Управление активами — традиционный элемент управления ИТ-комплексом предприятия. Чаще его рассматривают в экономическом или технологическом контексте, как средство учета и контроля материальных активов организации и управления ими. Однако сегодня, на фоне беспрецедентного роста активности киберпреступников, особенно актуальным становится применение Asset Management как элемента обеспечения информационной безопасности.
О том, какую пользу решения для управления ИТ-активами приносят офицерам информационной безопасности в компаниях самого разного масштаба, рассказывает директор по развитию направления ИТ-инфраструктуры компании «DCLogic» Денис Тищенко.
Что важно знать об ИТ-активах с точки зрения безопасности
Ключевая роль управления активами (здесь и далее мы имеем в виду, в первую очередь, программные активы предприятия) – предоставление менеджменту и всем заинтересованным лицам информации о том, какое программное обеспечение установлено в инфраструктуре предприятия, о его версиях и конфигурациях.
По данным исследований, в III квартале 2024 года количество инцидентов увеличилось на 15% по сравнению с III кварталом 2023. При этом результаты расследования инцидентов показывают, что почти в каждом втором случае (47%) среди причины было использование устаревших версий операционных систем или ПО, в частности на узлах внутреннего периметра и отсутствие выстроенного процесса их обновления.
Офицерам информационной безопасности особенно важно знать, каков жизненный цикл используемого ПО, легитимный ли это софт, насколько свежие версии установлены, какие уязвимости имеет программное обеспечение. Все это касается каждого экземпляра ПО, от операционных систем и приложений на рабочих станциях пользователей до серверных и инфраструктурных решений.
Принципиально важно, чтобы «карта» ПО, имеющегося в инфраструктуре организации, была максимально прозрачной и полной, вне зависимости от того, на каких серверах, включая облачные, оно установлено и как часто используется. И эта картина должна быть доступна постоянно, в режиме реального времени. Причем не только в своем актуальном виде, но и по временным срезам: по состоянию на сегодня, на прошлую неделю, месяц или год.
Что могут системы Asset Management
Часто управление ИТ-активами сводится к ведению таблицы в Excel, в которой перечислены разновидности имеющегося в распоряжении организации ПО. В такие перечни вносят количество приобретенных лицензий и количество установок ПО. По сути, это инвентарная ведомость софта, который используется в организации. Конечно, о полноценном управлении активами в таком случае говорить не приходится. Единственная задача, которую можно решить подобным образом – наладить учет использования лицензий на ПО. Но для крупной организации, у которой могут быть тысячи машин с множеством лицензий для каждой, такой подход совершенно неприемлем.
Главная проблема такого подхода в том, что это полностью ручной труд. Поэтому он не позволяет быстро реагировать на угрозы, сильно зависит от загрузки задействованных специалистов, которые вынуждены тратить время на большой объем рутинных задач, вместо того, чтобы оперативно решать возникающие проблемы.
Однако на рынке существуют специализированные решения для IT Asset Management, которые позволяют более основательно организовать этот процесс. Организация имеет возможность в любой момент времени получить полное представление не только о том, какое ПО и в каком количестве используется, но и о том, насколько оно актуально и, что особенно важно, безопасно. Такие решения могут быть оснащены набором инструментов для создания интерактивной карты активов компании, с которой ИТ и ИБ-специалистам можно взаимодействовать в режиме реального времени.
Одновременно решаются задачи администрирования инфраструктуры и управления безопасностью. Администраторы на основе этих данных могут получать сведения о количестве свободных лицензий и тем самым оптимизировать расходование средств, выделяемых на ПО. Безопасники могут отслеживать жизненный цикл ПО, наличие у него уязвимостей и необходимых обновлений безопасности. При этом задачи решаются в привязке и к конкретному наименованию софта, и к тем единицам оборудования, на котором он установлен.
Эти данные — необходимая основа для такого процесса в рамках управления ПО, как патч-менеджмент. В ходе него проверяется актуальность используемых версий и осуществляется централизованная установка выпущенных обновлений или новых релизов. Сбор и использование таких данных вручную возможны далеко не всегда и еще реже эффективны.
Оптимальный путь решения задач, связанных с администрированием ПО и обеспечением его безопасности, — использование специализированных комплексных решений для учета и управления программной инфраструктурой.
Преимущества таких решений не только технологические. Наиболее полный учет и контроль всех программных активов позволяет оптимизировать расходы, связанные и с приобретением ПО, и с его содержанием, и с обеспечением информационной безопасности.
