Интеграция SECURITM с ScanFactory

Внешний периметр меняется быстрее, чем документы о нем. Маркетинг запустил промо-сайт, подрядчик поднял тестовый стенд с белым адресом, старый домен никто не выключил. ScanFactory регулярно сканирует периметр и находит такие ресурсы вместе с уязвимостями на них. Но у находки часто нет хозяина. Непонятно, чей это сервер и кому ставить задачу.

Интеграция переносит результаты ScanFactory в SECURITM. Домены и публичные IP-адреса становятся активами, уязвимости периметра попадают в модуль управления уязвимостями рядом с результатами внутренних сканеров.

Реестр внешних ресурсов

SECURITM создает активы типа Домен и Публичный IP-адрес и сам связывает их между собой. Один домен может вести на несколько адресов, на одном адресе может жить несколько доменов, и все эти связи видны в реестре. Когда связь пропадает из данных сканера, она удаляется и в SECURITM. Ресурсы, о которых ScanFactory давно не сообщал, можно автоматически отправлять в архив.

Внешние ресурсы стоит связать с внутренними серверами, на которые они ведут. Тогда за каждым адресом видна конкретная система и ее владелец.

У каждого домена есть ответственный

Полезно завести метрику доли доменов без владельцев. Она показывает масштаб проблемы и то, как он меняется от месяца к месяцу. Правило RPA может сообщать о появлении новых публичных адресов и доменов. Новый ресурс на периметре не пройдет незамеченным, даже если его никто не согласовывал.

Уязвимости периметра в общем процессе

В SECURITM попадают активные уязвимости не старше года, информационные находки отсекаются. Каждая уязвимость приходит с оценкой CVSS, рекомендациями по устранению и признаком наличия эксплойта. Приоритет можно рассчитать по методике ФСТЭК, по уязвимостям ставятся задачи с ответственными и сроками. Уязвимость считается закрытой, когда при следующей синхронизации сканер ее больше не находит.

Периметр и внутренняя инфраструктура оказываются в одном модуле. Руководитель видит общую картину и отдельно динамику по внешним уязвимостям, до которых атакующему дотянуться проще всего.

Как начать

Для подключения нужна учетная запись ScanFactory с ролью аудитора, настроенная для интеграции с SECURITM, ее выдает производитель. Инструкция по настройке есть в справке, а как данные работают в SECURITM, можно посмотреть на демонстрации системы.