Συνεχής παρακολούθηση μέτρων ελέγχου: μάθετε τι αποδεικνύει το σήμα

Μια επισκόπηση σε συγκεκριμένο χρονικό σημείο περιγράφει την κατάσταση που εξετάστηκε εκείνη τη στιγμή. Η συνεχής παρακολούθηση μέτρων ελέγχου μειώνει το χάσμα μεταξύ των αλλαγών και του εντοπισμού τους, εφόσον οι έλεγχοι καλύπτουν τον σωστό πληθυσμό και κάποιος ενεργεί όταν υπάρχουν αποτυχίες. Καμία από τις δύο προσεγγίσεις δεν αποδεικνύει περισσότερα από όσα υποστηρίζουν τα αποδεικτικά της στοιχεία.

Για έναν CTO, το κεντρικό ερώτημα δεν είναι αν ένας πίνακας ελέγχου είναι πράσινος. Είναι τι αποδεικνύει αυτό το πράσινο αποτέλεσμα: ποια συστήματα εξετάστηκαν, ποια συνθήκη δοκιμάστηκε, πόσο πρόσφατα συλλέχθηκαν τα δεδομένα και ποιοι τρόποι αποτυχίας παραμένουν εκτός της δοκιμής.

Ένα χρήσιμο πρόγραμμα παρακολούθησης μετατρέπει αυτά τα ερωτήματα σε μηχανική σύμβαση. Συνδυάζει αξιόπιστη συλλογή, ρητή λογική δοκιμών, υπόλογη απόκριση και αποδεικτικά στοιχεία που μπορεί να επιθεωρήσει κάποιος άλλος.

Τι μετρά πραγματικά η συνεχής παρακολούθηση μέτρων ελέγχου

Η συνεχής παρακολούθηση μέτρων ελέγχου (continuous controls monitoring, CCM) χρησιμοποιεί επαναλαμβανόμενες παρατηρήσεις και δοκιμές για να διαπιστώσει αν εξακολουθούν να ικανοποιούνται καθορισμένες συνθήκες μέτρων ελέγχου. Η συλλογή μπορεί να βασίζεται σε συμβάντα, να είναι προγραμματισμένη ή συνδυασμός τους. Το «συνεχής» δεν σημαίνει απαραίτητα στιγμιαία· τεκμηριώστε την πραγματική συχνότητα και την καθυστέρηση ανίχνευσης.

Τρία επίπεδα πρέπει να παραμένουν διακριτά:

• Στόχος του μέτρου ελέγχου: το επιδιωκόμενο αποτέλεσμα, όπως η αποτροπή μη εξουσιοδοτημένης δημόσιας πρόσβασης σε δεδομένα πελατών.
• Υλοποιημένο μέτρο ελέγχου: ο μηχανισμός που υποστηρίζει αυτό το αποτέλεσμα, όπως οι περιορισμοί πρόσβασης στην αποθήκευση και οι εγκρίσεις αλλαγών.
• Δοκιμή παρακολούθησης: η παρατήρηση που χρησιμοποιείται για την αξιολόγηση μέρους αυτού του μηχανισμού, όπως η αναζήτηση των ρυθμίσεων δημόσιας πρόσβασης.

Μια επιτυχής δοκιμή διαμόρφωσης υποστηρίζει ένα οριοθετημένο συμπέρασμα για τις ρυθμίσεις που παρατηρήθηκαν. Δεν αποδεικνύει αυτομάτως ότι κάθε διαδρομή πρόσβασης είναι ασφαλής, ότι οι διαδικασίες έγκρισης λειτούργησαν σωστά ή ότι ο οργανισμός ικανοποιεί μια ολόκληρη απαίτηση συμμόρφωσης.

Το NIST Cybersecurity Framework παρέχει μια χρήσιμη δομή για τη σύνδεση αποτελεσμάτων διακυβέρνησης, προστασίας, ανίχνευσης και απόκρισης. Οι έξι λειτουργίες του, συμπεριλαμβανομένης της Govern, βοηθούν επίσης να εξηγηθεί γιατί η παρακολούθηση ανήκει σε μια ευρύτερη διαδικασία διαχείρισης κινδύνων αντί να αποτελεί αυτόνομο σύστημα διασφάλισης.