Экономический эффект управления ИТ-активами
Первая составляющая экономического эффекта внедрения решений для управления программными активами — оптимизация расходов на лицензии. В зависимости от схемы лицензирования разных видов ПО решение класса Asset Management позволяет учитывать объем имеющихся лицензий и их использование, в том числе и неправильное. Не секрет, что на многих виртуальных машинах устанавливаются программные продукты, применение которых в конкретном случае не требуется. Asset Management позволяет такие продукты выявить, удалить их копии, а лицензии на них вернуть в общий пул лицензий в распоряжении предприятия.
Вторая составляющая связана с оценкой рисков, которые несет организация. Управление рисками подразумевает оценку последствий каждого из них, от повреждения отдельной виртуальной машины и до остановки работы интернет-магазина. Соответственно, оцениваются и уязвимости, которые могут привести к возникновению рисков. Выявление уязвимостей и их оперативное закрытие, в том числе путем установки регулярных обновлений в тот момент, когда они выпускаются вендорами ПО, — возможность нивелировать экономические последствия киберугроз. И это также обеспечивает решение для управления программными активами.
Когда оперативное обновление может предотвратить кибератаку
Пример выявления и закрытия такой уязвимости хорошо известен. В сотнях тысяч организаций по всему миру используется библиотека Java Log4j. Годами в ней существовала уязвимость, позволявшая злоумышленникам получать удаленный доступ к серверам и запускать на них нелегитимный код. Эта уязвимость была выявлена, были найдены и обнародованы пути ее устранения.
Однако для компании, которая широко использует Java, эта задача отнюдь не отличается простотой. Ведь для того, чтобы получить данные обо всех установленных на серверах Log4j, может потребоваться несколько месяцев, за которые благодаря уязвимости хакеры могут провести множество целевых атак. Asset Management позволяет выявить все установки Log4j практически мгновенно, провести обновления и тем самым снизить серьезнейшие киберриски.
Известен и другой случай, когда атака могла быть (и в тысячах случаев – не была) предотвращена благодаря оперативному обновлению ПО. Это «эпидемия» шифровальщика WannaCry. Во время нее пострадали компьютеры, на которых не был установлен патч для Windows, распространявшийся вместе с очередным обновлением ОС.
В чем преимущества «легких» средств управления
Сегодня решения для управления программными активами, как правило, входят в состав крупных комплексов ITSM. Это значительно усложняет применение средств Asset Management. Дело в том, что ITSM-системы осуществляют управление всеми активами, а не только программными, и это усложняет их использование для оперативного управления только программной инфраструктурой.
Более логичным в случае с ПО будет использование более «легких» решений класса SMS (System Management Server, позднее — System Center Configuration Manager), нацеленных на софтверные инфраструктуры. Решение собирает данные и управляет конфигурациями.
Далее будет осуществляться не только пристальный контроль за программным обеспечением, но и использование актуальных баз уязвимостей, а также возможность тонкой настройки таких систем, в том числе — специалистами по информационной безопасности.
Они могут прописать в них собственные требования к комплаенс, — защиту или закрытие определенных платформ, установку того или иного ПО на сервера определенного назначения и т. п. При этом и контроль выполнения таких правил будет осуществляться в режиме реального времени, непрерывно.
Проблемы обостряются
Почему решения Asset management с точки зрения безопасности становятся все более актуальными? Специалисты в области ИБ единодушны в том, что частота и интенсивность кибератак возрастает, и эти тенденции будут сохраняться в будущем. А уязвимости ПО, за которым недоглядели и которое вовремя не обновили, одна из наиболее удобных мишеней для злоумышленников.
Традиционные подходы к ручному ведению реестра ПО малоэффективны, а с ростом размеров организации они попросту перестают работать. Но малый и средний бизнес не в лучшем положении: по данным экспертов, именно такие компании чаще становятся мишенью для хакеров, при этом, как правило, у них меньше ресурсов для того, чтобы противостоять злоумышленникам. Поэтому решения для управления ИТ-активами, которые позволяют видеть свою инфраструктуру как интерактивную карту и взаимодействовать с ней в реальном времени, будут полезны любым компаниям независимо от их масштаба, чтобы встретить угрозу во всеоружии.
На рынке не так много универсальных платформ, которые способны одновременно закрыть потребность экспертов из ИТ и ИБ отдела в сфере управления и автоматизации инфраструктуры с модулями Asset Management. Мы, как системный интегратор, видим у наших заказчиков потребность в такого рода решениях и уверены, что они будут развиваться.