Kontrollimeetmete pidev seire: teadke, mida signaal tõendab

Ühe ajahetke ülevaatus kirjeldab sel ajal uuritud olukorda. Kontrollimeetmete pidev seire vähendab ajavahet muudatuste ja nende avastamise vahel, eeldusel et kontrollid katavad õiget kogumit ja keegi tõrgete korral tegutseb. Kumbki lähenemisviis ei tõenda rohkem, kui selle tõendid toetavad.

CTO jaoks ei ole keskne küsimus see, kas töölaud on roheline. Küsimus on selles, mida see roheline tulemus tõendab: milliseid süsteeme uuriti, millist tingimust testiti, kui hiljuti andmed koguti ja millised tõrkeviisid jäävad testist välja.

Kasulik seireprogramm muudab need küsimused insenertehniliseks lepinguks. See ühendab usaldusväärse kogumise, selgesõnalise testiloogika, vastutava reageerimise ja tõendid, mida teine inimene saab uurida.

Mida kontrollimeetmete pidev seire tegelikult mõõdab

Kontrollimeetmete pidev seire ehk CCM (continuous controls monitoring) kasutab korduvaid vaatlusi ja teste, et tuvastada, kas määratletud kontrollitingimused on endiselt täidetud. Kogumine võib olla sündmuspõhine, plaaniline või nende kombinatsioon. „Pidev“ ei tähenda tingimata hetkelist; dokumenteerige tegelik sagedus ja avastamise viivitus.

Kolm kihti peavad jääma eristatavaks:

• Kontrollieesmärk: kavandatud tulemus, näiteks kliendiandmetele volitamata avaliku juurdepääsu takistamine.
• Rakendatud kontrollimeede: mehhanism, mis seda tulemust toetab, näiteks salvestusruumi juurdepääsupiirangud ja muudatuste heakskiidud.
• Seiretest: vaatlus, mida kasutatakse selle mehhanismi osa hindamiseks, näiteks avaliku juurdepääsu seadistuste päring.

Läbitud konfiguratsioonitest toetab piiratud järeldust vaadeldud seadistuste kohta. See ei tõenda automaatselt, et iga juurdepääsutee on turvaline, et heakskiiduprotsessid toimisid õigesti või et organisatsioon täidab kogu vastavusnõuet.

NIST-i küberturbe raamistik pakub kasulikku struktuuri juhtimise, kaitse, avastamise ja reageerimise tulemuste sidumiseks. Selle kuus funktsiooni, sealhulgas Govern, aitavad ka selgitada, miks seire kuulub laiemasse riskijuhtimise protsessi, mitte ei seisa eraldi kindlust andva süsteemina.

Valige kontrollimeetmed, mis annavad kasulikke signaale

Alustage kontrollimeetmetest, mille tõrked on olulised, mille tingimus on jälgitav ja mille puhul omanik saab sisukalt tegutseda. Varasemad intsidendid, auditileiud, arhitektuurimuudatused ja riskihindamised on paremad prioriseerimise sisendid kui saadaolevate automaatsete kontrollide arv.

Juurdepääsu seire võib nõuda identiteedikirjete ühendamist töösuhte oleku ja kontode inventaridega. See loob kasulikke signaale, aga ka ühitamisprobleeme: teenusekontod ei ole töötajad, töövõtjatel võivad olla erinevad lõppkuupäevad ja allikate hilinenud uuendused võivad tekitada valeleide.

Poliitika tõhusus, juhtkonna järelevalve ja riski aktsepteerimine nõuavad perioodilist inimotsustust. Poliitikaga tutvumise kinnitus on tõend kinnitamisest, mitte tõend, et inimesed poliitikast aru saavad või seda järgivad.

Kirjutage testispetsifikatsioon enne automatiseerimise ehitamist

Määratlege kogum, allikas, sagedus, oodatav tingimus, künnis ja omanik enne päringu rakendamist. Ilma nende üksikasjadeta võivad meeskonnad olla eri meelt selles, kas sama tulemus on tõrge.

