6.4 Vipimo vya usalama na usimamizi wa udhaifu

Muhtasari na msukumo

Mada hii inafunga Sehemu ya 6 kwa kupanua nidhamu ileile ya kutegemewa ambayo sehemu hii imejenga, kuweka malengo, kuoanisha vizuizi, kuripoti matukio kwa uaminifu, kwa hatari tofauti lakini inayohusiana kwa karibu: si kama mfumo unashindwa wenyewe, bali kama mtu analifanya lishindwe, au analitumia vibaya, kwa makusudi. Vipimo vya usimamizi wa udhaifu vinapima shirika linavyopata na kurekebisha udhaifu wa usalama kabla haujatumiwa vibaya: ni udhaifu mwingi kiasi gani upo, ni mkali kiasi gani, na muhimu zaidi, unarekebishwa kwa kasi gani baada ya kugunduliwa, kwa kuwa udhaifu unaojulikana lakini usiorekebishwa ni hatari ya kudumu, inayopimika ambayo shirika limechagua kuibeba, iwe kwa makusudi au kwa kupuuza.

Wasiwasi mkuu wa mada hii unalingana moja kwa moja na matibabu ya mada ya 4.4 ya matokeo ya uchambuzi tuli: hesabu ghafi ya udhaifu ni kipimo duni, inachanganya masuala madogo na muhimu, na iko wazi kwa hatari zilezile za kuchezea, kupunguza ufafanuzi, kukandamiza, na kuchezea vizingiti, ambazo mada ya 1.2 inaeleza kwa jumla. Nyongeza mahususi ambayo vipimo vya usalama vinahitaji ni muda-wa-kurekebisha unaofuatiliwa dhidi ya ukali, kwa kuwa udhaifu muhimu ukikaa bila kurekebishwa kwa miezi unawakilisha hatari tofauti kabisa na udhaifu ule ule uliokamatwa na kurekebishwa ndani ya siku moja, taarifa ambayo hesabu rahisi peke yake haiwezi kuwasilisha.

Kwa timu kubwa, vipimo vya usalama vinabeba matokeo yanayozidi hatari ya haraka ya kiufundi: mashirika ya biashara kubwa yanakabili mfichuo wa kimkataba na wa sifa kutokana na uvunjaji, na mashirika ya serikali yanakabili matokeo ya usalama wa taifa, ya kisheria, na ya imani ya umma yanayofanya vipimo vya usalama kuwa suala la maslahi halisi ya umma, si wasiwasi wa ndani wa uhandisi tu. Mada hii inachukulia usimamizi wa udhaifu kwa ukali ule ule na nidhamu ile ile ya kuoanisha vizuizi ambayo kitabu hiki kinatumia kote, kwa sababu vipimo vya usalama viko wazi kwa kila hatari ya kuchezea ambayo kitabu hiki kinaeleza, na hatari kubwa zaidi sambamba kuchezea huko kunapofanikiwa.

Kanuni kuu

Muda-wa-kurekebisha kwa ukali ni muhimu zaidi kuliko hesabu ghafi ya udhaifu. Suala muhimu lisilorekebishwa kwa miezi ni hatari tofauti kabisa na suala lilelile lililokamatwa na kurekebishwa haraka.
Vipimo vya usalama viko wazi kwa hatari zilezile za kuchezea kama matokeo ya uchambuzi tuli (mada ya 4.4), na hatari kubwa zaidi kuchezea kunapofanikiwa.
Uainishaji wa ukali unahitaji vigezo vya nje, vilivyosawazishwa pale inapowezekana, si uamuzi wa ndani tu unaoweza kuelekea ulegevu.
Udhaifu uliofichuliwa na kurekebishwa haraka ni ishara ya mchakato wenye afya, si kushindwa kuficha. Kuadhibu ufichuzi kunakatisha tamaa kuripoti ambako mfumo huu wote unategemea.
Deni la usalama ni aina ya deni la kiufundi (mada ya 4.5) na linapaswa kushindania uwezo wa kurekebisha uliopewa kipaumbele kwa msingi ule ule wazi, uliopimwa.

