöt, sem gaf falska tilfinningu fyrir stöðugleika. Endurskoðuð alvarleikavegin, tími-til-úrbóta greining leiddi í ljós að þótt heildarfjöldinn væri flatur tóku alvarlegir veikleikar að meðaltali yfir níutíu daga að laga, langt umfram hvaða hæfileg mörk sem er, því þeir kepptu árangurslaust við eiginleikavinnu í hverri skipulagslotu án sérstakrar, varinnar getu. Að koma á föstu 7 daga úrbótamarki fyrir alvarlega veikleika, studdu af varinni öryggisskuldarúrbótagetu sem speglaði úthlutunarlíkan tæknilegrar skuldar úr viðfangsefni 4.5, kom meðalúrbótatíma alvarlegra veikleika niður í undir fimm daga innan tveggja ársfjórðunga.

Hið opinbera. Landsinnviðastofnun uppgötvaði, í kjölfar ytri öryggisúttektar, að innri verkfræðingar höfðu óformlega forðast að tilkynna veikleika sem þeir fundu í eigin kóða, í ótta við að það varpaði slæmu ljósi á frammistöðuyfirferðir þeirra, skýr hliðstæða við sökdrifna atvikavanskýrslumynstrið úr viðfangsefni 6.2. Stofnunin kom á skýrri, opinberlega kynntri stefnu sem verndar innri veikleikatilkynnendur frá nokkrum frammistöðuafleiðingum, mótaðri beint eftir sakleysisatvikaviðbragðsvenju, og innri veikleikatilkynningar hækkuðu verulega á næsta ári, niðurstaða sem forysta stofnunarinnar túlkaði rétt sem sönnun bættrar greiningar og heiðarlegrar tilkynningar, ekki sönnun hnignandi kóðagæða, sem forðaði hinni eðlilegu en röngu niðurstöðu að hækkandi tala hlyti að þýða að hlutir hefðu versnað.

Viðskiptarök: hvatar, ávöxtun fjárfestingar og heildareignarkostnaður

Ávöxtun af ströngri, vel flokkaðri, heiðarlega skýrðri veikleikastjórnun er forðaður brotakostnaður, sem fyrir alvarlegt öryggisatvik dvergar oft kostnað fyrirbyggjandi úrbóta margfalt, samhliða forðuðum reglugerðar-, samnings- og orðsporsskaða. Hugbúnaðarfyrirtækisdæmið hér að ofan sýnir sértæka vélbúnaðinn: öryggisskuld hafði hljóðlega tapað forgangsröðunarsamkeppni gegn eiginleikavinnu árum saman, einmitt mynstrið sem viðfangsefni 4.5 varar við fyrir tæknilega skuld almennt, þar til vernduð úrbótageta lagaði það beint.

Heildareignarkostnaður felur í sér sjálfvirk skönnunartól, vernduðu úrbótagetuna sem þetta viðfangsefni mælir með að úthluta, og viðvarandi menningarfjárfestingu í óhefnandi uppljóstrunarvenju. Sá kostnaður er hóflegur miðað við kostnað alvarlegs, með góðum árangri nýtts veikleika sem fyrirbyggjandi, vel forgangsraðaðar úrbætur hefðu gripið og lagað löngu áður en hann gat verið nýttur.

Andmynstur og gildrur

Að rekja aðeins hráan veikleikafjölda: blandar saman léttvægum og alvarlegum vandamálum og gefur falska tilfinningu fyrir stöðugleika eða kreppu óháð raunverulegri áhættu.
Eingöngu innri, óstöðluð alvarleikaflokkun: hætt við mildireki og ósamkvæmni milli teyma.
Að refsa fyrir veikleikauppljóstrun, innri eða ytri: rekur raunverulega áhættu neðanjarðar frekar en inn í stýrt úrbótaferli.
Öryggisskuld án sýnilegs, magnbundins biðlista: tapar forgangsröðunarsamkeppni gegn eiginleikavinnu sjálfgefið.
Að forgangsraða eftir nafnalvarleikaeinkunn einni, hunsandi útsetningar- og nýtanleikasamhengi: beinir takmarkaðri úrbótagetu á villigötur.
Að túlka hækkandi fjölda veikleikatilkynninga sem sönnun hnignandi gæða án þess að athuga hvort tilkynning sjálf batnaði: sértækt tilvik truflunarbreytugildru viðfangsefnis 1.6.

