Система управления уязвимостями нужна не для того, чтобы найти побольше проблем: найти их несложно и обычным сканером. Она нужна, чтобы из длинного списка находок получались закрытые задачи — понятно, на каких активах есть уязвимость, какие из них чинят первыми, кто отвечает за обновление и подтверждено ли, что после работ проблема исчезла. Отсюда и название класса: процесс управления уязвимостями важнее отдельной проверки, а платформа удерживает его от распада на разрозненные сканирования.
Из чего складывается цикл
Начинается всё с активов: серверы, рабочие станции, сетевое оборудование, виртуальные машины и контейнеры, внешние адреса и веб-приложения. Дальше идёт выявление — сетевым сканированием, агентами на узлах или сопоставлением установленных версий с базами уязвимостей. Найденное оценивают применительно к своей инфраструктуре и выстраивают очерёдность. Затем устранение: обновление, смена настроек, ограничение доступа или осознанно принятый риск. Завершает круг контроль — повторная проверка и отчётность, после чего цикл начинается заново, потому что и активы, и сведения об уязвимостях меняются постоянно.
Чем платформы различаются между собой
Первое отличие — охват: одни решения сильнее в корпоративной сети и операционных системах, другие в веб-приложениях, третьи в облаках и контейнерах, четвёртые смотрят снаружи, глазами атакующего, и следят за внешним периметром. Второе — способ сбора данных: сканирование с учётными данными и без них, агенты на узлах, связь с системами инвентаризации. Третье — то, что происходит после находки: передача задач в трекер и в систему управления ИТ-услугами, сроки и напоминания, разграничение доступа по подразделениям, готовые отчёты для руководства и для проверяющих.
Что уточнить до внедрения
Как считается лицензия — по узлам, по адресам или по агентам, и что произойдёт при росте инфраструктуры. Есть ли вариант установки в закрытом контуре без выхода в интернет и как тогда доставляются обновления баз. Насколько подробно платформа объясняет находку и способ устранения: от этого зависит, сколько времени уйдёт у администраторов. И самое приземлённое — кто со стороны компании будет вести процесс. Платформа без ответственного рискует превратиться в панель, которую никто не открывает.
