В статье рассматриваются существующие методы оценки уязвимостей, их роль в процессе оценивания рисков безопасности и способы применения. Выделяются три группы методов оценки уязвимостей: использование нескольких категорий уязвимостей (или качественное ранжирование), количественное ранжирование, применение комплексных показателей оценки уязвимостей. Анализируются особенности различных методов, их недостатки и ограничения.
1. Введение
Определение уязвимостей и рисков безопасности информационных технологий остается одной из актуальных задач для современных компаний и организаций. На сегодняшний день существует множество методов и инструментальных средств управления уязвимостями и рисками. Тем не менее востребованной остается проблема эффективной оценки или приоритезации уязвимостей.
Возможность обоснованно и объективно оценивать уязвимые состояния компонентов информационных систем позволяет лучше представлять инфраструктуру защищаемых систем и фокусироваться на тех компонентах инфраструктуры, для которых ограниченные ресурсы, выделяемые для защиты информации, могут быть наиболее эффективны для снижения общих бизнес-рисков. Адекватный и жизнеспособный показатель уязвимостей — необходимая основа для любой деятельности в области информационной безопасности.
Цель данной статьи — проанализировать существующие методы оценки уязвимостей, их достоинства и недостатки, а также способы их применения.
В статье выделяются три базовых группы методов оценки уязвимостей:
- использование нескольких категорий уязвимостей или качественное ранжирование;
- количественное ранжирование;
- применение комплексных показателей оценки уязвимостей.
Для демонстрации сущности метода рассматриваются примеры реализованных методов и систем оценки уязвимостей, в частности: схема классификации уязвимостей NIPC, шкала анализа уязвимостей SANS, система оценки критичности уязвимостей Microsoft, система оценки уязвимостей по стандарту PCI DSS, системы US-CERT, CVSS и nCircle. Каждая из этих систем имеет свои преимущества, но все они отличаются по используемым рангам или показателям оценивания. Анализируются особенности методов оценки уязвимостей, их место в процессе оценивания рисков и практическое применение.
< ... >