Επιλέξτε μέτρα ελέγχου που παράγουν χρήσιμα σήματα

Ξεκινήστε με μέτρα ελέγχου των οποίων οι αποτυχίες έχουν σημασία, η συνθήκη είναι παρατηρήσιμη και ένας υπεύθυνος μπορεί να αναλάβει ουσιαστική δράση. Τα προηγούμενα περιστατικά, τα ευρήματα ελέγχων, οι αρχιτεκτονικές αλλαγές και οι εκτιμήσεις κινδύνου είναι καλύτερα κριτήρια ιεράρχησης από τον αριθμό των διαθέσιμων αυτοματοποιημένων ελέγχων.

Η παρακολούθηση της πρόσβασης μπορεί να απαιτεί συνδυασμό αρχείων ταυτότητας με την κατάσταση απασχόλησης και τις απογραφές λογαριασμών. Αυτό δημιουργεί χρήσιμα σήματα, αλλά και προβλήματα συμφωνίας: οι λογαριασμοί υπηρεσιών δεν είναι εργαζόμενοι, οι εξωτερικοί συνεργάτες μπορεί να έχουν διαφορετικές ημερομηνίες λήξης και οι καθυστερημένες ενημερώσεις των πηγών μπορούν να δημιουργήσουν ψευδή ευρήματα.

Η αποτελεσματικότητα των πολιτικών, η εποπτεία από την ηγεσία και η αποδοχή κινδύνου απαιτούν περιοδική ανθρώπινη κρίση. Μια επιβεβαίωση ανάγνωσης πολιτικής αποτελεί αποδεικτικό στοιχείο επιβεβαίωσης, όχι αποδεικτικό στοιχείο ότι οι άνθρωποι κατανοούν ή ακολουθούν την πολιτική.

Γράψτε προδιαγραφή δοκιμής πριν κατασκευάσετε τον αυτοματισμό

Ορίστε τον πληθυσμό, την πηγή, τη συχνότητα, την αναμενόμενη συνθήκη, το κατώφλι και τον υπεύθυνο πριν υλοποιήσετε ένα ερώτημα. Χωρίς αυτές τις λεπτομέρειες, οι ομάδες μπορεί να διαφωνούν για το αν το ίδιο αποτέλεσμα αποτελεί αποτυχία.

Μια πρακτική προδιαγραφή δοκιμής πρέπει να περιλαμβάνει:

• Σκοπό και πεδίο εφαρμογής: τον κίνδυνο που αντιμετωπίζεται, την εφαρμοστέα υπηρεσία, τα περιβάλλοντα και τους τύπους πόρων.
• Πηγή πληθυσμού: πώς καθορίζεται το πλήρες σύνολο των αναμενόμενων πόρων.
• Πηγή παρατήρησης: το API, την εξαγωγή, τη ροή συμβάντων ή άλλα αποδεικτικά στοιχεία που χρησιμοποιούνται.
• Κανόνα απόφασης: αναμενόμενες τιμές, ανοχές, εξαιρέσεις και εγκεκριμένες εξαιρέσεις.
• Χρονισμό: συχνότητα συλλογής, όριο επικαιρότητας και αναμενόμενη καθυστέρηση ανίχνευσης.
• Ευθύνη: υπεύθυνο του μέτρου ελέγχου, υπεύθυνο συντήρησης της παρακολούθησης, υπεύθυνο απόκρισης και αξιολογητή.
• Αποδεικτικά στοιχεία: διατηρούμενες εισόδους, έκδοση της δοκιμής, αποτέλεσμα, χρονοσφραγίδες και αρχεία επακόλουθων ενεργειών.

Για την παρακολούθηση ενημερώσεων, το «όλοι οι διακομιστές ενημερωμένοι» είναι πολύ αόριστο. Μια καλύτερη προδιαγραφή προσδιορίζει τους διαχειριζόμενους διακομιστές παραγωγής, την έγκυρη απογραφή, την πηγή ευπαθειών, τις κατηγορίες σοβαρότητας, τα εγκεκριμένα παράθυρα αποκατάστασης και τον τρόπο χειρισμού των μη υποστηριζόμενων συστημάτων. Πρόκειται για αποφάσεις ειδικές για κάθε οργανισμό, όχι για καθολικά νόμιμα κατώφλια.