Mapendekezo

Fuatilia muda-wa-kurekebisha kwa ukali kama kipimo cha msingi

Kwa kila udhaifu uliogunduliwa, rekodi ukali wake (ukitumia kipimo kilichosawazishwa kama Common Vulnerability Scoring System, CVSS, pale inapofaa) na ufuatilie muda kutoka ugunduzi hadi kurekebishwa kwa kweli, si hadi tiketi ifungwe au marekebisho yaunganishwe lakini bado hayajasambazwa. Weka malengo wazi ya muda wa kurekebisha kwa ukali, yanayopimwa kwa kawaida kwa siku kwa masuala muhimu na wiki kwa ya ukali wa chini, na ufuatilie utiifu dhidi ya malengo hayo kama kipimo cha msingi cha afya ya usalama, badala ya hesabu ghafi isiyopimwa ya udhaifu.

Tumia upimaji wa ukali uliosawazishwa badala ya uamuzi wa ndani tu

Pale mfumo wa nje uliosawazishwa wa upimaji kama CVSS unapopatikana, utumie kama msingi wa uainishaji wa ukali badala ya kutegemea kabisa uamuzi wa ndani, usio thabiti kwa uwezekano. Hii inaakisi nidhamu ya uainishaji wa kasoro zilizotoroka ya mada ya 5.1 na nidhamu ya uainishaji wa matukio ya mada ya 6.2, ikitumika hapa kwa usalama mahususi, na inapinga hatari ileile ya mkengeuko wa ulegevu ambayo mada hizo zinaonya dhidi yake, kwa kuwa alama iliyosimikwa nje ni ngumu zaidi kufafanua upya kimyakimya kuelekea chini kuliko ya ndani tu.

Jenga utamaduni wa ufichuzi wa udhaifu na kuripoti ndani usio wa adhabu kweli

Tumia kanuni ya uchambuzi wa baada ya tukio usio na lawama ya mada ya 6.2 moja kwa moja kwa usalama: mhandisi anayegundua na kuripoti udhaifu alioutambulisha, au mtafiti anayeufichua kwa uwajibikaji aliougundua nje, anapaswa kuchukuliwa kama anayetoa huduma ya thamani, si anayekiri kushindwa. Kuadhibu ufichuzi, ndani au kutoka kwa watafiti wa nje, kwa uhakika kunakatisha tamaa kuripoti kule kule ambako mfumo mzima wa usimamizi wa udhaifu unategemea, kukisukuma hatari halisi chini ya ardhi badala ya kuelekea mchakato unaosimamiwa wa kurekebisha.

Chukulia deni la usalama kama aina ndani ya orodha yako ya deni la kiufundi

Jumuisha udhaifu unaojulikana wenye hatari iliyokubaliwa, ule ambao makusudi haujarekebishwa bado kutokana na vipaumbele vinavyoshindana, katika orodha ileile inayoonekana, iliyopimwa ya deni la kiufundi iliyoelezwa katika mada ya 4.5, kwa fremu ileile ya gharama-ya-kurekebisha dhidi ya gharama-ya-kubeba. Hii inazuia hatari ya usalama kutoweka katika hadhi isiyoonekana, isiyoandikwa ya “tunalijua” au kushindana isivyo haki dhidi ya kazi ya vipengele bila hoja wazi, iliyopimwa ya kipaumbele chake.

Unganisha vipimo vya udhaifu na muktadha wa mfichuo na uwezekano wa kutumiwa vibaya

Si kila udhaifu wenye alama ileile ya kawaida ya ukali unabeba hatari ileile halisi: udhaifu muhimu katika zana ya ndani isiyo na mfichuo wa mtandao wa nje ni hatari tofauti na ukali ule ule wa kawaida katika huduma inayoelekea mtandaoni inayoshughulikia data ya wateja. Pale inapowezekana, pima kipaumbele kwa mfichuo halisi na muktadha wa uwezekano wa kutumiwa vibaya, si alama ya ukali peke yake, ili uwezo wa kurekebisha uelekee kwanza vitu vyenye hatari kubwa zaidi kweli.

