Исследователи из компании по программной доставке контента Kollective провели опрос среди двухсот американских и британских организаций.
Они обнаруженный что почти половине компаний нужен целый месяц, чтобы закрыть известную уязвимость.
Мы расскажем, почему это происходит и что с этим можно сделать.
/ ++++++++++++++++++++++++++++++++++ /ПД
Компании тратят слишком много времени на установку исправлений
Коллективный опрос проводился среди руководителей ИТ-подразделений.45% респондентов из крупных корпораций (с более чем 100 тысячами сетевых терминалов) ответили, что на установку патча им нужно около 30 дней.
Еще 27% заявили, что установка обновлений иногда занимает несколько месяцев.
В условиях растущего числа киберугроз такой подход кажется неприемлемым.
По данным Symantec, количество атак программ-вымогателей в прошлом году повысился на 36%.
Известно, что каждый день появляется более 230 тысяч образцов вредоносного ПО.
В связи с этим за последние два года время, необходимое компании для установки патча, прежде чем злоумышленники воспользуются уязвимостью, сократилось.
уменьшился на 29%.
Однако простое обновление безопасности по-прежнему остается одним из наиболее эффективных способов защитить себя.
Во многих взломах и утечках данных хакеры используют уязвимости, для которых уже выпущен патч.
ServiceNow провел опрос среди 3 тысяч специалистов по информационной безопасности со всего мира и выяснил, что 56% компаний могли бы избежать утечек информации в прошлом, если бы вовремя установили необходимое обновление.
Примером может быть крупномасштабная кража личных данных от бюро Equifax в США.
Тогда в сеть утекли личные данные более 140 миллионов американцев.
Этого инцидента можно было бы избежать, если бы специалисты кредитного бюро вовремя установили патч.
Хакеры воспользовались уязвимостью в фреймворке Apache Struts ( CVE-2017-5638 ), связанный с ошибкой обработки исключений.
Выпущен патч для этой уязвимости в течение двух месяцев до атаки на Equifax.
Почему обновления задерживаются?
1. Нехватка сотрудников.Подразделения информационной безопасности страдают от нехватки квалифицированных специалистов.
К данные некоммерческой организации ISACA, к 2019 году отрасль будет испытывать нехватку сотрудников по информационной безопасности.
Нехватка составит примерно 2 миллиона человек.
Это уже напрямую влияет на защиту организаций от кибератак.
В исследовать McAfee в 2016 году четверть респондентов заявили, что причиной утечки данных является отсутствие экспертов по информационной безопасности в их фирме.
2. Неэффективное управление исправлениями.
Однако расширение количества специалистов по информационной безопасности в компании не всегда приводит к повышению надежности ИТ-инфраструктуры.
ServiceNow отмечает, что не следует ожидать улучшения безопасности до тех пор, пока не будут изменены бизнес-процессы, связанные с установкой исправлений.
На скорость закрытия уязвимостей влияет большое количество ручных процессов.
Есть компании, которые до сих пор используют Excel для управления исправлениями.
Одна компания из списка Fortune 100 даже создала целый отдел сотрудников люди, ответственные за управление электронными таблицами с данными об уязвимостях - там пишут, есть ли патч, кто его устанавливает и т.д. К слова Вице-президент по облачным исследованиям компании Trend Micro Марк Нунниховен отметил, что отсутствие автоматизации процессов обновления ИТ-систем в компаниях стало одной из основных причин широкого использования WannaCry. 3. Трудности с определением приоритетов обновлений.
По данным издания CSO, еще один причина медленные обновления системы – слишком много патчей.
Профессионалам в области безопасности сложно расставить приоритеты и решить, какие из них установить раньше других.
Даже в случае со Spectre и Meltdown специалисты Вы сказали Противоположные мнения: одни эксперты предлагали подождать, другие спешили установить патчи как можно быстрее.
Ситуацию осложняет медленное пополнение баз данных уязвимостями.
К августу этого года базы данных CVE и NVD не попал более 3 тысяч угроз, которые были обнаружены с января по июнь 2018 года.
Почти половина из них получила высший рейтинг угроз по версии CVSSv2. 4. Сложно установить.
Баркли провел опрос среди специалистов по информационной безопасности на тему установки обновлений Meltdown и Spectre. 80% респондентов посчитал «Неясен» процесс установки патчей для закрытия уязвимостей в чипах Intel.
«Когда вышли Meltdown и Spectre, не было удобного инструмента тестирования для выявления этих уязвимостей.Со временем инженерные коммуникации стали появляться, но их надежность не могла быть гарантирована», — говорит руководитель департамента развития Сергей Белкин.
1облако .
- Позже в Microsoft предложенный метод проверки, но он также был довольно сложным.
Однако затем появились решения (в частности, для ряда дистрибутивов Linux ), позволяющий узнать, подвержена ли система Meltdown и Spectre или нет, с помощью одной команды в консоли».
Как увеличить скорость обновления
1. Автоматизируйте установку патчей.Автоматизация процесса обновления упрощает работу администраторов и конечных пользователей.
Система сама загружает патчи из Интернета, а следить за процессом установки остается системному администратору.
Особенно это важно для облачных провайдеров, поскольку они управляют огромным количеством «машин».
Существуют инструменты (например, HPE Server Automation), которые централизованно обновляют операционные системы на серверах центров обработки данных.
Они позволяют выбрать необходимые патчи, предлагаемые производителем ОС.
Их также можно использовать для настройки самого процесса установки, например, для исключения обновлений, не подходящих для конкретной среды.
2. Обучайте сотрудников.
Люди играют важную роль в безопасности данных.
Поэтому необходимо повышать осведомленность ИТ-специалистов и рядовых сотрудников компаний, а также инвестировать время и деньги хотя бы в проведение курсов по базовой кибергигиене.
/Фликр/ Келли / СС
В целом, для улучшения знаний о безопасности данных можно использовать различные методы, такие как геймификация.
Австралийское подразделение PricewaterhouseCoopers проводит среди своих клиентов игра Game of Threats, когда команды «хакеров» и «защитников системы» соревнуются в специальном симуляторе.
3. Инвестируйте больше в кибербезопасность.
По данным Gartner, в 2018 году организации потратили на кибербезопасность будет увеличиваться на 12,4% по сравнению с прошлым годом.
Фирмы будут тратить больше денег на автоматизацию процессов и новые технологии защиты данных, чтобы специалисты по информационной безопасности могли работать более эффективно.
Что дальше
Медленная установка обновлений безопасности — системная проблема.И это, вероятно, будет продолжать доставлять «неудобства» еще довольно долго, особенно в свете обнаружения новых крупных уязвимостей процессоров, например Предвестие .
Однако если больше компаний начнут оперативно устанавливать патчи, это окажет положительное влияние на всю экосистему и значительно сократит количество утечек персональных данных.
Подобно тому, что произошло с Equifax.
Еще пара постов из корпоративного блога 1cloud:
- Как обеспечить безопасность данных в облаке
- Чем арендованная инфраструктура лучше обычного оборудования?
- Учебный стенд для администраторов: чем может помочь облако
- Какие возможности .
NET Core дает разработчикам?
-
Запись Звука Через Вибромотор Телефона
19 Oct, 24 -
Запчасти К Детским Очкам Fisher Price
19 Oct, 24 -
Краткая История 3D-Текстурирования В Играх
19 Oct, 24
