Підтримуйте програмне забезпечення протягом усього строку його використання

Призначте відповідального за обслуговування сервісу

Корисне програмне забезпечення продовжує змінюватися після першого випуску. Залежності отримують виправлення. Середовища виконання втрачають підтримку. Строк дії сертифікатів спливає. Бізнес-правила змінюються. Доступ, наданий під час налаштування, може залишатися довше, ніж планувалося.

Ведіть інвентар сервісів, відповідальних, розгорнутих версій, залежностей і дат підтримки. Включайте заплановану роботу та роботу, спричинену новою знахідкою. Виділяйте ресурси на обидві. Черга обслуговування без відповідального не захищає сервісу.

Відокремлюйте обслуговування від негайного реагування на інциденти. Розкриті облікові дані або докази активної компрометації можуть потребувати стримування до завершення звичайного циклу розробки. Передавайте такі випадки до процесу реагування на події безпеки.

Визначайте пріоритет за фактичною доступністю для атак

Серйозність описує можливі наслідки. Пріоритет також залежить від експлуатації вразливості, досяжності, даних, наявних засобів контролю та вартості затримки. Внутрішній сервіс із малим трафіком усе ще може містити важливі облікові дані.

Каталог Known Exploited Vulnerabilities від CISA записує вразливості з доказами експлуатації. Використовуйте це для визначення пріоритету. Відсутність у каталозі не доводить безпечності вразливості. Каталог CISA.

Розгляньте ці вигадані знахідки. Часові межі належать організації з прикладу; це не універсальні строки.

Не перетворюйте кожну знахідку автоматично на велике оновлення. Виберіть підтримуване виправлення, дослідіть сумісність і перевірте важливу поведінку. Записуйте тимчасові заходи зменшення ризику з відповідальним та умовою завершення дії.

Простежте виправлення до продуктивного середовища

Використовуйте простежувану послідовність: знахідка, рішення, зміна, перегляд, розгортання та перевірка. Запишіть ідентифікатор артефакту, який фактично використовує продуктивне середовище. Після зміни повторно проскануйте відповідний артефакт або середовище.

Для вигаданого вразливого пакета PDF команда виконує merge оновлення о 10:00. О 11:00 продуктивне середовище все ще виконує вчорашній образ. Виправлення репозиторію завершене. Усунення вразливості в продуктивному середовищі незавершене.

Після розгортання перевірте і версію пакета, і генерування PDF. Сканування вразливостей не встановлює, що експорт усе ще працює. Функціональний тест не встановлює, що вразливий компонент вилучено.

SSDF від NIST включає постійне виявлення вразливостей і реагування. Застосовуйте ці практики протягом життєвого циклу, включно з програмним забезпеченням, що отримує мало запитів на функції. NIST SSDF.

Використовуйте автоматизацію з видимими межами

Taiga Maintaining сканує пов’язані репозиторії та може перетворювати знахідки на ініціативи виправлення. Перевірте останнє успішне сканування, уражену версію та отриману зміну. Сканування репозиторію не встановлює досяжності вразливості в продуктивному середовищі. Maintaining.

Автоматизація може зменшувати повторювану роботу, але сервіс усе ще потребує відповідальності за розгортання та перевірки. Зберігайте явними рішення про випуск, аварійний доступ і завершення дії винятків.

Обслуговування також включає виведення з експлуатації. Вилучайте невикористовувані маршрути, облікові дані, інтеграції та інфраструктуру через контрольований процес. До видалення перевірте вимоги до зберігання та залежні сервіси. Виведіть запущений сервіс з експлуатації та призначте залишкові обов’язки зі зберігання або аудиту.

Наступний урок детально розглядає безперервне сканування та усунення вразливостей.