Инвентаризация лежит в основе всех процессов
Сегодня значительно увеличилось количество мошеннических атак на российские компании. Так, согласно данным Центробанка, за весну 2022 года в 22 раза выросло число кибератак на финансовые организации. Одна из причин — наличие в инфраструктуре компаний серых зон, которые являются первостепенной целью злоумышленников. Это конечные точки со слабым периодом безопасности, которые выпадают из поля зрения ИТ- и ИБ-департамента.
Для минимизации рисков возникновения серых зон и, как следствие, кибератак на информационные активы, рекомендуется проводить регулярную инвентаризацию ИТ-инфраструктуры. Василий Гурев, руководитель проекта iTMan (ГК Softline), рассказывает про алгоритм инвентаризации и ее особенности в различных сегментах.
Кому и зачем?
Каким компаниям, использующим машины, необходимо проводить техосмотр? Всем. То же самое можно сказать про инвентаризацию ИТ-активов. Рекомендуется проводить инвентаризацию всем компаниям, у которых есть ПО, «железо» и другие устройства. Она не зависит от рода деятельности или размера организации, поскольку не связана с бизнес-задачами. Она относится к ИТ.
Инвентарные данные нужны и ИТ, и ИБ, и смежным подразделением. Например, для отделов, оказывающих услуги, или для HR, нанимающих сотрудников, работающих удаленно. Так, бизнес-команда принимает управленческие решения, основываясь на инвентарных данных. ИТ- и ИБ-отделам эта информация нужна для операционных решений. ИТ управляет конфигурациями, ведет учет устройств в сети. А ИБ на основе этих же данных об ИТ-инфраструктуре и инвентаризации ищет уязвимости и управляет политиками, отвечающими за обеспечение защиты инфраструктуры.
Если компания о чем-то не знает, то она это не контролирует. Если не проводить инвентаризацию регулярно, не вести контроль ИТ-инфраструктуры, то формируются серые зоны. согласно статистике Gartner, в них попадает от 12–20% устройств. И раз компания их не контролирует и не управляет ими, они становятся точкой входа для злоумышленников. По статистике Центробанка, 47% кибератак начинается с серых зон. Именно поэтому надо проводить инвентаризацию регулярно любой компании независимо от ее размера.
Отраслевые задачи
До сих пор во многих компаниях сохраняется тенденция удаленной или гибридной работы. Компьютер сотрудника, находящегося вне корпоративного периметра, должен всегда обеспечивать необходимую производительность и высокое качество соединения. Соответственно, для этого надо контролировать отсутствие изменений и стабильную работу. Также нужно следить, чтобы не появились вирусы вследствие действий самого пользователя этой конечной точки. Например, ИТ-инвентаризация и управление конфигурациями лежат в основе оказания услуг кол-центра.
Обратим также внимание на автоматизацию ITSM-процессов (IT Service Management), которая необходима для эффективного взаимодействия бизнеса и ИТ. Она требует достоверной информации от ИТ- и ИБ-отделов, потому что в основе ITSM лежит CMDB — база данных конфигурационных единиц, которые нужно наполнять. Если есть единый источник этой информации, тогда он поставляет данные для CMDB, причем обогащенные, идентифицированные. Если нет единого источника, то в компании начинается дублирование инструментов, что приводит к появлению серых зон.
Для наполнения CMDB требуются разносторонние данные об инвентаризации, потому что у компаний разный уровень проработки конфигурационной единицы. Инвентарная информация может находиться у ИТ- и ИБ-отделов. Исходные данные, имеющиеся в инфраструктуре, необходимо обрабатывать, обогащать, считать по ним различные метрики, требующиеся для ITSM-процессов.
При этом, помимо глубины проработки, может различаться и широта данных. Она зависит от потребностей компании при построении ITSM-системы — например, данные о «железе», устройствах, пользователях, сервисах и т. д. Также может возникнуть потребность в доступе к информации в режиме реального времени. В частности, когда приходит заявка на статус в конкретной конечной точке в текущий момент. В данном случае необходима информация в реальном времени из ИТ.
Различия и сложности SMB и корпораций
SMB и корпорации отличаются как количеством устройств, так и решаемыми задачами. У небольших компаний обычно около 500 устройств, которые не гарантируют работоспособность высоко нагруженного сервиса. Чаще всего они выполняют роль доступа в Интернет и другие локальные функции.