Mabadilishano: faida na hasara

Mbinu	Faida	Hasara
Hesabu ghafi ya udhaifu	Rahisi kuripoti	Inachanganya masuala madogo na muhimu; inachezeka kwa urahisi kupitia ukandamizaji
Ufuatiliaji wa muda-wa-kurekebisha uliopimwa kwa ukali	Inaakisi mfichuo halisi wa hatari kwa muda	Inahitaji uainishaji na ufuatiliaji wenye nidhamu, thabiti
Uamuzi wa ndani tu wa ukali	Unaobadilika, uliorekebishwa kwa muktadha	Unaelekea mkengeuko wa ulegevu na kutokuwa thabiti kuvuka timu
Upimaji wa nje uliosawazishwa (k.m., CVSS) pamoja na kupima muktadha	Thabiti, uliosimikwa nje, unapinga kuchezea	Unahitaji uchambuzi wa ziada wa muktadha kwa kupa kipaumbele kwa usahihi kweli

Mvutano wa kati ni uthabiti dhidi ya muktadha. Mbinu ya upimaji uliosawazishwa kabisa ni thabiti na inapinga kuchezea lakini inaweza kukosa muktadha halisi, mfichuo na uwezekano wa kutumiwa vibaya, unaoamua hatari halisi; mbinu ya kimuktadha kabisa, iliyoamuliwa ndani, inanasa nuance lakini inaelekea hatari ileile ya mkengeuko wa ulegevu ambayo kitabu hiki kinaonya dhidi yake kwa kila kipimo kingine kinachotegemea uainishaji. Litatue mvutano kwa kusimika kwenye upimaji uliosawazishwa kama msingi thabiti, kisha kutumia kupima muktadha kulikoandikwa, kunakokaguliwa juu yake, badala ya kila kituo peke yake.

Maswali ya kujadili na timu yako

Je, tunafuatilia muda-wa-kurekebisha kwa ukali, au hesabu ghafi ya udhaifu tu? Vuta kipimo chenu halisi cha sasa na ukague kama kinatofautisha suala muhimu lililokaa bila kurekebishwa kwa miezi na lile lililorekebishwa ndani ya siku moja, kwa kuwa hesabu ghafi inachukulia hali hizi zenye hatari tofauti sana kwa usawa.
Je, tunatumia mfumo wa nje uliosawazishwa wa kupima ukali, au uainishaji unategemea uamuzi wa ndani tu, usio thabiti kwa uwezekano? Ikiwa wa ndani tu, jadilini kupokea kiwango kama CVSS kungebadilisha nini katika mazoea yenu ya sasa ya uainishaji.
Je, mhandisi aliyeleta na kisha kuripoti udhaifu angehisi salama kufanya hivyo, au angeogopa adhabu? Hili ni toleo mahususi la usalama la swali la utamaduni usio na lawama la mada ya 6.2, na jibu la uaminifu hapa ni muhimu sana kwa kama data yenu ya udhaifu inaweza kuaminika kabisa.
Je, tuna orodha inayoonekana, iliyopimwa ya udhaifu unaojulikana wenye hatari iliyokubaliwa, au hadhi ya “tunalijua” inakuwa kimyakimya isiyoonekana na isiyoshughulikiwa kwa muda? Kagua kama deni lenu la usalama linafuatiliwa kwa ukali ule ule kama orodha yenu ya jumla ya deni la kiufundi (mada ya 4.5).
Je, upangaji wetu wa kipaumbele cha kurekebisha unazingatia mfichuo halisi na uwezekano wa kutumiwa vibaya, au unategemea tu alama ya kawaida ya ukali bila kujali muktadha? Chagua mfano halisi ambapo udhaifu mbili zenye ukali sawa wa kawaida zilibeba hatari halisi tofauti sana, na ujadili kama mchakato wenu wa sasa ungezipa kipaumbele ipasavyo.
Je, uainishaji wa ukali wa udhaifu umewahi kuelekea chini kwa muda bila uhalalisho wazi? Hii inaakisi mtindo wa kuchezea ufafanuzi ambao mada ya 1.2 na mada ya 6.2 zote zinaonya dhidi yake; kagua sampuli ya uainishaji wenu wa hivi karibuni kwa hatari hii mahususi.

