Sådan triagerer du sårbarheder og følger udbedringen
Kortlæg triage og udbedring af sårbarheder som et rutediagram, tæl derefter fund efter kilde, alvorlighed og udfald, og vis dem som et Sankey-diagram. Illustrativ metode, ikke et compliance-krav.
Triage afgør, hvilke fund der er ægte, og hvor hurtigt de skal rettes. Guiden tegner den proces som et rutediagram og tæller derefter fund gennem den, så du kan se, hvor mange der er rettet til tiden, accepteret eller stadig åbne.
Kort fortalt
- Tegn triage som beslutninger med navngivne udgange: bekræftet, falsk positiv, inden for SLA, undtagelse.
- Tæl fund gennem udgangene for én periode, efter at dubletter er fjernet.
- Vis kilde, alvorlighed og udfald som et Sankey-diagram for at se arbejdets form.
- Behandl accepteret risiko og åbne fund som resultater, der skal forklares, ikke fejl, der skal skjules.
Triage er en række beslutninger, du kan tælle
En scanner rapporterer fund. En proces afgør, hvad der sker med dem: er det et ægte fund på dette aktiv, hvor alvorligt er det, hvad er fristen, kan vi overholde den, og blev rettelsen bekræftet. Hver af dem er en beslutning med udgange, og hver udgang har et antal fund. Tegnet som et rutediagram er processen nem at gennemgå. Optalt viser den, hvor fund hober sig op.
Eksemplet er en sårbarhedsstyringsproces på 26 trin. Dens beslutninger er de samme, som et Sankey-diagram skal bruge som noder: scanbart eller ej, bekræftet eller falsk positiv, udnyttet eller rutine, inden for SLA eller ej, lukket eller stadig til stede. Sankey-skabelonen på /da/sankey/vulnerability-remediation-flow viser én periodes fund som kilde, alvorlighed og udfald.
Det er en måde at se sine egne registre på, ikke en udtalelse om, hvad nogen standard kræver. Din politik fastsætter SLA-båndene og afgør, hvem der må acceptere risiko.
En sårbarhedsproces, bygget i trin
Seksogtyve trin. Beslutningerne er de steder, hvor et fund kan forlade hovedsporet, og hver af dem er et antal.
Omfang og scanning
Cyklussen starter fra aktivregistret. "Er alle aktiver i scope scanbare?" har en gren Dækningshul, der løber tilbage, indtil aktivet kan scannes, så uscannede aktiver er synlige som et antal og ikke som tavshed.
Bekræftelse og scoring
Fund dedupliceres og beriges, og "Er fundet bekræftet på aktivet?" sender falske positive til et undertrykkelsestrin med dokumentation. Bekræftede fund scores. Antallet af falske positive er det første udfald, der skal følges.
Frist, rettelse og undtagelse
Kendt udnyttede eller kritiske fund tager et akut spor, og resten får et SLA-bånd og en forfaldsdato. "Kan det udbedres inden for SLA'en?" sender fund, der ikke kan overholde den, til en undtagelsesbeslutning, og den nye scanning afgør, om rettelsen virkede.
Register og rapportering
Lukkede fund opdaterer registret, forsinkede eskaleres, og cyklussen slutter med nøgletal for dækning, forældelse og lukning. Det er de antal, du kan samle i ét Sankey-diagram for perioden.
Sådan fungerer det
Tegn din triageproces
Medtag beslutningerne: bekræftet, alvorlighed, frist, undtagelse, rettelse bekræftet. Navngiv hver udgang.
Eksportér en periodes fund
Tag de fund, der blev åbnet i ét kvartal, fra alle scannere. Fjern det samme problem, hvis to værktøjer har rapporteret det.
Gruppér alvorlighed og udfald
Brug fire alvorlighedsbånd og en kort liste af udfald: rettet inden for SLA, rettet for sent, accepteret, falsk positiv, åben.
Tæl kilde til alvorlighed til udfald
Tæl hvert fund én gang. Kontrollér, at det, der kommer ind i hver alvorlighed, er lig med det, der forlader den.
Læs undtagelserne først
Se på de accepterede og åbne fund og på de alvorligheder, hvor de samler sig. Afgør, om det stemmer med din politik.
Faldgruber du skal undgå
At tælle det samme problem to gange
To værktøjer rapporterer ofte den samme sårbarhed. Uden deduplikering ser kilderne større ud, end de er.
At skjule accepteret risiko
Hvis accepterede fund udelades, ser den rettede andel højere ud. Vis dem som et udfald for sig.
At bruge diagrammet som dokumentation
Et Sankey-diagram af antal er et resumé. Dokumentation til en audit er de underliggende registre med datoer og godkendelser.
Åbn rutediagrammet for sårbarhedsstyring
Åbn skabelonen, tilpas beslutningerne til din politik, og tæl udgangene.
Relaterede guides
Ofte stillede spørgsmål
Kan det vise, om jeg overholder en standard?
Nej. Det viser dine egne antal. Om de opfylder en standard, afhænger af standarden og af din politik, som denne guide ikke fastsætter.
Hvordan tæller jeg et fund, der findes på mange aktiver?
Beslut det én gang: tæl hvert par af aktiv og fund, eller hver enkelt sårbarhed. Skriv hvilket i datanoten, og hold det ens hver periode.
Skal falske positive med i diagrammet?
Ja, som et udfald. En høj andel falske positive peger på tuning af scanneren, hvilket er en anden rettelse end patching.