Плейбук: критичная уязвимость на своём периметре
Изолируйте или пропатчите свой сервис, если вендор или НКЦКИ сообщили о критичной дыре в продукте, который у вас смотрит в интернет. Обычный цикл сканера — другой текст: от скана до закрытия. Сутки: первые 24 часа. Каталог: каталог плейбуков.
Статья опирается на логику направления «Управление инцидентами» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 17: cisecurity.org/controls. Это не российский закон. Эксплойт, PoC и «проверка дыры атакой» не запускаем — ни на чужом, ни на своём хосте.
Признаки и что не делать
Бюллетень вендора, рассылка НКЦКИ, новость про продукт, который у вас на 443. Не качайте «проверку» с форумов. Не публикуйте, что вы уязвимы, до патча. Не открывайте порт «чтобы сканер ещё раз глянул» из интернета.
Первые шаги
- Инвентарь: есть ли продукт и версия в реестре. Нет в реестре — сверка с периметром, не с чужим диапазоном: реестр активов.
- Нет патча — снимите сервис с интернета или ограничьте список адресов. Есть патч — окно изменений: перечень для ИБ.
- Версию после патча сверьте с бюллетенем штатной командой продукта (например
--version), не сканером эксплойтов. - Журналы с момента публикации дыры: странные запросы, новые файлы. Если следы есть — сутки и сценарий сайта или учётки.
- Субъект КИИ: линия НКЦКИ при компьютерном инциденте, не при одном бюллетене: НКЦКИ.
Приоритет: критический для периметра с ПДн или платежами; высокий для визитки. Эскалация директору, если сервис нельзя выключить, а патча нет. Консоль и вторая сессия на сетевом оборудовании обязательны.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Патч поставили, версия та же | Обновили не тот узел или пакет. Сверьте имя пакета с бюллетенем |
| Ищут PoC «для уверенности» | Запрещено. Хватит версии и журналов |
Где это в модели зрелости
Материал относится к направлению «Управление инцидентами» (хаб: инциденты, карта: карта зрелости). Сканер закрывает очередь дыр. Плейбук — часы в день публикации критичной.
Как проверить
- Есть реестр, по которому за пять минут видно «наш ли продукт».
- В плейбуке нет запуска эксплойта.
- Контакты вендора и НКЦКИ записаны заранее.
Источники
- CIS Control 17: cisecurity.org/controls.