Mtazamo wa sekta

Kampuni changa. Michakato rasmi ya usimamizi wa udhaifu mara nyingi si ya lazima mapema sana, lakini kupokea uchanganuzi wa msingi wa kiotomatiki wa kutegemea na kanuni rahisi, ya uaminifu ya kuripoti ndani tangu mwanzo kunagharimu kidogo na kunazuia deni la usalama kujilimbikiza bila kuonekana kabla timu haijapata uwezo wa kulishughulikia kimfumo.

Biashara ndogo. Majukwaa mengi ya kisasa ya uendelezaji yanajumuisha uchanganuzi wa kiotomatiki wa udhaifu wa bure au wa gharama ya chini kwa kutegemea; uwashe mapema na ufuatilie muda-wa-kurekebisha kwa chochote kilichoalamishwa kuwa muhimu, hata bila kazi maalum ya usalama au zana za kisasa.

Biashara kubwa. Upimaji thabiti, uliosawazishwa wa ukali na utamaduni wa ufichuzi usio wa adhabu kweli vyote ni muhimu na vyote ni vigumu zaidi kudumisha kwa ukubwa, ambapo kutokuwa thabiti kuvuka timu nyingi na mkengeuko wa kiutamaduni kuelekea kutafuta lawama baada ya tukio zito ni hatari za kudumu. Wekeza katika kazi maalum ya utawala wa usalama kudumisha uthabiti wa uainishaji na kulinda utamaduni wa ufichuzi kikamilifu.

Serikali. Vipimo vya usalama hapa mara nyingi huingiliana moja kwa moja na usalama wa taifa, utii wa udhibiti, na imani ya umma, na udhaifu mzito uliosimamiwa vibaya unaweza kuwa na matokeo yanayozidi uvunjaji wa kawaida wa sekta binafsi. Dumisha uainishaji mkali wa ukali uliosimikwa nje, linda utamaduni wa ufichuzi wa ndani na nje kikamilifu, na ushughulikie deni la usalama kwa uwazi na ukali wa kupa kipaumbele ambao mada hii inapendekeza, kwa kuwa udhaifu muhimu usioandikwa, uliokubaliwa kimyakimya katika miundombinu ya umma ni hatari ya kweli, nzito, inayokaguliwa.

Mifano

Biashara kubwa. Timu ya usalama ya kampuni ya programu ilikuwa, kwa miaka, ikiripoti hesabu ghafi ya udhaifu tu kwa uongozi, namba ambayo ilikuwa ikibaki sawa, ikitoa hisia ya uongo ya uthabiti. Uchambuzi uliorekebishwa wa muda-wa-kurekebisha uliopimwa kwa ukali ulifichua kwamba ingawa jumla ya hesabu ilikuwa sawa, udhaifu muhimu ulikuwa ukichukua wastani wa zaidi ya siku tisini kurekebishwa, mbali zaidi ya lengo lolote la busara, kwa sababu ulikuwa ukishindana bila mafanikio dhidi ya kazi ya vipengele katika kila mzunguko wa upangaji bila uwezo maalum, uliolindwa. Kuanzisha lengo kali la siku 7 la kurekebisha kwa udhaifu muhimu, likiungwa mkono na uwezo uliolindwa wa kurekebisha deni la usalama ukiakisi kielelezo cha ugawaji wa deni la kiufundi cha mada ya 4.5, kulishusha wastani wa muda wa kurekebisha udhaifu muhimu hadi chini ya siku tano ndani ya robo mbili.

