Većina proboja ne kreće od genijalnog napada, nego od poznate ranjivosti koju nitko nije zakrpao: zastarjela verzija, otvoren port, zadana lozinka ili pogrešno podešen server. Provjera ranjivosti je najjeftiniji način da te rupe pronađete prije napadača. Evo što provjera ranjivosti stvarno obuhvaća, po čemu se razlikuje od penetracijskog testiranja i koliko je često treba raditi da bi imala smisla.
Što je provjera ranjivosti
Provjera ranjivosti je sustavno pretraživanje vaših sustava, mreže i aplikacija za poznatim sigurnosnim slabostima. Alati i stručnjak prolaze kroz servere, radne stanice, mrežnu opremu i web aplikacije te ih uspoređuju s bazama poznatih ranjivosti i pogrešnih postavki. Rezultat je popis nalaza poredan po ozbiljnosti, s jasnom uputom što zakrpati prvo. Za razliku od jednokratnog dojma da je sve u redu, provjera daje mjerljivu snimku stanja koju možete pokazati upravi, klijentu ili auditoru.
Provjera ranjivosti i penetracijsko testiranje nisu isto
Ova dva pojma se često miješaju, a razlika je važna. Provjera ranjivosti je široka i automatizirana: cilj je pokriti što više sustava i pronaći sve poznate slabosti, brzo i uz razumnu cijenu. Odgovara na pitanje gdje su nam rupe. Penetracijsko testiranje ide dublje i uže: stručnjak ručno pokušava iskoristiti nađene slabosti i doći do podataka, baš kao pravi napadač, i odgovara na pitanje što napadač stvarno može učiniti. U praksi se dobro nadopunjuju. Redovita provjera ranjivosti drži higijenu i hvata većinu problema jeftino, a povremeni pen-test provjerava koliko su ozbiljne najosjetljivije točke. Samu tehničku provedbu provjere pokriva naša usluga skeniranja ranjivosti.
Kako izgleda provjera ranjivosti u praksi
Postupak koji daje upotrebljiv rezultat ima nekoliko koraka. Prvo se dogovori opseg: koje adrese, sustavi i aplikacije ulaze u provjeru i radi li se izvana, iznutra ili oboje. Zatim slijedi skeniranje, kombinacija automatiziranih alata i ručne provjere da se izbjegnu lažni nalazi. Nakon toga dolazi najvažniji dio, analiza i prioritizacija: svaki nalaz dobiva ocjenu ozbiljnosti i procjenu koliko je stvarno iskoristiv u vašem okruženju, jer nije svaka teoretska ranjivost jednako opasna. Na kraju dobivate izvještaj s konkretnim preporukama i, po želji, ponovnu provjeru nakon što su rupe zatvorene, da se potvrdi da su popravci stvarno primijenjeni.
Koliko često provjeravati ranjivosti
Jednokratna provjera vrijedi samo na dan kad je napravljena, jer se nove ranjivosti otkrivaju svaki tjedan, a sustavi se mijenjaju. Za većinu tvrtki razumna je provjera najmanje jednom u tromjesečju, uz obveznu provjeru nakon svake veće promjene: novog servera, nove aplikacije, migracije ili većeg ažuriranja. Tvrtke s višim obvezama ili osjetljivim podacima rade kontinuirano ili mjesečno skeniranje. Bitno je da provjera bude redovita i evidentirana, jer tako iz nje nastaje trend koji pokazuje popravlja li se stanje ili se ranjivosti gomilaju.
Što traže NIS2 i Zakon o kibernetičkoj sigurnosti
Za mnoge tvrtke provjera ranjivosti više nije samo dobra praksa, nego dio zakonske obveze. NIS2 direktiva i hrvatski Zakon o kibernetičkoj sigurnosti od ključnih i važnih subjekata traže upravljanje rizicima, što uključuje redovito otkrivanje i otklanjanje ranjivosti te procjenu djelotvornosti mjera. Ista logika stoji iza kontrola u normi ISO/IEC 27001, gdje se traži upravljanje tehničkim ranjivostima. Redovita, evidentirana provjera ranjivosti jedan je od najjednostavnijih dokaza da te mjere stvarno provodite, a ne samo da ih imate na papiru.
Što dobivate na kraju
Dobra provjera ne završava dugačkim popisom tehničkih pojmova koji nikome ne pomaže. Završava izvještajem koji upravi jasno kaže koliko je stanje ozbiljno, a tehničkom timu točno što i kojim redom popraviti. Nalazi su poredani po prioritetu, s objašnjenjem rizika i konkretnom preporukom, pa se popravci mogu isplanirati prema stvarnoj opasnosti, a ne nasumično. Upravo taj upotrebljiv, prioritiziran izvještaj razlikuje provjeru koja pomiče stvari od skeniranja koje samo puni ladicu.
Želite znati gdje su vaše rupe prije nego ih netko drugi nađe? Javite nam se za besplatnu procjenu: dogovorit ćemo opseg provjere i dobiti ćete jasan izvještaj s prioritetima, bez tehničkog žargona.
Često postavljana pitanja
Koja je razlika između provjere ranjivosti i penetracijskog testiranja?
Provjera ranjivosti je široka i uglavnom automatizirana i traži sve poznate slabosti na što više sustava. Penetracijsko testiranje je dublje i ručno, stručnjak pokušava iskoristiti nađene slabosti kao pravi napadač. Provjera odgovara na pitanje gdje su rupe, a pen-test što napadač stvarno može učiniti.
Koliko često treba raditi provjeru ranjivosti?
Za većinu tvrtki razumna je provjera najmanje jednom u tromjesečju, uz obveznu provjeru nakon svake veće promjene, kao što su novi server, nova aplikacija ili migracija. Tvrtke s osjetljivim podacima rade mjesečno ili kontinuirano skeniranje.
Prekida li provjera ranjivosti naš rad?
U pravilu ne. Skeniranje se planira i podešava tako da ne opterećuje sustave u radno vrijeme, a osjetljivi testovi dogovaraju se unaprijed. Cilj je snimiti stanje, a ne izazvati zastoj.
Traže li NIS2 i ISO 27001 provjeru ranjivosti?
Da, posredno. NIS2 i Zakon o kibernetičkoj sigurnosti traže upravljanje rizicima i otklanjanje ranjivosti, a ISO/IEC 27001 upravljanje tehničkim ranjivostima. Redovita i evidentirana provjera jedan je od najjednostavnijih dokaza da te mjere provodite.
Što dobivamo nakon provjere?
Izvještaj s nalazima poredanima po ozbiljnosti, objašnjenjem rizika i konkretnim preporukama što popraviti i kojim redom. Po želji radimo i ponovnu provjeru nakon popravaka da potvrdimo da su rupe stvarno zatvorene.