Διακρίνετε τα ελλείποντα δεδομένα από ένα αρνητικό εύρημα. Αν μια συσκευή δεν έχει πρόσφατη αξιολόγηση, η παρακολούθηση δεν μπορεί να συμπεράνει ότι δεν έχει καθυστερημένες ευπάθειες. Πρέπει να επισημαίνει άγνωστη κατάσταση ή ξεχωριστή αποτυχία κάλυψης.

Διατηρήστε εκδόσεις της λογικής δοκιμών. Η αλλαγή ενός κατωφλίου, ενός φίλτρου πόρων ή μιας εξαίρεσης μπορεί να αλλάξει το νόημα των ιστορικών αποτελεσμάτων ακόμη κι όταν η ετικέτα του πίνακα ελέγχου μένει ίδια.

Σχεδιάστε την υγεία της συλλογής ως ξεχωριστό μέτρο ελέγχου

Ένας πράσινος έλεγχος με ληγμένο σύνδεσμο ή ελλιπή κατάλογο πόρων μπορεί να είναι παραπλανητικός. Χρησιμοποιήστε τουλάχιστον τρεις καταστάσεις αποτελέσματος: επιτυχία, αποτυχία και άγνωστο. Όπου ένας έλεγχος καλύπτει πολλούς πόρους, δείξτε τα μικτά αποτελέσματα αντί να κρύβετε τις αποτυχίες πίσω από μια συνολική βαθμολογία.

Η υγεία της συλλογής χρειάζεται τις δικές της παρατηρήσεις:

• Τελευταία επιτυχής συλλογή και ηλικία των υποκείμενων δεδομένων πηγής.
• Αποτυχίες ταυτοποίησης, αλλαγές δικαιωμάτων και σφάλματα API.
• Ολοκλήρωση σελιδοποίησης, χειρισμός ορίων ρυθμού και μερικές αποκρίσεις.
• Αναμενόμενοι έναντι παρατηρούμενων λογαριασμών, περιουσιακών στοιχείων ή πηγών συμβάντων.
• Ρητές εξαιρέσεις και πόροι που δεν μπόρεσαν να αξιολογηθούν.

Για την έκθεση της αποθήκευσης cloud, καταγράψτε ποιοι λογαριασμοί και πόροι εξετάστηκαν. Ένας νέος λογαριασμός εκτός των δικαιωμάτων του συνδέσμου δημιουργεί κενό κάλυψης ακόμη κι αν κάθε συλλεγμένο αποτέλεσμα είναι επιτυχές. Συγκρίνετε τους παρακολουθούμενους λογαριασμούς με μια ανεξάρτητα διατηρούμενη απογραφή λογαριασμών· ο έλεγχος ενός συνδέσμου σε σχέση με τον δικό του κατάλογο πόρων δεν θα αποκαλύψει όσα δεν μπορεί να δει.

Χρησιμοποιήστε δικαιώματα συλλογής μόνο ανάγνωσης όπου είναι πρακτικό, προστατέψτε τα διαπιστευτήρια και περιορίστε την πρόσβαση στα συλλεγμένα αποδεικτικά στοιχεία. Οι εξαγωγές παρακολούθησης μπορεί να περιέχουν ευαίσθητες ταυτότητες, λεπτομέρειες υποδομής ή πληροφορίες διαμόρφωσης. Οι αποφάσεις διατήρησης και πρόσβασης πρέπει να αντικατοπτρίζουν αυτή την ευαισθησία.

Επιλέξτε τη συχνότητα ανάλογα με τον ρυθμό αλλαγών, τον αντίκτυπο και τους περιορισμούς συλλογής. Ένας ημερήσιος έλεγχος μπορεί να είναι κατάλληλος για μια συνθήκη που αλλάζει αργά· οι αλλαγές δημόσιας πρόσβασης μπορεί να δικαιολογούν ταχύτερη ανίχνευση. Οι έλεγχοι που βασίζονται σε συμβάντα μπορούν να μειώσουν τις καθυστερήσεις, αλλά η προγραμματισμένη συμφωνία βοηθά να εντοπιστούν χαμένα συμβάντα. Κανένα ενιαίο ωριαίο πρόγραμμα δεν είναι κατάλληλο για κάθε μέτρο ελέγχου.