Serikali. Wakala wa miundombinu ya taifa uligundua, kufuatia ukaguzi wa nje wa usalama, kwamba wahandisi wa ndani walikuwa wakiepuka bila rasmi kuripoti udhaifu waliougundua katika msimbo wao wenyewe, wakiogopa ungeakisi vibaya katika tathmini zao za utendaji, mfanano wazi na mtindo wa kuripoti matukio kidogo unaoendeshwa na lawama wa mada ya 6.2. Wakala ulianzisha sera wazi, iliyowasilishwa hadharani ya kuwalinda waripoti wa ndani wa udhaifu dhidi ya matokeo yoyote ya utendaji, iliyoigwa moja kwa moja kutoka mazoea ya mwitikio wa tukio bila lawama, na ripoti za ndani za udhaifu ziliongezeka kwa kiasi kikubwa ndani ya mwaka uliofuata, matokeo ambayo uongozi wa wakala ulitafsiri kwa usahihi kama ushahidi wa ugunduzi ulioboreshwa na kuripoti kwa uaminifu, si ushahidi wa kushuka kwa ubora wa msimbo, ukiepuka hitimisho la asili lakini potofu kwamba namba inayopanda lazima ina maana mambo yamekuwa mabaya zaidi.

Kesi ya biashara: sababu, ROI, na TCO

Faida ya usimamizi wa udhaifu mkali, ulioainishwa vizuri, unaoripotiwa kwa uaminifu ni kuepuka gharama ya uvunjaji, ambayo kwa tukio zito la usalama mara nyingi inazidi gharama ya kurekebisha mapema mara nyingi, pamoja na kuepuka uharibifu wa kidhibiti, wa kimkataba, na wa sifa. Mfano wa kampuni ya programu hapo juu unaonyesha utaratibu mahususi: deni la usalama lilikuwa likipoteza shindano la kupa kipaumbele dhidi ya kazi ya vipengele kimyakimya kwa miaka, hasa mtindo ambao mada ya 4.5 inaonya dhidi yake kwa deni la kiufundi kwa jumla, hadi uwezo uliolindwa wa kurekebisha ulipoutatua moja kwa moja.

Jumla ya gharama ya umiliki inajumuisha zana za uchanganuzi wa kiotomatiki, uwezo uliolindwa wa kurekebisha ambao mada hii inapendekeza kuugawa, na uwekezaji endelevu wa kiutamaduni katika mazoea ya ufichuzi yasiyo ya adhabu. Gharama hiyo ni ya wastani ikilinganishwa na gharama ya udhaifu mzito uliotumiwa vibaya kwa mafanikio ambao urekebishaji wa mapema, uliopewa kipaumbele vizuri ungeukamata na kuurekebisha muda mrefu kabla haujaweza kutumiwa vibaya.

Mifumo mibaya na mitego

Kufuatilia hesabu ghafi ya udhaifu tu: huchanganya masuala madogo na muhimu na kutoa hisia ya uongo ya uthabiti au mgogoro bila kujali hatari halisi.
Uainishaji wa ukali wa ndani tu, usiosawazishwa: unaelekea mkengeuko wa ulegevu na kutokuwa thabiti kuvuka timu.
Kuadhibu ufichuzi wa udhaifu, wa ndani au wa nje: husukuma hatari halisi chini ya ardhi badala ya kuelekea mchakato unaosimamiwa wa kurekebisha.
Deni la usalama lisilo na orodha inayoonekana, iliyopimwa: hupoteza shindano la kupa kipaumbele dhidi ya kazi ya vipengele kwa chaguo-msingi.
Kupa kipaumbele kwa alama ya kawaida ya ukali peke yake, ukipuuza muktadha wa mfichuo na uwezekano wa kutumiwa vibaya: huelekeza vibaya uwezo mdogo wa kurekebisha.
Kutafsiri hesabu inayopanda ya ripoti za udhaifu kama ushahidi wa kushuka kwa ubora bila kukagua kama kuripoti chenyewe kuliboreka: mfano mahususi wa mtego wa kigezo kinachochanganya wa mada ya 1.6.

