ارزیابی آسیبپذیری · اسکن
گروه خدمات: امنیت سایبریضعفهای شناختهشده سیستم‌هایتان را پیش از دیگران پیدا کنید
سیستمهای داخلی و سیستم‌هایی را که در معرض اینترنت هستند برای یافتن آسیبپذیریها و پیکربندی‌های نادرست شناختهشده اسکن میکنیم، موارد فوری را از موارد کم‌اهمیت جدا میکنیم و برنامه رفع مشکلاتی به شما میدهیم که بر اساس ریسک واقعی رتبه‌بندی شده است.
در یک نگاه
- خدمت
- اسکن آسیبپذیری با و بدون احراز هویت همراه با اولویتبندی مبتنی بر ریسک، به‌صورت یک‌باره یا دوره‌ای
- مناسب برای
- سازمان‌هایی با حدود ۵ تا ۲۰۰ کارمند که سرور، سرویس‌های در معرض اینترنت یا مشتریانی دارند که اسکن آسیبپذیری را الزامی کرده‌اند
- موارد اصلی
- اسکن بیرونی و داخلی، اسکن احراز هویت‌شده دستگاه‌ها، بررسی هشدارهای کاذب، یافته‌های اولویت‌بندی‌شده و اسکن مجدد پس از رفع مشکلات
- آنچه قطعاً نیست
- آزمون نفوذ نیست: هیچ تلاشی برای سوءاستفاده از آسیبپذیریها نمی‌کنیم، مگر آنکه آزمون نفوذ جداگانه تعیین محدوده و به‌صورت کتبی مجاز شده باشد
- مبنای قیمتگذاری
- هزینه ثابت برای هر پروژه یا ماهانه برای اسکن دوره‌ای، بر اساس تعداد IP و دستگاه‌ها و تأییدشده در پیش‌فاکتور کتبی
- مجوز
- اسکن فقط پس از دریافت مجوز کتبی آغاز میشود که اهداف، بازههای زمانی و افراد رابط را فهرست میکند
- نحوه شروع
- یک جلسه مشاوره رزرو کنید تا اهداف اسکن را فهرست کنیم و بر سر بازههای زمانی توافق کنیم
ارزیابی آسیبپذیری چه کاری انجام می‌دهد
در ارزیابی آسیبپذیری با ابزارهای اسکن، سیستمهای شما با پایگاه‌های داده ضعفهای شناختهشده مقایسه می‌شوند؛ مانند CVEهای منتشرشده، وصله‌های نصب‌نشده، نرم‌افزارهای قدیمی، تنظیمات ضعیف رمزنگاری و سرویس‌های پیش‌فرض یا در معرض دید. این ارزیابی به یک پرسش محدود و کاربردی پاسخ می‌دهد: روی سیستمهای داخل محدوده چه ضعفهای شناخته‌شده‌ای وجود دارد و کدام‌ها را باید اول برطرف کرد؟
اسکن‌های بدون احراز هویت، سیستم را از بیرون نگاه میکنند؛ همان‌طور که مهاجمی در اینترنت یا در شبکه شما آن را می‌بیند. اسکن‌های احراز هویت‌شده با یک حساب فقط‌خواندنی وارد می‌شوند و نرم‌افزارهای نصب‌شده و پیکربندی را مستقیم بررسی میکنند که موارد بسیار بیشتری پیدا میکند و هشدار کاذب کمتری دارد. بسته به هدف، از هر دو روش استفاده میکنیم.
ارزیابی آسیبپذیری آزمون نفوذ نیست. ما یافته‌ها را شناسایی و تأیید میکنیم، اما تلاشی برای سوءاستفاده از آنها، زنجیره کردنشان یا حرکت در شبکه شما نمی‌کنیم. اگر به آن سطح از اطمینان نیاز دارید، آزمون نفوذ را می‌توان جداگانه و معمولاً با یک شرکت متخصص تعیین محدوده کرد.
مشکلاتی که این خدمت حل میکند
در معرض اینترنت بودن بدون اطلاع
Remote Desktop، دستگاههای قدیمی VPN، صفحات مدیریتی یا سرورهای فراموش‌شده از اینترنت قابل دسترسی‌اند، بدون اینکه کسی متوجه باشد.
وصله‌گذاری‌ای که چیزهایی را جا می‌اندازد
به‌روزرسانی‌های سیستم‌عامل اجرا می‌شوند، اما نرم‌افزارهای سایر تولیدکنندگان، فریم‌ور و اجزای سرور بی‌سروصدا عقب می‌مانند.
