首席信息安全官要向企業(yè)員工宣傳掌握安全基礎(chǔ)的必要性，他們在努力建立一個穩(wěn)健的漏洞管理計劃。其計劃可能會因需要關(guān)注的漏洞數(shù)量、解決漏洞所需的速度或有效所需的資源而受到阻礙。

例如，考慮一下安全團(tuán)隊在解決Log4j漏洞方面所面臨的挑戰(zhàn)。由經(jīng)過認(rèn)證的網(wǎng)絡(luò)安全專業(yè)人員組成的非營利性協(xié)會(ISC)2最近的一項調(diào)查發(fā)現(xiàn)，52%的受訪者花費數(shù)周或一個月以上的時間來修復(fù)Log4j漏洞。

誠然，Log4j漏洞的影響范圍很大，但安全專家表示，這一數(shù)字以及其他研究和他們自己的調(diào)查表明，許多企業(yè)仍在完善他們用來識別、確定優(yōu)先級和修復(fù)軟件中的安全問題的流程。

以下一些最佳實踐有助于構(gòu)建高效的漏洞管理計劃：

1.了解自己的環(huán)境

安全專家強調(diào)，首席信息安全官需要準(zhǔn)確了解他們需要保護(hù)的技術(shù)環(huán)境;這有助于他們了解他們的技術(shù)堆棧中是否存在已知和新發(fā)現(xiàn)的漏洞。

然而，這說起來容易做起來難。網(wǎng)絡(luò)安全培訓(xùn)機(jī)構(gòu)SANS Institute公司的認(rèn)證講師、安全技術(shù)商Scythe公司的首席技術(shù)官以及C2 Matrix項目的共同創(chuàng)建者Jorge Orchiles說，“每個人都說他們有安全措施，但通常需要更深入一點。他們不知道幕后發(fā)生了什么。這仍然是最大的挑戰(zhàn)。”

他說，已經(jīng)看到成熟的安全操作占其環(huán)境的主要組成部分，但卻忽略了較小的元素和代碼本身，這種疏忽可能留下了未修補的關(guān)鍵漏洞。

Orchiles建議網(wǎng)絡(luò)安全領(lǐng)導(dǎo)者確保他們擁有技術(shù)環(huán)境的詳細(xì)記錄，其中包括編程庫等所有組件(事實證明，這些組件對于修補Log4j漏洞的企業(yè)至關(guān)重要)。此外，每當(dāng)推出一個新系統(tǒng)時，首席信息安全官帶來的團(tuán)隊必須不斷地更新該記錄。

2.制定一個真正的計劃(不僅僅是臨時工作)

掃描漏洞并修復(fù)出現(xiàn)的任何漏洞似乎足夠了，但安全專家表示，臨時方法既低效又不充分。例如，安全團(tuán)隊花費寶貴的時間修補對其企業(yè)構(gòu)成有限威脅的漏洞，而不是優(yōu)先考慮高風(fēng)險問題。或者他們忙于完成其他項目并推遲漏洞管理工作，直到他們有空閑的時間。

TCE Strategy公司首席執(zhí)行官Bryce Austin表示，為了防止這種情況發(fā)生，首席信息安全官應(yīng)該采用程序化方法進(jìn)行漏洞管理，該方法結(jié)合了企業(yè)對風(fēng)險的容忍度以及確定優(yōu)先級、補救和緩解已識別漏洞的流程。

該計劃還應(yīng)確定企業(yè)執(zhí)行漏洞掃描的頻率，并應(yīng)包括與供應(yīng)商補丁發(fā)布日期相關(guān)的時間表。

咨詢機(jī)構(gòu)Protiviti公司的技術(shù)風(fēng)險、IT審計和網(wǎng)絡(luò)安全服務(wù)董事總經(jīng)理兼ISACA紐約大都會分會主席Farid Abdelkader補充說，一個良好的漏洞管理計劃應(yīng)該有明確的流程和政策、特許團(tuán)隊和治理。

Abdelkader還建議首席信息安全官使用可以顯示其執(zhí)行情況的關(guān)鍵績效指標(biāo)，來確定良好的外觀，確定需要改進(jìn)的領(lǐng)域，然后指示隨著時間的推移取得的進(jìn)展。

