De waarschuwing is kritiek, de fix is bekend, en toch blijft het ticket dagenlang liggen in de wachtrij. Securityteams zien het risico heel goed, maar de mensen die verantwoordelijk zijn voor de beschikbaarheid van applicaties willen eerst bewijs dat een wijziging niets kapot maakt. Dat is geen onwil: een IPS-regel die te agressief staat ingesteld, kan net zo goed legitiem verkeer blokkeren als een aanval. Uit een whitepaper van Check Point over “Safe Remediation” blijkt dat 47 procent van de onderzochte organisaties minder dan de helft van hun beschikbare beveiligingsmaatregelen daadwerkelijk had ingeschakeld.
Vier stappen: Observe, Prove, Act, Confirm
De aanpak die Check Point voorstelt, bestaat uit vier stappen.
Bij Observe wordt data uit bestaande security- en IT-systemen gebruikt, zoals kwetsbaarheidsbevindingen, IPS-verkeer, het gebruik van apparaten en endpoint-beleid, om te zien wat een voorgestelde wijziging precies raakt voordat die wordt doorgevoerd.
Bij Prove wordt de wijziging eerst getest in de eigen omgeving. Denk aan het draaien van een IPS-regel in “detect”-modus voordat die naar “prevent” gaat, het toepassen van OS-hardening op een testgroep, of het vergelijken van endpoint-instellingen met de baseline van de leverancier.
Bij Act wordt goedkeuring gevraagd voor de omvang van de wijziging, of wordt de uitvoering geautomatiseerd via bestaande workflows, met gebruik van de systemen die de betreffende technologie al beheren.
Bij Confirm wordt gecontroleerd of de beveiliging daadwerkelijk actief is, worden hostconfiguraties gecheckt, en worden uitvoeringsgegevens bijgehouden die ook mislukte of nog openstaande acties laten zien.
Tussentijdse bescherming, geen vervanging
Terwijl een permanente patch nog in de wachtrij staat, kunnen bestaande IPS-signatures of virtuele patches het aanvalspad alvast blokkeren. Belangrijk daarbij: in de registratie van de maatregel moet duidelijk blijven dat dit een tussentijdse maatregel is en geen permanente oplossing, want de onderliggende kwetsbaarheid blijft openstaan totdat die daadwerkelijk gepatcht is.
Volgens de whitepaper haalden remediatieacties die op deze manier werden doorgevoerd een slagingspercentage van 99,5 procent. De zo toegepaste beveiligingen blokkeerden in de gemeten organisaties binnen één maand 703,56 miljoen aanvallen, waarvan 21 miljoen al binnen 24 uur na het doorvoeren van de maatregel. Check Point benadrukt dat deze cijfers alleen gelden voor de onderzochte omgevingen. Goed om te vermelden: het stuk komt van Check Point zelf en promoot het eigen product Exposure Management, wat de cijfers niet onwaar maakt maar wel kleurt.
Wat dit betekent voor SOC’s en patchmanagement in Nederland
Voor Nederlandse IT- en SOC-teams is het bruikbaarste onderdeel van deze aanpak niet de software, maar de volgorde. Veel patchprocessen lopen vast omdat een kwetsbaarhedenscanner iets als kritiek markeert, zonder dat er context is over wat een wijziging voor de productieomgeving betekent. Door eerst te observeren wat een regel raakt, die regel vervolgens in een testmodus te draaien in plaats van direct hard te blokkeren, de wijziging formeel te laten goedkeuren via het bestaande changeproces, en achteraf te verifiëren en te loggen, verdwijnt een groot deel van de twijfel die een patch nu laat liggen. Vooral de tussenstap, een tijdelijke virtuele patch of IPS-regel terwijl de echte fix nog in de planning staat, is iets wat veel Nederlandse teams nu vaak overslaan terwijl het relatief eenvoudig in te regelen is.
Bron: The Hacker News
Wat betekent dit voor jouw bedrijf?
Voor Nederlandse IT- en SOC-teams is de kern bruikbaar zonder de onderliggende software: observeer eerst wat een wijziging raakt, test die in een detectiemodus, laat hem formeel goedkeuren en verifieer achteraf. Dat doorbreekt de twijfel die kritieke patches nu vaak laat liggen.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.