Συνδέστε την ανίχνευση με μια απόκριση που μπορεί να δοκιμαστεί

Μια ειδοποίηση δεν είναι ολοκληρωμένη απόκριση μέτρου ελέγχου. Δρομολογήστε τις εξαιρέσεις σε έναν υπεύθυνο με τον επηρεαζόμενο πόρο, το επιχειρησιακό πλαίσιο, την παρατηρούμενη συνθήκη, την αναμενόμενη συνθήκη και τον στόχο απόκρισης. Προσδιορίστε ποιος αναλαμβάνει όταν ο κύριος υπεύθυνος δεν είναι διαθέσιμος.

Η διαλογή πρέπει να διακρίνει μια πραγματική αποτυχία, εσφαλμένη λογική δοκιμής, ελλείποντα αποδεικτικά στοιχεία και μια εγκεκριμένη εξαίρεση. Οι εκβάσεις αυτές απαιτούν διαφορετικές ενέργειες. Μια εξαίρεση πρέπει να προσδιορίζει το πεδίο, την αιτιολόγηση, τον εγκρίνοντα, τα αντισταθμιστικά μέτρα και την ημερομηνία λήξης ή επισκόπησης. Δεν πρέπει να μετατρέπει σιωπηρά μια αποτυχημένη τεχνική συνθήκη σε επιτυχία.

Διατηρήστε το εύρημα, την ενέργεια, την επίλυση και την επαναληπτική δοκιμή. Μια κλειστή εργασία αποτελεί αποδεικτικό στοιχείο ολοκλήρωσης της ροής εργασίας· μια νέα παρατήρηση είναι ισχυρότερο αποδεικτικό στοιχείο ότι η τεχνική συνθήκη διορθώθηκε.

Ομαδοποιήστε τις επαναλαμβανόμενες ειδοποιήσεις γύρω από την ίδια ανεπίλυτη συνθήκη αντί να δημιουργείτε νέα εργασία σε κάθε εκτέλεση. Επισκοπήστε τους θορυβώδεις ελέγχους και τα κατώφλια, ώστε οι σημαντικές αποτυχίες να παραμένουν ορατές. Κλιμακώστε ανάλογα με τον αντίκτυπο και τον χρόνο που έχει παρέλθει, όχι απλώς με τον αριθμό των ειδοποιήσεων που στάλθηκαν.

Αν εξετάζεται αυτοματοποιημένη αποκατάσταση, αξιολογήστε ξεχωριστά τα δικαιώματά της, τη διαδρομή επαναφοράς και την πιθανή διαταραχή. Το ότι μια συνθήκη μπορεί να παρατηρηθεί με ασφάλεια δεν σημαίνει ότι η αυτόματη αλλαγή της είναι ασφαλής.

Παράδειγμα: παρακολούθηση της έκθεσης της αποθήκευσης cloud

Ακολουθεί ένας ενδεικτικός σχεδιασμός, όχι ένας προβλεπόμενος κανόνας συμμόρφωσης. Ας υποθέσουμε ότι μια υπηρεσία χρησιμοποιεί τρεις παραγωγικούς λογαριασμούς cloud και αναμένει 120 πόρους αποθήκευσης. Ο εσωτερικός της στόχος είναι ότι η αποθήκευση δεδομένων πελατών δεν πρέπει να επιτρέπει μη εξουσιοδοτημένη δημόσια πρόσβαση.

Η ομάδα πλατφόρμας διατηρεί την απογραφή λογαριασμών ανεξάρτητα από τον σύνδεσμο παρακολούθησης. Ένας συλλέκτης διαμόρφωσης εκτελείται κάθε 30 λεπτά και συμφωνεί την ανακάλυψη πόρων ημερησίως. Η ομάδα ορίζει ως παρωχημένα τα δεδομένα που είναι παλαιότερα των 60 λεπτών. Οι επιλογές χρονισμού αυτές είναι παραδοχές για το παράδειγμα.