Kielelezo cha ukomavu

Ngazi ya 1, Kuanzisha: Udhaifu unafuatiliwa, ikiwa unafuatiliwa, kama hesabu ghafi bila kupima ukali, bila ufuatiliaji wa muda wa kurekebisha, na utamaduni wa ufichuzi wa adhabu.
Ngazi ya 2, Kuendeleza: Uainishaji fulani wa ukali upo, lakini viwango havina uthabiti na muda wa kurekebisha haufuatiliwi dhidi ya malengo wazi.
Ngazi ya 3, Kusawazisha: Upimaji wa ukali uliosawazishwa, uliosimikwa nje na malengo wazi ya muda wa kurekebisha kwa ukali yanatumika kwa uthabiti, pamoja na utamaduni wa ufichuzi usio wa adhabu kweli.
Ngazi ya 4, Kusimamia: Deni la usalama linafuatiliwa katika orodha inayoonekana, iliyopimwa yenye uwezo uliolindwa wa kurekebisha; upangaji wa kipaumbele unazingatia muktadha wa mfichuo na uwezekano wa kutumiwa vibaya, si ukali peke yake.
Ngazi ya 5, Kuratibu: Shirika linaweza kuonyesha upunguzaji mahususi, unaopimika wa muda wa kurekebisha udhaifu muhimu na linaweza kuonyesha utamaduni endelevu, unaoaminika wa ufichuzi unaozalisha data ya udhaifu ya uaminifu, kamili.

Mawazo ya kujadili

Wastani wetu wa sasa wa muda-wa-kurekebisha kwa udhaifu muhimu ni upi, na je, unafikia lengo wazi?
Je, mhandisi aliyeleta udhaifu angehisi salama kuuripoti mwenyewe?
Je, tuna orodha inayoonekana, iliyopimwa ya deni la usalama lenye hatari iliyokubaliwa?
Je, upangaji wetu wa kipaumbele cha kurekebisha unazingatia mfichuo halisi, au ukali wa kawaida tu?
Je, uainishaji wa ukali umewahi kuelekea chini kwa muda bila uhalalisho wazi?

Mambo muhimu ya kukumbuka

Fuatilia muda-wa-kurekebisha kwa ukali, si hesabu ghafi ya udhaifu, kama kipimo cha msingi cha afya ya usalama.
Tumia upimaji wa ukali wa nje uliosawazishwa (kama CVSS) kama msingi thabiti, unaopinga hatari ya mkengeuko wa ulegevu ambayo uamuzi wa ndani tu unaalika.
Jenga utamaduni wa ufichuzi usio wa adhabu kweli; kuadhibu kuripoti kunasukuma hatari halisi chini ya ardhi.
Chukulia deni la usalama kama aina ya deni la kiufundi (mada ya 4.5), likishindania kwa haki uwezo uliolindwa wa kurekebisha.
Pima upangaji wa kipaumbele kwa mfichuo halisi na uwezekano wa kutumiwa vibaya, si alama ya ukali peke yake.

Marejeo na usomaji zaidi

Vipimo vya Common Vulnerability Scoring System (CVSS) vya FIRST.org: mfumo uliosawazishwa wa upimaji wa ukali unaotajwa kote katika mada hii.
Rasilimali za OWASP Foundation kuhusu usimamizi wa udhaifu na mazoea salama ya mzunguko wa maisha ya uendelezaji wa programu.
Site Reliability Engineering: How Google Runs Production Systems, na Betsy Beyer, Chris Jones, Jennifer Petoff, na Niall Richard Murphy, wahariri (kanuni za utamaduni usio na lawama ambazo mada hii inatumia kwa ufichuzi wa usalama).
NIST Special Publication 800-40, Guide to Enterprise Patch Management Planning: mwongozo wenye mamlaka kuhusu mazoea ya kurekebisha udhaifu.