2022年漏洞管理報告要點(diǎn)梳理

說到漏洞管理計劃,大部分公司倒是確實有此安排。調(diào)研結(jié)果表明,大多數(shù)(71%)企業(yè)有正式的內(nèi)部漏洞管理計劃。少數(shù)(12%)企業(yè)只有非正式的臨時計劃,8%的受訪企業(yè)有第三方托管計劃,9%根本沒有漏洞管理計劃。

本文來自微信公眾號“數(shù)世咨詢”,作者/nana。

網(wǎng)絡(luò)安全公司HelpSystems今年更名為Fortra,于日前發(fā)布了更名后的第一份漏洞管理報告。Fortra《2022年漏洞管理報告》基于對390多位網(wǎng)絡(luò)安全專業(yè)人士的全面調(diào)研,旨在深入了解最新趨勢、關(guān)鍵挑戰(zhàn)和漏洞管理解決方案偏好。

報告揭示,網(wǎng)絡(luò)安全團(tuán)隊需要現(xiàn)成的有效漏洞管理解決方案幫助拓展網(wǎng)絡(luò)安全能力,在不補(bǔ)充人手的情況下保護(hù)業(yè)務(wù)正常運(yùn)轉(zhuǎn)。而在這方面,除了漏洞掃描,還包括能提高團(tuán)隊效率和安全有效性的多層安全解決方案。

調(diào)研參與者還指出了IT基礎(chǔ)設(shè)施相關(guān)的多個關(guān)鍵挑戰(zhàn)。安全成熟度不足、漏洞管理人員配置、預(yù)算限制、補(bǔ)丁部署和一系列其他問題都是其中的一部分。

漏洞管理計劃的成熟度和有效性是重要因素

“安全成熟度”與當(dāng)前安全狀況有關(guān),涉及風(fēng)險環(huán)境和容忍度。由于每家公司都有自己的安全風(fēng)險賬,風(fēng)險情況就會隨組織環(huán)境不同而迥異。面對當(dāng)前快速變化的威脅環(huán)境,企業(yè)發(fā)現(xiàn)自己越來越難以識別、排序、修復(fù)和緩解軟件及系統(tǒng)漏洞了。持續(xù)的網(wǎng)絡(luò)安全人才短缺狀況進(jìn)一步加重了這個問題。

基于此,網(wǎng)絡(luò)安全團(tuán)隊需要便于使用的漏洞管理解決方案來鋪開自己的安全操作,在不增加人手的情況下保護(hù)業(yè)務(wù)安全。而在這方面,除了漏洞掃描,還包括能提高團(tuán)隊效率和安全有效性的多層安全解決方案。

說到漏洞管理計劃,大部分公司倒是確實有此安排。調(diào)研結(jié)果表明,大多數(shù)(71%)企業(yè)有正式的內(nèi)部漏洞管理計劃。少數(shù)(12%)企業(yè)只有非正式的臨時計劃,8%的受訪企業(yè)有第三方托管計劃,9%根本沒有漏洞管理計劃。

然而,問及漏洞管理計劃的有效性時,僅近三分之一的受訪企業(yè)表示有效。超過半數(shù)(62%)的受訪企業(yè)認(rèn)為漏洞管理計劃不過是勉強(qiáng)有效。

盡管71%的企業(yè)有正式的漏洞管理計劃,但若論及這些計劃的成熟度和有效性,僅66%的受訪企業(yè)具備3級或更高級別的成熟度水平。成熟度水平級別由IT環(huán)境風(fēng)險分析和優(yōu)先級排序而定。五個級別如下:

●0級——無漏洞管理計劃。

●1級——掃描:無分析或修復(fù)指南。

●2級——評估與合規(guī):按合規(guī)和最佳實踐進(jìn)行定期評估的結(jié)構(gòu)化戰(zhàn)略。有既定流程。

●3級——分析與優(yōu)先級排序:有除CVSS評分之外的分析;威脅優(yōu)先級取決于特定個別IT環(huán)境的風(fēng)險。

●4級——攻擊管理:采用掃描測試數(shù)據(jù)發(fā)現(xiàn)威脅攻擊如何在系統(tǒng)中移動。

●5級——業(yè)務(wù)風(fēng)險管理:有將整個環(huán)境納入考慮的全面管理計劃,分析漏洞掃描和滲透測試所得數(shù)據(jù),檢查各項指標(biāo)以確定趨勢,并采用增強(qiáng)的流程和修復(fù)技術(shù)。

除此之外,調(diào)查還發(fā)現(xiàn),在漏洞管理能力方面,漏洞評估(70%)排在了前列。資產(chǎn)發(fā)現(xiàn)(66%)、漏洞掃描(63%)和風(fēng)險管理功能(61%)緊隨其后。

預(yù)算限制是最大的障礙

如今很難看到哪家新聞出版物不登載數(shù)據(jù)泄露相關(guān)消息了。每次數(shù)據(jù)泄露幾乎都會對社區(qū)和事發(fā)企業(yè)造成廣泛影響。網(wǎng)絡(luò)攻擊的持續(xù)沖擊之下,漏洞管理成了任何公司不可或缺的需要。

然而,調(diào)研結(jié)果顯示,預(yù)算限制(60%)是阻礙漏洞管理能力提升的最大障礙之一,長期人才短缺(45%)和低效漏洞控制規(guī)程(36%)亦不惶多讓。缺乏高層支持(21%)和存在技術(shù)短板(29%)起到的阻礙作用則較小。

