Întrețineți software-ul pe întreaga durată utilă

Atribuiți mentenanța unui responsabil de serviciu

Software-ul util continuă să se schimbe după prima lansare. Dependențele primesc corecții. Mediile de execuție își pierd suportul. Certificatele expiră. Regulile de afaceri se schimbă. Accesul acordat la configurare poate rămâne mai mult decât s-a intenționat.

Păstrați un inventar al serviciilor, responsabililor, versiunilor instalate, dependențelor și termenelor de suport. Includeți lucrul programat și lucrul declanșat de o constatare nouă. Alocați capacitate pentru ambele. O listă de mentenanță fără responsabil nu protejează serviciul.

Separați mentenanța de răspunsul imediat la incidente. O credențială expusă sau dovezi de compromitere activă pot necesita limitarea incidentului înainte de terminarea unui ciclu obișnuit de dezvoltare. Trimiteți aceste cazuri către procesul de răspuns la incidente de securitate.

Prioritizați expunerea efectivă

Severitatea descrie consecințele potențiale. Prioritatea depinde și de exploatare, posibilitatea de a ajunge la codul vulnerabil, date, controale existente și costul întârzierii. Un serviciu intern cu trafic redus poate totuși păstra credențiale importante.

Catalogul Known Exploited Vulnerabilities al CISA consemnează vulnerabilități cu dovezi de exploatare. Folosiți-l ca informație pentru prioritizare. Absența unei vulnerabilități din acel catalog nu dovedește că este sigură. Catalogul CISA.

Luați în considerare aceste constatări fictive. Limitele de timp aparțin organizației din exemplu; nu sunt termene universale.

Nu transformați automat fiecare constatare într-o actualizare majoră. Alegeți o corecție susținută, inspectați compatibilitatea și testați comportamentul important. Consemnați măsurile temporare de reducere a riscului cu un responsabil și o condiție de expirare.

Urmăriți corecția până în producție

Folosiți o secvență trasabilă: constatare, decizie, modificare, verificare, instalare în mediu și confirmarea rezultatului. Notați identificatorul artefactului folosit efectiv de producție. Scanați din nou artefactul sau mediul relevant după modificare.

Pentru un pachet PDF vulnerabil fictiv, o echipă face merge unei actualizări la 10:00. Producția rulează încă imaginea de ieri la 11:00. Corecția depozitului de cod este terminată. Remedierea producției este incompletă.

După instalare, verificați atât versiunea pachetului, cât și generarea PDF-ului. O scanare de vulnerabilități nu poate dovedi că exportul încă funcționează. Un test funcțional nu poate dovedi că a fost eliminată componenta vulnerabilă.

SSDF de la NIST include identificarea continuă a vulnerabilităților și răspunsul la ele. Aplicați practicile pe întregul ciclu de viață, inclusiv software-ului care primește puține cereri de funcționalități. NIST SSDF.

Folosiți automatizarea cu limite vizibile

Taiga Maintaining scanează depozitele de cod conectate și poate transforma constatările în inițiative de remediere. Verificați ultima scanare completă reușită, versiunea afectată și modificarea rezultată. Scanarea depozitului de cod nu dovedește dacă în producție poate fi executat codul vulnerabil. Maintaining.

Automatizarea poate reduce lucrul repetat, dar serviciul are în continuare nevoie de un responsabil pentru instalare și verificare. Păstrați explicite deciziile de lansare, accesul de urgență și expirarea excepțiilor.

Mentenanța include și retragerea din uz. Eliminați rutele, credențialele, integrările și infrastructura nefolosite printr-un proces controlat. Verificați cerințele de păstrare și serviciile dependente înainte de ștergere. Retrageți serviciul care rulează și atribuiți obligațiile rămase de păstrare sau audit.

Următoarea lecție acoperă în detaliu scanarea continuă și remedierea vulnerabilităților.