Однако при детализированной инвентаризации возникает вопрос объема данных, который можно собирать с конечных устройств. Классический подход к построению системы и архитектуры не позволяет делать это оперативно. То есть изменение объема — это изменение конструкции всего продукта, всей архитектуры, выстроенной по инвентаризации. При этом компания может не знать, какие данные потребуются завтра. Именно поэтому для SMB-сегмента востребованы решения, способные на динамическое изменение модели данных и ее оперативное внедрение. Для крупных компаний это столь же актуально, но в первую очередь встает вопрос масштаба архитектуры.
Корпорациям важна возможность обработки больших объемов данных, поскольку у них имеется более 10000-–14000 устройств. Такой объем — условный уровень, на котором заканчиваются возможности простых технологий, появляется необходимость использовать средства мощнее, ведь затраты на обработку данных становятся неприемлемы по времени и актуальности, а получаемая информация — недостоверной.
Так, при классических методах работы с простыми продуктами скорость сбора данных крайне низкая. То есть за сутки обрабатывается 14 000–50 000 устройств. Таким образом, компания, у которой несколько сотен тысяч устройств, не получает за сутки с них информацию. Согласно опросу наших заказчиков, один обход занимает неделю. Условно говоря, в понедельник ИТ- и ИБ-руководство получает актуальную информацию недельной давности. Именно поэтому корпорации предпочитают внедрять решения, которые предоставляют данные практически в режиме реального времени.
В крупных компаниях много задач, связанных с архитектурой и каналами передачи. Требуется большая гибкость инструментов управления конечными точками по сравнению с SMB-сегментом. В небольших компаниях в основном все устройства расположены в единой точке: офисе, ЦОДе и т. д. Другими словами, они географически сильно не распределены либо находятся в одной сети с широким каналом доступа. В крупных компаниях это могут быть как спутниковые каналы передачи, так и удаленные офисы. То есть архитектура весьма разнообразна, а значит, требуются другие решения для управления ею.
Алгоритм
Безусловно, каждая компания индивидуально выстраивает алгоритм инвентаризации в зависимости от архитектуры ИТ-инфраструктуры. Рассмотрим общий поэтапный план действий.
В первую очередь надо искать устройства, подключенные к сети. Должен быть сформирован их список с базовой информацией и указано, какое программное обеспечение уставлено на каждом устройстве. У компании должно быть понимание, насколько ПО безопасно, понадобится обновление или нет.
Во-вторых, надо понимать, пользуется ли в принципе программным продуктом компания. И исходя из этого, контролировать пользовательские доступы: у кого есть группы администраторов, на каких устройствах они расположены — словом, какое влияние пользователь оказывает на ИТ-инфраструктуру.
В-третьих, отслеживание времени работы устройств сети. Это может быть мигрирующее устройство, которое появляется на минуту, или работает «24×7». Важно понимать, какое влияние на ИТ-инфраструктуру оказывает каждое устройство сети. Так, если оно будет скомпрометировано, через него буду атаковать злоумышленники. После ранжирования устройств следует оценить стороннее подключение к ним и устранить те, которых быть не должно.
В-четвертых, оценить работу антивирусов на устройствах и EDR-системах — их актуальность, активность, уровень сложности паролей, процесс идентификации пользователей и т. д. Затем надо отслеживать производительность устройств. Так, изменение конфигурации может привести к отказу сервисов.
Последним пунктом выделим актуальность параметров конфигурации.
Вывод
Инвентаризация важна для всех компаний любой отрасли. Регулярный сбор данных позволяет минимизировать появление серых зон, атаки злоумышленников на корпоративные активы.
Во многих западных странах есть сертификации с обязательным ежедневным сбором данных, срезом ИТ-инфраструктуры. В России нет жесткого регламента. Всё зависит от отношения компании к ИТ-инфраструктуре, ее значимости для бизнеса. Если она не является критичной и в случае потери процессы не изменятся, то необязательна регулярная инвентаризация. Но сегодня таких компаний практически не существует. Если ИТ является «кровью» бизнеса и любое замедление, отказ системы сервисов приведет к потерям, в том числе и финансовым, то инвентаризация должна производиться в реальном времени.
Опубликовано 23.11.2022
