De waarschuwing is kritiek. De oplossing is bekend. En het ticket ligt dagenlang in een wachtrij. Beveiligingsteams begrijpen het risico, maar de mensen die applicaties beschikbaar houden hebben bewijs nodig dat de wijziging niets zal breken.
Hun zorgen zijn praktisch. Een IPS-bescherming zou legitiem verkeer kunnen blokkeren. Een configuratiewijziging kan een dienst onderbreken. Een endpointbeleid kan een applicatie beïnvloeden waarop het bedrijf vertrouwt. Zonder bewijs blijft de aanbeveling wachten.
Veilige remediatie beantwoordt die terughoudendheid met bewijs. Het test de voorgestelde actie binnen uw omgeving, past de goedgekeurde wijziging toe en bevestigt het resultaat. Beveiligings- en operationele teams beslissen samen, op basis van feiten.
De kosten van het laten staan van bescherming in Detect-modus
Veel organisaties hebben al beschermingen in hun omgeving die ze niet afdwingen. Signatures liggen inactief of in Detect-modus terwijl teams de valse positieven, inspectiecapaciteit en bedrijfscontinuïteit afwegen. Ondertussen veranderen applicaties en verkeerspatronen, stapelen uitzonderingen zich op en drijven beleidsregels weg van hoe de omgeving vandaag werkt.
In het whitepaper over Safe Remediation had 47% van de gemeten organisaties minder dan 50% van de beschermingen ingeschakeld. Veel van de benodigde capaciteit is al in hun omgevingen aanwezig.
Alles zomaar inschakelen is niet de oplossing. Elke activatie brengt risico’s met zich mee. Teams moeten weten welke wijzigingen relevant zijn voor een bepaalde blootstelling en hoe elk van die wijzigingen zich vandaag in productie zal gedragen.
| Figuur 1. Operationele druk en configuratiedrift kunnen handhaving vertragen. |
Bouw vertrouwen op vóór handhaving
Veilige remediatie volgt vier fasen: Observeren, Bewijzen, Handelen en Bevestigen. Bewijs ondersteunt de voorgestelde respons in elke fase, met beoordeling en goedkeuring waar dat nodig is.
Observeren begint met data die uw beveiligings- en IT-systemen al produceren. Bevindingen uit kwetsbaarheidsscans, IPS-verkeer, apparaatbenutting, endpointbeleid en configuratiestatussen laten zien wat de context is rondom de voorgestelde wijziging.
Vervolgens komt het bewijs, en de methode past bij de technologie. Een IPS-bescherming kan productieverkeer inspecteren in Detect-modus, waardoor teams bewijs krijgen over valse positieven en prestatie‑impact voordat er naar Prevent wordt geschakeld. Het hardenen van besturingssystemen kan met een geselecteerde testgroep worden uitgevoerd, waarbij elke host na uitvoering opnieuw wordt gecontroleerd. Endpointinstellingen kunnen worden beoordeeld aan de hand van de hardening-baseline van de leverancier.
De beslissing wordt specifiek voor uw omgeving. Beveiligingsteams leggen uit welke bescherming ze verwachten. Infrastructuur- en applicatie-eigenaren beoordelen het effect op de systemen die zij beheren.
| Figuur 2. Validatie koppelt omgevingsbewijs aan goedkeuring, uitvoering en bevestiging. |
Gebruik bestaande controles terwijl u wacht op een permanente oplossing
Patchen blijft essentieel om de onderliggende kwetsbaarheid te verhelpen. Testen, coördinatie en uitrolschema’s kunnen echter tijd vergen voordat een patch in productie wordt toegepast, waardoor een periode ontstaat waarin extra bescherming nodig kan zijn.
Een bestaande IPS-signature of virtuele patch kan helpen het relevante exploitpad tijdens die periode te blokkeren. Het correleren van kwetsbaarheidsgegevens met control coverage laat zien of er een geschikte bescherming bestaat en of deze inactief, in Detect-modus of al afgedwongen is.
Die context helpt teams bij het selecteren van de respons. Een bescherming die wacht op handhaving kan een kandidaat zijn voor validatie en activatie. Een blootstelling zonder een compenserende control kan dringend patchen of een andere actie vereisen.
Het remediatie‑record moet onderscheid maken tussen tijdelijke bescherming en een permanente oplossing. Een compenserende control kan de onmiddellijke blootstelling verkleinen terwijl de onderliggende kwetsbaarheid nog openstaat en opvolging vereist.
Houd goedkeuring en uitvoering verbonden
Wanneer een actie is geëvalueerd, kunnen organisaties goedkeuring van de scope vereisen of geautomatiseerde uitvoering toestaan via geconfigureerde workflows. De goedgekeurde wijziging wordt vervolgens uitgevoerd via het systeem dat verantwoordelijk is voor de betreffende control.
IPS-wijzigingen kunnen via de security management server worden doorgevoerd, hardening van besturingssystemen kan gebruikmaken van bestaande patchmanagementinfrastructuur, en ondersteunde endpointwijzigingen kunnen via de API van de leverancier worden uitgerold. Deze aanpak stelt teams in staat te werken met de technologieën die al zijn ingezet.
Bevestiging voltooit het proces. Het installeren van een policy kan aantonen dat een IPS-bescherming enforcement heeft bereikt. Hostcontroles kunnen verifiëren of een hardening-wijziging is toegepast. Uitvoeringsrecords kunnen mislukte of in behandeling zijnde acties tonen die nog aandacht vereisen, samen met de gebruiker, tijdstempel en de bijbehorende blootstelling.
Meet de bescherming die volgt
Succes moet bewijs omvatten dat de bedoelde bescherming na uitvoering actief is. Aansluitende beveiligingsgebeurtenissen kunnen laten zien of een nieuw ingeschakelde control activiteit heeft geblokkeerd die met de blootstelling verband houdt.
Bij de gemeten organisaties noteerden remediatie-acties een succespercentage van 99,5%. Over één maand blokkeerden de via remediatie toegepaste beschermingen vervolgens 703,56 miljoen aanvallen, waaronder 21 miljoen binnen 24 uur na remediatie. Deze resultaten beschrijven de geanalyseerde omgevingen en vormen bewijs voor bescherming na handhaving.
| Figuur 3. Resultaten van remediatie in de omgevingen die in het whitepaper zijn gemeten. |
Maak Safe Remediation onderdeel van Exposure Management
Prioritering bepaalt waar actie moet beginnen. Veilige remediatie biedt teams een gecontroleerd pad om die beslissing naar productie door te voeren, met bewijs dat de voorgestelde wijziging ondersteunt en bevestiging die het resultaat aantoont.
Check Point Exposure Management koppelt exposure-prioritering aan omgevingsvalidatie, gecontroleerde uitvoering en bevestiging via bestaande beveiligingstechnologieën. Beveiligingsteams kunnen dat proces gebruiken om blootstelling te verminderen en tegelijk de operationele impact van elke respons te evalueren.
Download Safe Remediation: Confident Remediation in Production om het raamwerk, de validatiemethoden en de gemeten resultaten achter deze aanpak te verkennen.