Η δοκιμή καταγράφει αναγνωριστικά λογαριασμών και πόρων, τις σχετικές ρυθμίσεις πρόσβασης, τον χρόνο συλλογής και την έκδοση της δοκιμής. Οι εγκεκριμένοι δημόσιοι πόροι προσδιορίζονται μεμονωμένα, με υπεύθυνο και ημερομηνία επισκόπησης· μια ευρεία εξαίρεση για ολόκληρο λογαριασμό θα ήταν ακατάλληλη.

Σε μία εκτέλεση, τα αποτελέσματα δείχνουν:

Η αναφορά μόνο του «118 πόροι επιτυχείς» θα απέκρυπτε δύο διαφορετικά προβλήματα και έναν άγνωστο πρόσθετο πληθυσμό. Ο τέταρτος λογαριασμός σημαίνει ότι ο αρχικός παρονομαστής δεν είναι πλέον πλήρης.

Για το εύρημα δημόσιας πρόσβασης, ο υπεύθυνος ελέγχει ποια δεδομένα υπήρχαν και αν η έκθεση δικαιολογεί χειρισμό ως περιστατικό. Ο περιορισμός της πρόσβασης διορθώνει την παρατηρούμενη διαμόρφωση· δεν απαντά στο αν υπήρξε προηγουμένως πρόσβαση στα δεδομένα.

Ο φάκελος αποδεικτικών στοιχείων περιλαμβάνει το εύρημα, τη σύγκριση πεδίου, το αρχείο αλλαγής, την απόφαση διερεύνησης και την επιτυχή επαναληπτική δοκιμή. Μια προσομοιωμένη αποτυχία δικαιωμάτων επαληθεύει στη συνέχεια ότι τα άγνωστα αποτελέσματα δημιουργούν ορατή εργασία αντί να αφήνουν αμετάβλητη την προηγούμενη πράσινη κατάσταση.

Αναφέρετε την κάλυψη, την καθυστέρηση και την ανεπίλυτη έκθεση

Ένα ενιαίο ποσοστό συμμόρφωσης συμπιέζει υπερβολικά πολλές πληροφορίες. Οι τεχνικές αναφορές και οι αναφορές προς τη διοίκηση πρέπει να αναδεικνύουν τις παραδοχές πίσω από τη βαθμολογία.

Χρήσιμοι δείκτες είναι:

• Κάλυψη: παρατηρούμενοι πόροι εντός πεδίου σε σύγκριση με τους αναμενόμενους πόρους.
• Επικαιρότητα: πόροι των οποίων τα αποδεικτικά στοιχεία παραμένουν εντός του καθορισμένου ορίου ηλικίας.
• Καθυστέρηση ανίχνευσης: χρόνος από την έναρξη μιας αποτυχίας μέτρου ελέγχου έως ένα ορατό εύρημα, όπου η έναρξη είναι γνωστή.
• Επίδοση απόκρισης: χρόνοι επιβεβαίωσης και επίλυσης σε σχέση με τους εσωτερικούς στόχους.
• Διάρκεια αποτυχιών: διάρκεια και επανεμφάνιση των ανεπίλυτων συνθηκών.
• Υγιεινή εξαιρέσεων: ληγμένες, μη επισκοπημένες ή ασυνήθιστα ευρείες εξαιρέσεις.

Κρατήστε τους άγνωστους πόρους εκτός του επιτυχούς πληθυσμού, αλλά αναφέρετέ τους ρητά. Δηλώστε τους παρονομαστές και τις εξαιρέσεις μαζί με τα ποσοστά. Διαχωρίστε μια βελτίωση που οφείλεται σε αποκατάσταση από μια βελτίωση που οφείλεται σε στένεμα του πεδίου ή χαλάρωση του κανόνα.

Η παρακολούθηση μπορεί να τροφοδοτεί αποφάσεις για κινδύνους δείχνοντας επαναλαμβανόμενες αποτυχίες ή παρατεταμένη έκθεση. Δεν υπολογίζει από μόνη της την πιθανότητα και τον επιχειρηματικό αντίκτυπο κάθε σεναρίου. Οι κρίσεις αυτές εξακολουθούν να απαιτούν πλαίσιο από τους υπευθύνους υπηρεσιών και τους αξιολογητές κινδύνων.