گزارش‌های اسکنی که نمی‌شود بر اساسشان کاری کرد
اسکن قبلی صدها صفحه یافته تولید کرده، بدون هیچ نشانه‌ای از اینکه کدام‌ها واقعاً مهم‌اند.
الزامات مشتریان و بیمه‌گران
قراردادها یا درخواست‌های بیمه، شواهدی از اسکن منظم آسیبپذیری و رفع مشکلات می‌خواهند.
این پروژه شامل چه مواردی است
اسکن بیرونی
اسکن بدون احراز هویت نشانی‌های IP عمومی و دامنه‌های شما برای شناسایی سرویس‌های در معرض دید، نرم‌افزارهای قدیمی و پیکربندی ضعیف TLS.
اسکن شبکه داخلی
شناسایی و اسکن دستگاههای شبکه‌های دفتر شما، از جمله سرورها، چاپگرها، تجهیزات شبکه و دستگاههای مدیریت‌نشده.
اسکن احراز هویت‌شده دستگاه‌ها
اسکن با اطلاعات ورود یا ارزیابی مبتنی بر عامل روی دستگاه‌ها و سرورهای Windows و macOS برای یافتن وصله‌های نصب‌نشده و نرم‌افزارهای آسیب‌پذیر.
تأیید یافته‌ها
یافته‌ها توسط یک فرد بررسی می‌شوند تا هشدارهای کاذب آشکار حذف و نسخه یا تنظیم آسیب‌دیده تأیید شود.
اولویتبندی مبتنی بر ریسک
یافته‌ها بر اساس امتیاز شدت، حضور آسیبپذیری در فهرست آسیب‌پذیری‌های شناختهشده و مورد سوءاستفاده CISA، در معرض اینترنت بودن و اهمیت سیستم برای کسب‌وکار رتبه‌بندی می‌شوند.
برنامه رفع مشکلات و اسکن مجدد
اقدامات اصلاحی مشخص که بر اساس مسئول هر کار گروه‌بندی شده‌اند و پس از آن اسکن مجدد برای تأیید موارد برطرف‌شده.
چه چیزهایی داخل و خارج از محدوده است
اهداف، بازههای زمانی اسکن و افراد رابط پیش از شروع هرگونه اسکن در یک مجوز کتبی توافق می‌شوند.
شامل میشود
- اسکن بیرونی بدون احراز هویت نشانی‌های IP عمومی و نام‌های میزبان توافقشده
- شناسایی و اسکن داخلی محدوده‌های شبکه توافقشده
- اسکن احراز هویت‌شده سیستمهای Windows، macOS و سرورهای توافقشده
- بررسی دستی یافته‌ها برای کاهش هشدارهای کاذب
- گزارش یافته‌های اولویت‌بندی‌شده همراه با راهنمای رفع مشکلات
- یک نوبت اسکن مجدد برای تأیید پس از رفع مشکلات
شامل نمی‌شود مگر با محدوده جداگانه
- آزمون نفوذ، سوءاستفاده از آسیبپذیری یا حرکت جانبی در شبکه
- آزمون برنامه‌های وب فراتر از بررسیهای خودکار
- مهندسی اجتماعی، فیشینگ یا آزمون فیزیکی
- اسکن سیستم‌هایی که مالکشان نیستید یا اختیار تأییدشان را ندارید
- کار رفع مشکلات که جداگانه قیمتگذاری میشود یا تیم خودتان انجام می‌دهد
ابزارها و مراجع
- اسکنرهای تجاری و متن‌باز آسیبپذیری شبکه
- Microsoft Defender Vulnerability Management در صورت داشتن لایسنس
- رتبه‌بندی شدت بر اساس سامانه امتیازدهی آسیبپذیریها (CVSS)
- فهرست آسیب‌پذیری‌های شناختهشده و مورد سوءاستفاده CISA
- هشدارها و توصیه‌نامه‌های مرکز امنیت سایبری کانادا
- راهنمای CIS Controls درباره مدیریت مستمر آسیبپذیری
برای چه کسانی مناسب است
سازمان‌هایی با سرورهای محلی
کسب‌وکارهایی که سرورهای فایل، پایگاه داده یا نرم‌افزارهای تخصصی دارند و وصله‌گذاری کامل آنها دشوار است.
تیم‌هایی با سرویس‌های در معرض اینترنت
سازمان‌هایی که VPN، دسترسی از راه دور، پورتال وب یا درگاه ایمیل میزبانی میکنند.