《足夠安全嗎?面向企業(yè)主和高管的20個網(wǎng)絡(luò)安全問題》一文的作者Austin表示，擁有成熟漏洞管理計劃的企業(yè)有一個向企業(yè)高管報告其活動的流程，以便他們了解該計劃的重要性及其跟蹤記錄。他指出，這有助于確保進(jìn)行有效的監(jiān)督，并將漏洞管理與企業(yè)內(nèi)部的任何其他業(yè)務(wù)風(fēng)險一樣對待。

3.根據(jù)企業(yè)自身的風(fēng)險進(jìn)行定制

企業(yè)需要不斷發(fā)現(xiàn)新的漏洞，再加上現(xiàn)有已知漏洞，幾乎不可能修復(fù)這些問題。Abdelkader說，企業(yè)找到一種方法來查明最重要的漏洞并確定修復(fù)工作的優(yōu)先順序是至關(guān)重要的。

Abdelkader說，“企業(yè)了解事件的嚴(yán)重性。詢問如果出現(xiàn)漏洞怎么辦?這對數(shù)據(jù)有何影響?或者如果系統(tǒng)出現(xiàn)故障?這會對企業(yè)的業(yè)務(wù)、客戶或聲譽產(chǎn)生什么樣的影響?企業(yè)需要了解這些資產(chǎn)的真正風(fēng)險以及這些事情發(fā)生的實際風(fēng)險。”

這項工作可以由漏洞掃描、供應(yīng)商和其他安全渠道提供的分類(高、中、低)指導(dǎo)，但該過程應(yīng)考慮企業(yè)對風(fēng)險的容忍度、技術(shù)環(huán)境、行業(yè)等。

他解釋說，“它必須與企業(yè)、關(guān)鍵資產(chǎn)和資源、數(shù)據(jù)、計算機(jī)或系統(tǒng)對關(guān)鍵威脅的暴露程度有關(guān)。”

他指出，作為一個孤立的系統(tǒng)，所面臨的風(fēng)險與當(dāng)前的系統(tǒng)不同;因此，每個人都應(yīng)該獲得與自身風(fēng)險相對應(yīng)的不同級別的補救優(yōu)先級。

不過他補充說，這種基于企業(yè)自身風(fēng)險狀況的定制和優(yōu)先排序并不總是會發(fā)生。他說，“我看到很多漏洞管理項目都是從一個列表開始的，該列表列出了漏洞掃描發(fā)現(xiàn)的內(nèi)容，以及對企業(yè)實際存在的關(guān)鍵風(fēng)險，以及真正關(guān)心的問題。”

4.重新審視風(fēng)險和優(yōu)先事項

提高企業(yè)的風(fēng)險承受能力，并建立工作優(yōu)先順序的流程，對于強大的脆弱性管理計劃都至關(guān)重要。但這些任務(wù)不能被視為一項已完成的任務(wù)。

Austin補充說，他們應(yīng)該至少每年都重新訪問一次，也可以在企業(yè)內(nèi)部或IT環(huán)境發(fā)生重大變化時訪問。

5.使用框架和系統(tǒng)

MITRE Engenuity技術(shù)基金會威脅情報防御研究與開發(fā)中心的聯(lián)合創(chuàng)始人兼代理主任Jon Baker表示，企業(yè)無需自己獨立開發(fā)技術(shù)來幫助完成漏洞管理任務(wù)，因為很多企業(yè)已經(jīng)開發(fā)了框架和其他系統(tǒng)來幫助首席信息安全官進(jìn)行管理。

Bake說，“這些框架和系統(tǒng)可以幫助企業(yè)查看安全漏洞，并了解網(wǎng)絡(luò)攻擊者如何使用它們的方法，因此可以使用框架和系統(tǒng)來確定漏洞和其響應(yīng)的優(yōu)先級。”

MITRE Engenuity技術(shù)基金會擁有其通用漏洞和暴露(CVE)系統(tǒng)，該系統(tǒng)自1999年以來一直提供有關(guān)公開已知漏洞和暴露的信息(正如其名稱所述)，并具有與這些漏洞相關(guān)聯(lián)的特定代碼庫版本。還有NIST特別出版物800-30，企業(yè)可以使用它來進(jìn)行風(fēng)險評估。