物聯(lián)網(wǎng)和運(yùn)營技術(shù)(OT)需要更好的漏洞管理

識別出入網(wǎng)物聯(lián)網(wǎng)設(shè)備的相關(guān)漏洞后,企業(yè)就可以開始實現(xiàn)安全框架了。物聯(lián)網(wǎng)安全主要在于對網(wǎng)絡(luò)基礎(chǔ)設(shè)施上物聯(lián)網(wǎng)設(shè)備的有效控制。

但是,調(diào)研結(jié)果表明,物聯(lián)網(wǎng)和OT設(shè)備需要更好的漏洞管理。物聯(lián)網(wǎng)和OT設(shè)備以65%的比例高居榜首,反映出大多數(shù)IT環(huán)境都忽視了此類設(shè)備的安全問題。緊隨其后的是云資產(chǎn)(44%)和端點(diǎn)(41%)。

深入漏洞管理之前,企業(yè)還有頗為重要的第一步要走:確定自家基礎(chǔ)設(shè)施中需要增強(qiáng)漏洞管理的領(lǐng)域。

安全補(bǔ)丁的應(yīng)用速度非常關(guān)鍵

缺乏快速補(bǔ)丁管理流程是很多公司面臨的一大難題。及時修復(fù)對維持穩(wěn)健安全態(tài)勢至關(guān)重要。企業(yè)部署安全補(bǔ)丁修復(fù)漏洞到底有多快呢?根據(jù)調(diào)查,僅29%的受訪企業(yè)能在補(bǔ)丁推出3天內(nèi)加以部署。22%的受訪企業(yè)在補(bǔ)丁推出一周內(nèi)部署,35%的受訪企業(yè)需要一周到一個月的時間。安全補(bǔ)丁應(yīng)用速度最慢的企業(yè)中,6%在3個月內(nèi)應(yīng)用補(bǔ)丁,3%甚至需要一年或一年以上,補(bǔ)丁應(yīng)用速度之慢簡直令人側(cè)目。

漏洞可見度有限

解決漏洞的第一步是看到漏洞。但是,問及漏洞可見度時,調(diào)研發(fā)現(xiàn),不足半數(shù)的網(wǎng)絡(luò)安全專業(yè)人員宣稱擁有較高(35%)或完全(11%)的可見度。更多的是超過半數(shù)(51%)的受訪企業(yè)對自身漏洞僅有中等程度的了解。

至于購買漏洞管理解決方案的支出觸發(fā)因素,調(diào)研發(fā)現(xiàn),68%的受訪企業(yè)首選預(yù)防性安全措施。合規(guī)(42%)和審計結(jié)果(37%)位列漏洞管理解決方案購買動機(jī)的第二和第三位。

安全漏洞數(shù)量龐大

調(diào)研發(fā)現(xiàn),去年,76%的受訪企業(yè)見證了安全漏洞數(shù)量增長。超過三分之一的受訪企業(yè)(38%)漏洞數(shù)量增長了25%,另有24%的受訪企業(yè)漏洞增長了26%~50%。

盡管76%的受訪企業(yè)在去年經(jīng)歷了漏洞增長,但僅約三分之一(30%)的受訪企業(yè)預(yù)期會增配漏洞管理人員。報告進(jìn)一步揭示,44%的受訪企業(yè)預(yù)計會增加在漏洞管理解決方案方面的投入,而37%的受訪企業(yè)預(yù)期不會在這方面有任何支出變化。盡管預(yù)計會增加,但不到三分之一的受訪企業(yè)(30%)預(yù)計會大幅增加人員配置,這或許反映了網(wǎng)絡(luò)安全團(tuán)隊面臨的持續(xù)人才短缺狀況。大概略高于三分之一(36%)的受訪企業(yè)預(yù)計會增加漏洞測試開支。

結(jié)語

《2022年漏洞管理報告》強(qiáng)調(diào),缺乏安全成熟度、漏洞管理人員配置、預(yù)算限制、補(bǔ)丁部署,以及其他各種問題全都是關(guān)鍵挑戰(zhàn)。漏洞評估位居漏洞管理能力榜首,其次是資產(chǎn)發(fā)現(xiàn)和風(fēng)險管理功能。物聯(lián)網(wǎng)和OT設(shè)備問題最大的資產(chǎn),反映出大多數(shù)IT環(huán)境都忽視了此類設(shè)備的安全問題。預(yù)算限制則是增強(qiáng)漏洞管理的最大障礙。

所有這一切都表明,企業(yè)須更為關(guān)注自身安全態(tài)勢和安全事件準(zhǔn)備度。網(wǎng)絡(luò)安全團(tuán)隊需要容易上手的漏洞管理解決方案,以便能夠在不增加人手的情況下開展安全工作。缺乏安全可見度是否與預(yù)算直接相關(guān),或者是否存在其他因素?我們很容易推斷,高管層可能仍然過于脫離普通員工,進(jìn)一步置公司于巨大風(fēng)險之中。

Cybersecurity Insiders《2022年漏洞管理報告》:

https://www.cybersecurity-insiders.com/portfolio/2022-vulnerability-management-report-helpsystems/

THEEND

最新評論(評論僅代表用戶觀點(diǎn))

更多
暫無評論