SÉRÜLÉKENYSÉG VIZSGÁLAT ÉS MENEDZSMENT

Modern világunk technikai fejlődésével lépést tartani egyetlen szervezet informatikai csapatának sem egyszerű feladat. 

Nem csupán folyamatosan felkészültnek kell lenni, de a biztonságos üzemeltetéshez egyre több tényezőt kell figyelembe venni: 

• IoT (a dolgok Internete) terjedése, minden mindennel kapcsolatban van, kapcsolatban lehet. 
• A rendszerek egyre nagyobbá, komplexebbé válnak. 
• Az informatika mára már infokommunikációvá vált és a mindennapi életben szinte minden területen meghatározó tényező lett. 
• Új, eddig nem ismert megoldások, szolgáltatások jelennek meg. 
• A rohanó világ a fejlesztésre is rányomta a bélyegét. A fejlesztők között is folyamatos verseny folyik, hogy ki tud gyorsabban és olcsóbban előállítani egy terméket.  
• Az új rendszerek új kihívásokat jelentenek a felhasználóknak, a fejlesztőknek, az üzemeltetőknek egyaránt. 
• Az új rendszerek új lehetőségeket nyújtanak a támadóknak, de nem csak az új rendszereken, hanem a már meglévő régieken is. 
• Az informatika tradicionálisan egy bizalmi szakma. Az évek folyamán azonban kulcsszerepet kapott a szervezetek legtöbb folyamatában, így a szerveztek részéről – joggal – felmerült az informatika ellenőrzésének az igénye. Erre a szakértői ellenőrzésre is megoldást kínálhat a sérülékenység menedzsment. 

Rés a pajzson – technikai sérülékenység

A kibertámadások célja és módja sokféle lehet. Közös bennük az, hogy valahogyan be kell jutni a rendszerbe, hogy a kívánt célt megvalósíthassák. Ehhez rést kell találni a védelemben.
A legegyszerűbb – és egyben a leggyakoribb is – azon rések megtalálása, amelyeket már ismertek, amelyeket már publikáltak. Ezt a támadók is jól tudják, és előszeretettel használják is idegen rendszerekbe történő bejutásra, azokban történő mozgásra. Az ilyen esetek megelőzhetők. A sérülékenységeket mihamarabb fel kell ismerni, és azokat be kell foltozni. Ebben segít a sérülékenység vizsgálat és a sérülékenység menedzsment.  

Sérülékenység vizsgálat

A sérülékenység vizsgálat egy tevékenység, amely vagy folyamatosan – monitorozó jelleggel – vagy pedig időszakosan (jellemzően havonta) kerül elvégzésre előre egyeztetett és tervezett módon és időpontban.
A sérülékenység vizsgálat célja az, hogy az ismert technikai réseket, sérülékenységeket megtaláljuk még az előtt, hogy azokat a támadók találnák meg és használnák ki. Az infokommunikációs rendszerről különböző módon begyűjtött technikai adatok kiértékelésre kerülnek az ismert sérülékenységek azonosítása céljából.  

A sérülékenységet vizsgáló szakember számos eszközt használhat az adatok összegyűjtésére és kiértékelésére. Ezek lehetnek automatizált eszközök, amelyeket helyileg, vagy felhőben futtathatnak; de lehetnek manuális módszerek is. A sérülékenység vizsgálat eredménye a sérülékenységek listája.
A sérülékenység vizsgálat kimenete a sérülékenység menedzsment egyik legfontosabb bemenete.

Sérülékenység menedzsment

A sérülékenység menedzsment nem egy projekt, aminek kezdete és vége van.
A sérülékenység menedzsment egy szakértői támogató tevékenység, amely biztosítja, hogy a szervezet rendszerei folyamatos monitorozás és korrigálás alatt álljanak.
A folyamat célja, hogy a szervezet rendszereit folyamatosan a lehető legbiztonságosabban tartsa az állandóan változó körülmények ellenére. A sérülékenység menedzsment legfontosabb bemenete az ide vonatkozó publikációk követése és a sérülékenység vizsgálat eredményei.
A sérülékenység vizsgálat eredményei a sérülékenység menedzsment keretében a szervezeti viszonyokat is figyelembe véve priorizálásra és a szervezettel együtt működve kezelésre kerülnek.

Etikus hekkelés

Az etikus hekkelés egy olyan, a megrendelővel előre(!) egyeztetett tevékenység, ahol a szakember nem elégszik meg a potenciális lehetőségek listázásával, hanem egy vagy több etikus hekker segítségével és szakértelmével megpróbál bejutni a megrendelő saját(!) informatikai rendszerbe és/vagy kibővíteni a meglévő jogosultságait. Ennek módját és a talált vagyonelemeket alaposan dokumentálja, hogy azok felhasználhatóak legyenek a hibák kijavítására.
Az etikus hekkelés eredménye a sikeres bejutás vagy jogosultság kibővítés ténye és módja. Ezen dokumentáció szintén a sérülékenység menedzsment egy fontos bemenete.

Konklúzió

Az infokommunikációs rendszerek rohamos fejlődésének következtében sok új lehetőség tárul a vállalatok elé, ám mindezek mellett megjelennek az új sérülékenységek is.
Ahhoz, hogy egy rendszer megfelelően tudjon működni és ne akkor szembesüljön egy vállalat a problémával, mikor már megtörtént a baj, elengedhetetlen, hogy rendszeresen/ütemezetten végezzenek sérülékenység vizsgálatot a vállalatuknál, amely segít elkerülni/megelőzni a káreseteket és biztosítja a rendszer megfelelő működését, ezáltal megpróbálva a rendszer adta lehetőségeket maximálisan kihasználni.