Praktiline testispetsifikatsioon peaks sisaldama:

• Eesmärk ja ulatus: käsitletav risk, kohaldatav teenus, keskkonnad ja ressursitüübid.
• Kogumi allikas: kuidas määratakse oodatavate ressursside täielik kogum.
• Vaatluse allikas: kasutatav API, eksport, sündmusvoog või muu tõend.
• Otsustusreegel: oodatavad väärtused, tolerantsid, välistused ja heakskiidetud erandid.
• Ajastus: kogumise sagedus, ajakohasuse piir ja oodatav avastamise viivitus.
• Vastutus: kontrollimeetme omanik, seire hooldaja, reageerija ja hindaja.
• Tõendid: säilitatavad sisendid, testi versioon, tulemus, ajatemplid ja järeltegevuste kirjed.

Paikade seire puhul on „kõik serverid on paigatud“ liiga ebamäärane. Parem spetsifikatsioon määrab hallatavad tootmisserverid, autoriteetse inventari, haavatavusteabe allika, raskusastme kategooriad, heakskiidetud parandusaknad ja selle, kuidas toetamata süsteeme käsitletakse. Need on organisatsioonipõhised otsused, mitte universaalsed seadusest tulenevad künnised.

Eristage puuduvaid andmeid negatiivsest leiust. Kui seadmel puudub hiljutine hindamine, ei saa seire järeldada, et sellel ei ole tähtaja ületanud haavatavusi. See peaks tuvastama teadmata oleku või eraldi kaetustõrke.

Versioonige testiloogika. Künnise, ressursifiltri või välistuse muutmine võib muuta ajalooliste tulemuste tähendust isegi siis, kui töölaua silt jääb samaks.

Kujundage kogumise seisund eraldi kontrollimeetmeks

Roheline kontroll aegunud liidese või puuduliku ressursiloendiga võib olla eksitav. Kasutage vähemalt kolme tulemuse olekut: läbitud, ebaõnnestunud ja teadmata. Kui kontroll hõlmab paljusid ressursse, näidake segatulemusi, selle asemel et peita tõrkeid üldskoori taha.

Kogumise seisund vajab oma vaatlusi:

• Viimane õnnestunud kogumine ja aluseks olevate lähteandmete vanus.
• Autentimistõrked, õiguste muutused ja API vead.
• Lehekülgedeks jagamise lõpuleviimine, päringupiirangute käsitlemine ja osalised vastused.
• Oodatavad võrreldes vaadeldud kontode, varade või sündmuste allikatega.
• Selgesõnalised välistused ja ressursid, mida ei saanud hinnata.

Pilvesalvestuse kokkupuute puhul pange kirja, milliseid kontosid ja ressursse uuriti. Uus konto väljaspool liidese õigusi loob kaetuslünga isegi siis, kui iga kogutud tulemus on läbitud. Võrrelge seiratavaid kontosid sõltumatult hooldatava kontode inventariga; liidese kontrollimine tema enda ressursiloendi põhjal ei näita seda, mida ta ei näe.

Kasutage võimaluse korral ainult lugemisõigusega kogumisõigusi, kaitske volitusi ja piirake juurdepääsu kogutud tõenditele. Seireekspordid võivad sisaldada tundlikke identiteete, taristu üksikasju või konfiguratsiooniteavet. Säilitamise ja juurdepääsu otsused peaksid seda tundlikkust kajastama.

Valige sagedus vastavalt muutuste kiirusele, mõjule ja kogumise piirangutele. Igapäevane kontroll võib sobida aeglaselt muutuva tingimuse puhul; avaliku juurdepääsu muudatused võivad õigustada kiiremat avastamist. Sündmuspõhised kontrollid võivad viivitusi lühendada, kuid plaaniline ühitamine aitab tabada vahele jäänud sündmusi. Ükski üksik tunnipõhine ajakava ei sobi iga kontrollimeetme jaoks.