此外，還有通用漏洞評分系統(tǒng)(CVSS)，這是一個開放框架，企業(yè)可以使用它來評估安全漏洞的嚴(yán)重性，以便可以根據(jù)威脅級別對它們進(jìn)行優(yōu)先級排序。

MITRE Engenuity技術(shù)基金會還擁有其ATT&CK框架(利用CVE)，企業(yè)可以使用該框架來確定需要他們注意的漏洞的優(yōu)先級，作為全面的威脅知情防御策略的一部分。

6.考慮直接供應(yīng)商、第三方引入的漏洞

Log4j漏洞之所以如此成問題，部分原因是Log4J工具如此普遍，存在于企業(yè)IT團(tuán)隊和軟件供應(yīng)商開發(fā)的眾多應(yīng)用程序中。

Baker說，Log4j漏洞于2021年底浮出水面，這也表明，首席信息安全官需要了解、評估、優(yōu)先考慮和緩解供應(yīng)商產(chǎn)品中存在的或由第三方引入的漏洞。

他承認(rèn)，企業(yè)安全團(tuán)隊在這方面遇到了挑戰(zhàn)，因為企業(yè)安全部門往往不知道供應(yīng)商解決方案中存在哪些漏洞，甚至可能無法在這些系統(tǒng)上運行漏洞掃描。

他說，“對于我們所依賴的系統(tǒng)所利用的代碼和工具，我們確實缺乏透明度。”他指出，軟件材料清單(SBOM)是軟件中的組件列表，在某些情況下可以提供一些可見性。

Baker建議，首席信息安全官審查他們與供應(yīng)商就在管理其產(chǎn)品中的漏洞方面的角色達(dá)成的協(xié)議，然后在必要時尋求插入合同語言，以限制錯誤被忽視或未修復(fù)的可能性。

他說，“這是企業(yè)的漏洞管理計劃的一部分：了解提供商和第三方如何跟蹤、確定優(yōu)先級和修補漏洞。”

7.建立制衡機(jī)制

另一個最佳實踐是：不要將漏洞管理分配給IT團(tuán)隊。安全專家表示，首席信息安全官應(yīng)該有一個專門的個人或團(tuán)隊，負(fù)責(zé)識別漏洞、確定修復(fù)的優(yōu)先級，以及監(jiān)督補救和緩解措施的執(zhí)行。

Austin說，“他們需要有人對進(jìn)行實際修補的團(tuán)隊保持健康的關(guān)系，因為對于那些通過進(jìn)行更多修補而使工作變得更加困難的基礎(chǔ)設(shè)施人員來說，對漏洞掃描進(jìn)行嚴(yán)格的檢查變得更難。任何自我監(jiān)督職能都非常容易受到冷漠或腐敗的影響。因此需要制衡。”

很多人對此表示認(rèn)同，并指出首席信息安全官可以選擇托管安全服務(wù)提供商(MSSP)來運行其漏洞管理程序，然后與內(nèi)部基礎(chǔ)設(shè)施、工程和/或devops團(tuán)隊合作執(zhí)行補丁，并處理任何所需的停機(jī)時間和所需的測試。

8.投資工具和團(tuán)隊

安全專家強調(diào)，有效的漏洞管理與安全領(lǐng)域的其他所有工作一樣，需要合適的人員、流程和技術(shù)。

他們指出，許多企業(yè)都有所有這些部分，但并不總是讓這三個部分有效地協(xié)同工作。Baker表示，安全團(tuán)隊通常擁有掃描工具，但可能沒有引入有效處理工作負(fù)載所需的自動化，

此外，Orchiles表示，首席信息安全官和他們所在的公司必須承諾提供使這些團(tuán)隊成功所需的資源。

他指出，投資工具和團(tuán)隊可能看起來很直觀，但并不總是遵循這樣的建議。例如，看到首席信息安全官投資于一種新工具，但沒有投資運行該技術(shù)所需的員工、最大限度地利用技術(shù)所需的培訓(xùn)以及所需的變更管理。

他補充說，“如果沒有這些，工具將無法工作。”