Διατηρήστε την περιοδική αξιολόγηση και την ανεξάρτητη αμφισβήτηση

Οι αξιολογήσεις σε συγκεκριμένο χρονικό σημείο και η επαναλαμβανόμενη παρακολούθηση απαντούν σε διαφορετικά ερωτήματα. Η παρακολούθηση μπορεί να εντοπίζει αποκλίσεις μεταξύ των επισκοπήσεων και να μειώνει την επαναλαμβανόμενη συλλογή αποδεικτικών στοιχείων. Μια στοχευμένη αξιολόγηση μπορεί να εξετάσει την επάρκεια του σχεδιασμού, να επιθεωρήσει σύνθετες αποφάσεις και να δοκιμάσει παραδοχές που οι αυτοματοποιημένοι κανόνες δεν μπορούν να επιλύσουν.

Και οι δύο έχουν κόστος. Οι επαναλαμβανόμενοι έλεγχοι απαιτούν συντήρηση της συλλογής, ικανότητα διαλογής και αξιόπιστες απογραφές. Οι περιοδικές επισκοπήσεις απαιτούν συγκεντρωμένη προσπάθεια αξιολογητών και αφήνουν διαστήματα μεταξύ των παρατηρήσεων. Επιλέξτε έναν συνδυασμό με βάση τον κίνδυνο, αντί να θεωρείτε οποιαδήποτε μέθοδο καθολικά επαρκή.

Για ένα σύστημα διαχείρισης κατά το ISO/IEC 27001, τα αποδεικτικά στοιχεία παρακολούθησης μπορούν να υποστηρίξουν εργασία αξιολόγησης με καθορισμένο πεδίο. Δεν αντικαθιστούν την αντιμετώπιση κινδύνων, τον εσωτερικό έλεγχο, την ανασκόπηση από τη διοίκηση ή την αξιολόγηση των εφαρμοστέων απαιτήσεων. Αντιστοιχίστε κάθε δοκιμή στη συγκεκριμένη συνθήκη που υποστηρίζει· οι αντιστοιχίσεις πλαισίων δεν αποδεικνύουν ότι εκπληρώνονται ολόκληρες απαιτήσεις.

Επαναξιολογήστε τη λογική παρακολούθησης μετά από αρχιτεκτονικές αλλαγές, περιστατικά, διεύρυνση του πεδίου εφαρμογής και σημαντικές αλλαγές στο μέτρο ελέγχου. Συμπεριλάβετε σκόπιμες δοκιμές αποτυχίας και ελλειπόντων δεδομένων. Μια παρακολούθηση που δεν έχει ποτέ εμφανίσει αποτυχημένη ή άγνωστη κατάσταση δεν έχει καταδείξει ολόκληρη τη διαδρομή απόκρισής της.

Τοποθετήστε τα αποδεικτικά στοιχεία στο λειτουργικό τους πλαίσιο

Στο Secani, μοντελοποιήστε τα συστήματα και τις υπηρεσίες εντός πεδίου, ορίστε υπευθύνους και αξιολογητές και επισυνάψτε εξαγωγές παρακολούθησης ή άλλα αποδεικτικά στοιχεία στα μέτρα ελέγχου, τις απαιτήσεις και τις αποφάσεις που υποστηρίζουν. Χρησιμοποιήστε εργασίες για κενά κάλυψης και ανοιχτά ερωτήματα επισκόπησης. Διατηρήστε συνδέσμους πηγών, σχόλια, εγκρίσεις και χρονοσφραγίδες· επισκοπήστε τις προτάσεις που υποστηρίζονται από ΤΝ πριν βασιστείτε σε αυτές. Τα λειτουργικά εργαλεία ασφάλειας παράγουν τα σήματα, ενώ αυτή η ροή εργασίας διατηρεί ανιχνεύσιμα το πεδίο τους και τα επισκοπημένα συμπεράσματα.

Ξεκινήστε με έναν επαναλαμβανόμενο έλεγχο. Τεκμηριώστε τι αποδεικνύει, συγκρίνετε τον πληθυσμό του με μια ανεξάρτητη απογραφή και προσομοιώστε τόσο μια τεχνική αποτυχία όσο και μια αποτυχία συλλογής. Επεκταθείτε μόνο αφού ο υπεύθυνος μπορεί να καταδείξει ανίχνευση, απόκριση, επαναληπτική δοκιμή και επισκόπηση αποδεικτικών στοιχείων.