Интернетмагазин

Анализ приемлемых рисков 
Анализ приемлемых рисков – последний этап. Здесь существующие политики, 
процедуры и механизмы безопасности сначала оцениваются, чтобы опреде-

---

290  Управление уязвимостями
лить, являются ли они адекватными. Если они таковыми не являются, пред-
полагается, что в организации есть уязвимости. Предпринимаются корректи-
рующие действия для обеспечения их обновления и апгрейда, до тех пор пока 
они не станут достаточными. Поэтому IT-отдел определит рекомендуемые 
стандарты, которым должны соответствовать программы защиты. То, что не 
входит сюда, классифицируется как приемлемый риск. Эти риски, однако, со 
временем могут стать более опасными, поэтому их необходимо проанализиро-
вать. Только после того, как будет установлено, что они не будут представлять 
угрозы, оценка рисков будет окончена. Если они могут представлять угрозу, 
нужно обновить стандарты безопасности для их решения.
Самая большая проблема на этом этапе управления уязвимостями – это 
отсутствие информации. Некоторые организации не документируют свои 
политики, процедуры, стратегии, процессы и средства безопасности. Поэто-
му может быть трудно получить информацию, необходимую для завершения 
этого этапа. Для малых и средних компаний может быть проще документи-
ровать все, но для крупных компаний это сложная задача. В крупных компа-
ниях су ществует множество направлений бизнеса, отделов, нехватка ресурсов 
и упорядоченной документации и дублирующие обязанности. Единственный 
способ подготовить их к этому процессу – проводить регулярные служебные 
мероприятия, чтобы гарантировать, что все важное задокументировано и со-
трудники четко понимают свои обязанности.
Оценка уязвимостей 
Оценка уязвимостей тесно связана с оценкой риска в стратегии управления 
уязвимостью. Оценка уязвимостей включает в себя выявление уязвимых ре-
сурсов. Эта фаза проводится с помощью ряда согласованных попыток взлома 
и тестов на проникновение. Объектами этих атак являются серверы, принте-
ры, рабочие станции, брандмауэры, маршрутизаторы и коммутаторы в сети 
организации. Цель состоит в том, чтобы смоделировать реальный сценарий 
взлома с использованием тех же инструментов и методов, которые может 
использовать потенциальный злоумышленник. Большинство этих инстру-
ментов мы обсуждали в главах, посвященных разведке и компрометации си-
стемы. Цель данного этапа – не только выявить уязвимости, но и сделать это 
быстро и точно. Вы должны получить исчерпывающий отчет обо всех уязви-
мостях, которые есть.
Проблем, стоящих на этом этапе, много. Первое, что следует рассмотреть, – 
это то, что должна оценивать организация. Без соответствующей инвентари-
зации ресурсов нельзя будет определить, на каких устройствах ей следует со-
средоточиться. Также будет легко забыть оценить защищенность отдельных 
хостов, а они тем не менее могут оказаться ключевыми целями для потенци-
альной атаки. Другая проблема связана с используемыми сканерами уязви-
мостей. Некоторые сканеры предоставляют неверные отчеты об оценке и на-
правляют организацию по неверному пути. Конечно, ложные срабатывания 

---

Создание стратегии управления уязвимостями 