Vulnerability management (riadenie zraniteľností) je opakujúci sa proces, v ktorom organizácia systematicky hľadá slabiny vo svojich systémoch, posudzuje ich riziko, rozhoduje o poradí riešenia a overuje výsledok. Nejde o jednorazový sken, ale o cyklus, ktorý drží krok s tým, ako pribúdajú nové zraniteľnosti a menia sa systémy.

Prirovnanie: jednorazový sken je ako jedna preventívna prehliadka u lekára. Vulnerability management je pravidelná starostlivosť – prehliadky, liečba aj kontrola, či liečba zabrala.

Ako cyklus vyzerá

PosAm vo svojom blogu opisuje vulnerability management ako nadväzujúce kroky:

  1. Skenovanie – pravidelné autentifikované aj neautentifikované skeny infraštruktúry, napríklad nástrojom Nessus Professional od spoločnosti Tenable. Autentifikovaný sken vidí systém „zvnútra“, neautentifikovaný tak, ako ho vidí útočník zvonku.
  2. Prioritizácia – nie podľa surového CVSS skóre, ale podľa reálnej exponovanosti, dostupnosti exploitu a kritickosti služby.
  3. Návrh opatrení – záplata, zmena konfigurácie, hardening alebo dočasné kompenzačné opatrenie.
  4. Nasadenie – v rámci patch managementu, so servisnými oknami, testovaním a pripraveným rollback scenárom.
  5. Overovací sken – potvrdí, že zraniteľnosť bola skutočne odstránená.

Celý postup nájdete v článku Posilňujeme kybernetickú odolnosť organizácií systematicky a technicky.

Prečo je dôležitý pre firmu

Nové zraniteľnosti sa zverejňujú priebežne a útočníci ich často začnú zneužívať krátko po zverejnení. Bez zavedeného procesu sa zistenia hromadia v reportoch, nikto nevie, čo je naozaj naliehavé, a opravy prebiehajú nárazovo. Riadený proces dáva IT oddeleniu jasné poradie úloh a vedeniu prehľad o tom, ako sa riziko vyvíja.

Výstupy riadenia zraniteľností slúžia aj ako podklad pre audit podľa zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti u prevádzkovateľov základnej služby.

Typické chyby

  • skenuje sa, ale výsledky nemajú vlastníka ani termín riešenia,
  • riešia sa len položky s najvyšším CVSS bez ohľadu na kontext,
  • chýba overovací sken, takže nikto nevie, či oprava zabrala,
  • neúplný prehľad o aktívach – čo nie je v inventári, to sa neskenuje.

Časté otázky

Ako často skenovať?

Pravidelne, s frekvenciou podľa kritickosti systémov, a navyše po významných zmenách v infraštruktúre.

Kde začať, ak proces ešte nemáme?

Vhodným začiatkom je jednorazové posúdenie – sken infraštruktúry spolu s analýzou Active Directory a Entra ID, na ktoré potom nadviaže pravidelný cyklus.

Ak chcete zaviesť vulnerability management vo svojej organizácii, kontaktujte PosAm a dohodnite si úvodné posúdenie. Súvisiacu starostlivosť o servery a siete pokrýva aj správa IT infraštruktúry.