الزامات ناشی از قرارداد
شرکت‌هایی که مشتریان، بیمه‌گران یا نهادهای صنفی‌شان انتظار شواهد اسکن دوره‌ای دارند.
مزایا
- فهرستی تأییدشده از ضعفهای شناختهشده به‌جای حدس و گمان
- تمرکز تلاش‌های اصلاحی بر آنچه مهاجمان واقعاً از آن سوءاستفاده میکنند
- دید به بخش‌هایی از سیستم که شاید ندانید در معرض اینترنت است
- شواهد اسکن و رفع مشکلات برای مشتریان و بیمه‌گران
- خط مبنای تکرارپذیر وقتی اسکن به‌صورت دوره‌ای انجام میشود
روند کار
تعیین محدوده و مجوز
محدوده‌های IP، نام‌های میزبان و دستگاه‌ها را فهرست میکنیم، بر سر بازههای اسکن و رابطان اضطراری توافق میکنیم و مجوز کتبی می‌گیریم.
آماده‌سازی
اطلاعات ورود فقط‌خواندنی یا عامل‌های اسکن آماده می‌شوند و سیستمهای حساس برای برخورد محتاطانه شناسایی می‌شوند.
اسکن
اسکن‌های بیرونی، داخلی و احراز هویت‌شده در بازههای توافقشده اجرا می‌شوند.
تحلیل و گزارش
یافته‌ها تأیید، اولویتبندی و همراه با گام‌های مشخص رفع مشکل مکتوب می‌شوند.
رفع مشکلات و اسکن مجدد
پس از آنکه اصلاحات توسط تیم شما یا ما اعمال شد، دوباره اسکن میکنیم و گزارش را به‌روز میکنیم.
گزینه‌های همکاری
همه هزینه‌ها پیشنهاد و در پیش‌فاکتور کتبی تأیید می‌شوند.
ارزیابی یک‌باره
یک دور اسکن همراه با گزارش و یک اسکن مجدد که به‌عنوان خط مبنا یا پیش از تمدید قرارداد مفید است.
اسکن دوره‌ای
اسکن ماهانه یا فصلی همراه با گزارش روند تغییرات که اغلب با مدیریت وصله‌ها ترکیب میشود.
ابتدا بازبینی گسترده‌تر وضعیت امنیتی
اگر لازم است شکاف‌های حاکمیت، هویت و پشتیبان‌گیری را هم بشناسید، «ارزیابی امنیت» را انتخاب کنید.
پرسش‌های متداول
تفاوت ارزیابی آسیبپذیری و آزمون نفوذ چیست؟
ارزیابی آسیبپذیری ضعفهای شناختهشده را پیدا و اولویتبندی میکند. آزمون نفوذ یک گام جلوتر میرود و تلاش میکند از آنها سوءاستفاده کند تا نشان دهد مهاجم به چه چیزهایی میتواند برسد. ما ارزیابی آسیبپذیری انجام میدهیم؛ آزمون نفوذ فقط با تعیین محدوده و مجوز جداگانه و معمولاً با یک شریک متخصص انجام میشود.
آیا اسکن ممکن است چیزی را خراب کند؟
اسکن بهطور کلی بیخطر است، اما دستگاههای قدیمی، چاپگرها و برخی تجهیزات صنعتی یا پزشکی ممکن است واکنش نامناسبی نشان دهند. سیستمهای حساس را در مرحله تعیین محدوده شناسایی میکنیم و آنها را مستثنا میکنیم یا در بازههای توافقشده با ملایمت اسکن میکنیم.
هر چند وقت یک بار باید اسکن کنیم؟
بسیاری از چارچوبها، از جمله CIS Controls، اسکن دستکم فصلی و پس از تغییرات مهم را توصیه میکنند. سیستمهای در معرض اینترنت از بررسیهای مکررتر سود میبرند.
آیا آسیبپذیریها را هم برطرف میکنید؟
رفع مشکلات بخشی از هزینه ارزیابی نیست. تیم شما میتواند آن را انجام دهد، یا ما میتوانیم کار را جداگانه قیمتگذاری کنیم یا در قالب یک برنامه خدمات مدیریتشده پوشش دهیم.
خدمات مرتبط
صنایعی که پشتیبانی میکنیم
بدانید کدام آسیبپذیریها در محیط شما اهمیت دارند
بگویید چه چیزی را می‌خواهید اسکن کنیم تا اهداف، بازههای زمانی اسکن و هزینه ثابت را به‌صورت کتبی پیشنهاد دهیم.