Управление уязвимостями Vulnerability Management
Простыми словами
Два процесса, различающиеся ровно одним шагом: «The only difference in this process is that it is proactively initiated as a result of vulnerability assessment scanning. It is identical after the first step». Реактивный начинается с уведомления поставщика, проактивный — со сканирования; дальше они совпадают до последнего пункта. Помнить об этом стоит потому, что обычно строят только реактивный и считают тему закрытой. Основная зависимость названа прямо: «Asset management is a core dependency for the vulnerability management process», и от репозитория требуется не перечень техники, а способность «Allows exact understanding of targets for remediation of vulnerability notifications from vendors». Отличие от соответствия требованиям: соответствие спрашивает, соблюдена ли настройка, управление уязвимостями — уязвима ли система даже там, где настроена верно.
Примеры
Ветка без патча описана отдельно: «Determine whether interim risk mitigation is required», и дальше «If required, define and apply risk mitigation measures to the target systems; if not, await patch». Ожидание — допустимое решение, но принятое, а не молчаливое.
O-ESA (The Open Group Guide G112), разд. 5.5.1 — реактивный процесс
«Contains hardware and software configuration information, owner information, and business context and value information» и «Supports evaluation of targets identified as a result of vulnerability assessment scanning» — без делового контекста и ценности нечем взвешивать риск.
O-ESA (The Open Group Guide G112), разд. 5.5 — зависимость от управления активами
Оба варианта заканчиваются одинаково: задокументировать сделанное и оценить успех или неуспех процесса. То есть в состав процесса встроена его собственная ретроспектива, а не только устранение уязвимости.
O-ESA (The Open Group Guide G112), разд. 5.5.1 и 5.5.2 — реактивный и проактивный процессы
Определение из первоисточника
дословная выпискаVulnerability management provides a process framework for identifying high-risk infrastructure components, assessing their vulnerabilities, and taking the appropriate actions to control the level of risk to the operational environment.
Управление уязвимостями даёт рамочную структуру процессов выявления компонентов инфраструктуры с высоким риском, оценки их уязвимостей и принятия надлежащих мер для контроля уровня риска эксплуатируемой среды.
ИсточникOpen Enterprise Security Architecture (O-ESA): A Framework and Template for Policy-Driven Security. The Open Group Guide, April 2011, № документа G112, ISBN 1-931624-94-1
Основные параметры
Атрибуты этой сущности по справочнику источника.
- Разд. 5.5 задаёт два процесса — реактивный (по уведомлениям поставщиков) и проактивный (по результатам сканирования оценки уязвимостей); они различаются только первым шагом и дальше идентичны. Управление активами объявлено основной зависимостью: репозиторий активов должен содержать конфигурацию, владельца, деловой контекст и ценность.
Связанные понятия
Опишите архитектуру своей компании в Storm
Реестр процессов, архитектурное рабочее пространство, связи между системами и процессами — те самые артефакты, только про вашу организацию.
Это же в StormРеестр процессовИмитационное моделированиеАрхитектура систем и интеграций