Siduge avastamine reageerimisega, mida saab testida

Hoiatus ei ole lõpetatud kontrollimeetmega seotud reageerimine. Suunake erandid omanikule koos mõjutatud ressursi, ärikonteksti, vaadeldud tingimuse, oodatava tingimuse ja reageerimise sihtajaga. Täpsustage, kes võtab üle, kui peamine omanik ei ole kättesaadav.

Triaaž peaks eristama tegelikku tõrget, vigast testiloogikat, puuduvaid tõendeid ja heakskiidetud erandit. Need tulemused nõuavad erinevaid tegevusi. Erand peaks määrama oma ulatuse, põhjenduse, heakskiitja, kompenseerivad meetmed ning aegumise või ülevaatuse kuupäeva. See ei tohiks vaikselt muuta ebaõnnestunud tehnilist tingimust läbituks.

Säilitage leid, tegevus, lahendus ja kordustest. Suletud ülesanne on tõend töövoo lõpuleviimisest; värske vaatlus on tugevam tõend, et tehniline tingimus parandati.

Koondage sama lahendamata tingimuse ümber korduvad hoiatused, selle asemel et luua igal käivitusel uus ülesanne. Vaadake üle mürarikkad kontrollid ja künnised, et olulised tõrked jääksid nähtavaks. Eskaleerige vastavalt mõjule ja möödunud ajale, mitte lihtsalt saadetud teavituste arvu järgi.

Kui kaalutakse automaatset parandamist, hinnake eraldi selle õigusi, tagasipööramise teed ja võimalikku häiret. Tingimuse ohutu jälgimine ei tähenda, et selle automaatne muutmine on ohutu.

Näide: pilvesalvestuse kokkupuute seire

Järgnev on illustreeriv lahendus, mitte ettekirjutatud vastavusreegel. Oletame, et teenus kasutab kolme tootmise pilvekontot ja ootab 120 salvestusressurssi. Selle sisemine eesmärk on, et kliendiandmete salvestusruum ei tohi lubada volitamata avalikku juurdepääsu.

Platvormimeeskond hooldab kontode inventari seireliidesest sõltumatult. Konfiguratsiooni koguja käivitub iga 30 minuti järel ja ühitab ressursside tuvastamise kord päevas. Meeskond määratleb 60 minutist vanemad andmed aegunuks. Need ajastusvalikud on selle näite eeldused.

Test salvestab konto- ja ressursiidentifikaatorid, asjakohased juurdepääsuseadistused, kogumise aja ja testi versiooni. Heakskiidetud avalikud ressursid tuvastatakse ükshaaval koos omaniku ja ülevaatuse kuupäevaga; kogu kontot hõlmav lai välistus oleks sobimatu.

Ühel käivitusel näitavad tulemused järgmist:

Ainult „118 ressurssi läbis testi“ raporteerimine varjaks kaht erinevat probleemi ja teadmata lisakogumit. Neljas konto tähendab, et algne nimetaja ei ole enam täielik.

Avaliku juurdepääsu leiu puhul kontrollib omanik, millised andmed olid olemas ja kas kokkupuude nõuab intsidendi käsitlemist. Juurdepääsu piiramine parandab vaadeldud konfiguratsiooni; see ei vasta küsimusele, kas andmetele pääseti varem juurde.

Tõendipakett sisaldab leidu, ulatuse võrdlust, muudatuse kirjet, uurimisotsust ja õnnestunud kordustesti. Simuleeritud õiguste tõrge kontrollib seejärel, et teadmata tulemused tekitavad nähtavat tööd, mitte ei jäta eelmist rohelist olekut muutmata.

Raporteerige kaetust, latentsust ja lahendamata kokkupuudet

Üks vastavusprotsent surub kokku liiga palju teavet. Tehniline ja juhtimisalane aruandlus peaks paljastama skoori taga olevad eeldused.