Þroskalíkan

Stig 1, Upphaf: Veikleikar eru raktir, ef yfirleitt, sem hrár fjöldi án alvarleikavigtunar, án úrbótatímarakningar og með refsimenningu um uppljóstrun.
Stig 2, Þróun: Einhver alvarleikaflokkun er til, en staðlar eru ósamkvæmir og úrbótatími er ekki rakinn gegn skýrum mörkum.
Stig 3, Stöðlun: Stöðluð, ytra fest alvarleikaeinkunnagjöf og skýr úrbótatímamörk eftir alvarleika eru beitt samkvæmt, með sannarlega óhefnandi uppljóstrunarmenningu.
Stig 4, Stjórnun: Öryggisskuld er rakin í sýnilegum, magnbundnum biðlista með varinni úrbótagetu; forgangsröðun tekur tillit til útsetningar og nýtanleikasamhengis, ekki alvarleika einum.
Stig 5, Samhæfing: Skipulagsheildin getur bent á tilteknar, mælanlegar lækkanir á úrbótatíma alvarlegra veikleika og getur sýnt fram á viðvarandi, treysta uppljóstrunarmenningu sem framleiðir heiðarleg, yfirgripsmikil veikleikagögn.

Hugmyndir til umræðu

Hver er núverandi meðaltími-til-úrbóta okkar fyrir alvarlega veikleika, og uppfyllir hann skýrt mark?
Myndi verkfræðingur sem kynnti veikleika finnast öruggt að tilkynna hann sjálfur?
Höfum við sýnilegan, magnbundinn biðlista þekktrar, samþykktrar-áhættu öryggisskuldar?
Tekur úrbótaforgangsröðun okkar tillit til raunverulegrar útsetningar, eða aðeins nafnalvarleika?
Hefur alvarleikaflokkun nokkurn tímann rekið niður á við yfir tíma án skýrs rökstuðnings?

Helstu atriði til að muna

Raktu tíma-til-úrbóta eftir alvarleika, ekki hráan veikleikafjölda, sem aðalöryggisheilsumælikvarða.
Notaðu staðlaða ytra alvarleikaeinkunnagjöf (svo sem CVSS) sem samkvæman grunn, ónæman fyrir mildirekshættunni sem eingöngu innri dómgreind býður.
Byggðu sannarlega óhefnandi uppljóstrunarmenningu; að refsa fyrir tilkynningar rekur raunverulega áhættu neðanjarðar.
Meðhöndlaðu öryggisskuld sem flokk tæknilegrar skuldar (viðfangsefni 4.5), sem keppir sanngjarnt um verndaða úrbótagetu.
Vegðu forgangsröðun eftir raunverulegri útsetningu og nýtanleika, ekki alvarleikaeinkunn einni.

Heimildir og frekara lesefni

Forskrift FIRST.org um Common Vulnerability Scoring System (CVSS): staðlaði alvarleikaeinkunnarrammi sem vísað er til í gegnum þetta viðfangsefni.
Úrræði OWASP Foundation um veikleikastjórnun og öruggan hugbúnaðarþróunarlífsferil.
Site Reliability Engineering: How Google Runs Production Systems, ritstýrt af Betsy Beyer, Chris Jones, Jennifer Petoff og Niall Richard Murphy (sakleysismenningarmeginreglurnar sem þetta viðfangsefni beitir á öryggisuppljóstrun).
NIST Special Publication 800-40, Guide to Enterprise Patch Management Planning: áreiðanlegar leiðbeiningar um veikleikaúrbótavenju.