早く2019年に、安全な脈拍はVPNサーバー脆弱性のためのパッチを解放した。
会社は電話、電子メール、内部プロダクト警報およびオンライン通告によってパッチを取付けるためにそれらに思い出させるように顧客に連絡したがこの過去1月国土安全保障省のCybersecurityおよび下部組織の警備機関は言った警報を解放した脆弱性の「広い開発」を見ていたことを。
CISAはどの位までについての攻撃者が政府および商業ネットワークを通ってこの脆弱性をか開発した後広がっていたか4月の別の警報を出した。脅威についての組織を知らせるためのこれらの努力にもかかわらず修繕されないある会社。実際、今月上旬にハッカーはユーザー名を漏らし、パスワードはのための以上900安全なVPNサーバー脈打つ。
何がここに起こっているか。会社がそれほどcybersecurityの衛生学の非常に基本的な一部分との悩みをなぜ持たれているか、修繕か。
Ponemonの協会が昨年末解放した研究に従って前の2年にわたって起こった違反の60%はパッチが時間に加えられたら防がれたかもしれない。しかし前年と比較される重大な脆弱性を修繕するために取る時間を減らせたと被告の32%だけは言った--白い36%は言った前により実際に時間がかかったことを。
パッチ管理の問題は組織が「パッチ疲労に動くことができるほど大きい」の言った、アンゲロス王朝Keromytisをシステムおよびネットワークの保証に焦点を合わせているジョージアの技術協会およびcybersecurityのしっかりした魅惑のセキュリティ技術の共同出資者の教授。
「大きいデータ センタを動かすとき、目を保つことができるかどの位限界がへ」彼言ったデータ センタの知識をある。
さらに、時々人々はパッチがそれらに適用しないと考える。
「いかにのためにネットワークおよび適用を形成したか、多くの実体は信じる隔離される、従って考えることを傷つきやすい」とようにないことを彼は言った。「」修繕のための異なった合理化の束がある。
傷つきやすいデータ センタ特に
修繕はほとんどの大きい組織のための問題であるが、データ センタに特定の挑戦がある。これらはダウンタイムに、中断よる潜在的なビジネス不慮の結果による中断および傷つきやすいシステムの意識の欠乏を含んでいる。
グレッグTouhillに従って、AppGateの中央政府グループの大統領--cybersecurityの会社はデータ センタの提供者によってCyxtera昨年回った--そして脆弱性がどこにあるか国のオバマの大統領任期中最初主な情報セキュリティの役人、データ センタのマネージャーはに常に気づいていない。
最初に、共同責任の難しい問題がある。データ センタがcolocation設備、または雲にあれば、提供者は保証仕事すべてを扱わない。提供者の側面から、顧客の下部組織とそれほどそれらだけことができるするある。
「棚の装置の実際の維持そして構成まだ顧客によって頻繁に保たれる」、はTouhillはDCKを言った。
担当地域が明確である時でさえ、修繕する必要がある脆弱性についての学習の挑戦がある。
「私が空軍にあったときに、私達は私達の自身の赤いチームに出かけてもらい、潜在的なハッカーおよび敵が使用する商業在庫用具、スキャン用具、および私達を使用することは内部からスキャンし、外側からのスキャン」とTouhillは言った。「私達は論理的で、物理的なペン テスト」をする第三者のペンのテストを使用し。
ハッカーは頻繁に網のスキャンによって傷つきやすく、パッチ設定されていない システムを発見する--または環境への入口を更に広がる機会を見つけるために得、内部ネットワークをスキャンすることによって。
ダウンタイムの悩み
データ センタのためのすべての最も大きい問題は修繕によりダウンタイムを引き起こすことができることである。
顧客は時間の100%型の、Josh Axelrodのアーンスト・アンド・ヤングのcybersecurityのリーダーの上にあると彼らのデータ センタが言ったDCKを期待する。
その結果、修繕は最も少なく分裂的である時非常に限られた時間枠の間に起こらなければならないかもしれない。それは意味するあるシステムの修繕に得る長い時間かかることができることを。この問題への1つの解決は障害復旧スペースから来ることができる。データ センタの下部組織の一部がダウン状態になれば、よい障害復旧システムはバックアップ環境に自動的に影響を受けた作業負荷を移す。同じシステムは、理論でできたこと、修繕のために使用されなさい。
「顧客見ることができる作業負荷がパッチが加えられたきれいな環境に直ちにと」、は彼言ったロール・オーバーしたことを。
この種類の下部組織がセットアップして高く、広く利用できないが、Axelrodは、「それ私達が」どこにに得る必要があるかである注意した。
修繕のデータ センタ システムとのもう一つの大きな問題はパッチが重大な運営業務を壊すかもしれないことである。
「その更新が動く適用にいかに影響を与える行っているか」、キースMularskiをアーンスト・アンド・ヤングのcybersecurityの練習のための専務理事言った私達に知らない。
終点コンピュータの自動更新を動かすことは事がうまくいかなければ1従業員の生産性を降ろすことができる。オペレーティング システム サーバーの自動更新により全会社は締まることができる。
「テストしなければなり、パッチを確かめることはあなたのビジネスに影響を与えていない」と彼は言った。
1つのアプローチは組織はテストする適用のためにパッチの後で潜在的問題があるかどうか点検するために適用される既にあるかもしれないが、それがデータ センタのマネージャーとアプリケーション開発のチーム間の調整を要求する開発環境を使用することである。
雲に、または移動自動化しなさい、外部委託しなさい
データ センタに修繕問題のハンドルを得る資源がなければある選択があることをVikas Shah、AAreteの企業診断の会社のITのVPは、私達に告げた。1つは複雑さおよびダウンタイムを修繕することを減るためにテスト環境とオートメーションの技術に投資することである。マイクロソフトは、例えば、Windowsサーバー更新サービスおよびシステムを中心構成マネージャー提供する。
「両方のプロダクト大きい解決を提供するが、熱心なチームとの大きい組織のために造られる」はと彼は言った。
他の用具はSolarwindsパッチのマネージャー、LANDeskパッチのマネージャー、ManageEngineパッチのマネージャーのプラスおよびIvanti Windowsパッチを含んでいる。
「これらの用具のほとんどは独自に働くことができ、また[マイクロソフト] WSUSと統合できまたはSCCMs」、彼は、また関係仕事を、Rackspaceを含んで扱うことができる認識したサーバー提供者がある付け加える言い。
最後に、Shahは企業がオン前提から雲にデータ センタを動かすことを考慮することを提案した。雲に動いて自身の保証のためのすべての責任から会社を解除しない、しかし雲の売り手は根本的な下部組織と関連している修繕の条件を扱うためにする。