Kasulikud mõõdikud on muu hulgas:

• Kaetus: vaadeldud ulatusse kuuluvad ressursid võrreldes oodatavate ressurssidega.
• Ajakohasus: ressursid, mille tõendid jäävad määratletud vanusepiiri sisse.
• Avastamise latentsus: aeg kontrollimeetme tõrke algusest nähtava leiuni, kui algus on teada.
• Reageerimise tulemuslikkus: kinnitamise ja lahendamise ajad võrreldes sisemiste sihtidega.
• Tõrgete püsivus: lahendamata tingimuste kestus ja kordumine.
• Erandite hügieen: aegunud, üle vaatamata või ebatavaliselt laiad erandid.

Hoidke teadmata ressursid läbitud kogumist väljas, kuid raporteerige neid selgesõnaliselt. Märkige protsentide kõrval nimetajad ja välistused. Eristage parandustööde tulemusel saavutatud paranemist sellest, mis on tingitud ulatuse kitsendamisest või reegli leevendamisest.

Seire võib riskiotsuseid toetada, näidates korduvaid tõrkeid või pikaajalist kokkupuudet. Iseenesest ei arvuta see iga stsenaariumi tõenäosust ja ärimõju. Need otsustused nõuavad endiselt teenuseomanike ja riskihindajate konteksti.

Säilitage perioodiline hindamine ja sõltumatu kriitiline kontroll

Ühe ajahetke hindamised ja korduv seire vastavad erinevatele küsimustele. Seire võib tuvastada ülevaatuste vahelist triivi ja vähendada korduvat tõendite kogumist. Sihitud hindamine võib uurida ülesehituse piisavust, keerulisi otsuseid ja testida eeldusi, mida automaatsed reeglid lahendada ei suuda.

Mõlemal on kulud. Korduvad kontrollid nõuavad kogumise hooldust, triaaživõimekust ja usaldusväärseid inventare. Perioodilised ülevaatused nõuavad hindajate kontsentreeritud tööd ja jätavad vaatluste vahele intervallid. Valige kombinatsioon riski põhjal, selle asemel et käsitleda kumbagi meetodit üldiselt piisavana.

ISO/IEC 27001 juhtimissüsteemi puhul võivad seiretõendid toetada kindla ulatusega hindamistööd. Need ei asenda riskikäsitlust, siseauditit, juhtkonnapoolset läbivaatust ega kohaldatavate nõuete hindamist. Siduge iga test konkreetse tingimusega, mida see toetab; raamistike vastavusseosed ei tõenda, et nõuded on tervikuna täidetud.

Hinnake seireloogikat uuesti pärast arhitektuurimuudatusi, intsidente, ulatuse laiendamist ja kontrollimeetme olulisi muudatusi. Kaasake tahtliku tõrke ja puuduvate andmete testid. Seire, mis pole kunagi näidanud ebaõnnestunud või teadmata olekut, ei ole näidanud oma täielikku reageerimisteed.

Paigutage tõendid nende operatiivsesse konteksti

Secanis modelleerige ulatusse kuuluvad süsteemid ja teenused, määrake omanikud ja hindajad ning lisage seireekspordid või muud tõendid kontrollimeetmetele, nõuetele ja otsustele, mida need toetavad. Kasutage ülesandeid kaetuslünkade ja lahendamata ülevaatusküsimuste jaoks. Säilitage allikalingid, kommentaarid, heakskiidud ja ajatemplid; vaadake tehisintellekti abil tehtud soovitused üle enne neile tuginemist. Operatiivsed turbetööriistad loovad signaalid, samas kui see töövoog hoiab nende ulatuse ja üle vaadatud järeldused jälgitavana.

Alustage ühest korduvast kontrollist. Dokumenteerige, mida see tõendab, võrrelge selle kogumit sõltumatu inventariga ja simuleerige nii tehnilist tõrget kui ka kogumistõrget. Laiendage alles siis, kui omanik suudab näidata avastamist, reageerimist, kordustesti ja tõendite ülevaatust.