Application Risk Management: Beyond Vulnerability Scanning - პროგრამის რისკის მართვის მომავალი

The Old Ways Are Not Enough Anymore ძველი გზა არ არის საკმარისი მე ვფიქრობ, რომ ერთხელ, როდესაც განაცხადის სკანირება შეუზღუდავიებისთვის გრძნობს, როგორც მოგზაურობა. თქვენ აწარმოებთ რამდენიმე ავტომატური ინსტრუმენტები, გააუმჯობესებთ ის, რაც ისინი შეტყობინებენ, ეს ყველაფერი შეტყობინება შეესაბამება, და გააგრძელებთ. ამ დროს, ეს routine გრძნობს, როგორც ხელსაყრელი პორტები უსაფრთხო. მაგრამ ამ დღეებში, იგივე routine გრძნობს უფრო მეტი, ვიდრე შეამოწმება ყუთი სიაში, რომელიც გააგრძელდება ტექნოლოგიის სიჩქარით. დღეს პროგრამები არ არსებობს მხოლოდ ადგილობრივი სერვერზე, რომელიც გაქვთ ნათელი გარემოები. ისინი მოიცავს cloud გარემოები, API-ები, კონტეინერები და microservices, რომლებიც უპირატესობად უპირატესობად უპირატესობად უპირატესობად უპირატესობად უპირატესობად უპირატესობად უპირატესობად უპირატესობად უპირატესობად უპირატესობად უპირატესობად უპირატესობად უპირატესობად უპირატესობად უპირატესობად უპირატესობად უპირატესობთ უპირატესობთ უპირატესობთ უპირატესობთ უპირატესობთ უპირატესობთ უპირატესობთ უპირატესობთ Why Scanning Alone Isn’t Security რატომ სინამდვილე არ არის უსაფრთხოება ფუნქციონირება, როგორც ძირითადი ადრეის შეტყობინების სისტემა. ეს გვიჩვენებს, სადაც რამ გაბრძალულია თქვენი ცნობილი კოდი ბაზარზე, შეტყობინებს უახლესი ბიბლიოთეკები, და შეუძლია იპოვოს დაბალი შეტყობინება უსაფრთხოების ფორმები. მაგრამ პრობლემა არის, ეს გაგრძელდება. ეს არ დაგეხმარებათ შეინახოთ ამ რისკების ნამდვილი წონა. ეს არ გვიჩვენებს, თუ როგორ ერთ ცუდი შეიძლება გაქირავდეს უფრო დიდი ბიზნესის რისკზე. და ეს, რა თქმა უნდა, არ გთავაზობთ სტრატეგიას რისკების გაუმჯობესებლად განვითარების გუნდის სფეროში. მე ვხედავთ, თუ როგორ გუნდები შეუძლიათ შეშფოთოთ შეუზღუდავი შეტყობინებები, რომლებიც არ აქვს ნებისმიერი ფორმით Priority. ისინი დასრულდება რეპუტაცია პრობლემები, რომელიც დაფუძნებულია სიზუსტის სექციები, რომლებიც განკუთვნილია სავარაუდო აღჭურვილობა, ვიდრე რეალურ სამყაროში შედეგები. ერთ-ერთი ყველაზე ეფექტური მიმოხილვა ითვლება ყველა მაღალი სიზუსტით სიზუსტებს, როგორც იგივე სწრაფად. ისინი არ არიან. მნიშვნელოვანი სიზუსტი შეშფოთებული sandboxed კომპონენტზე შეიძლება იყოს ბევრად ნაკლებად რისკული, ვიდრე საშუალო სიზუსტით bug მდებარეობს ძირითადი კლიენტების მომსახურება. კონტაქტი მნიშვნელოვანია. და Understanding Risk in Real Business Terms რისკების ცოდნა რეალურ ბიზნესში რა განაცხადის რისკის მართვის საჭიროა ფართო ფანჯარა - ის, რომელიც არ არის მხოლოდ ტექნიკური შეცდომები, არამედ ოპერაციული რეალიზატები, ბიზნეს ეფექტი, და მომხმარებლის ექსპლუატაცია. მაგალითად, პრობლემა გადახდის დამუშავების მოდულზე სიჩქარის დროს ძალიან განსხვავებული წონა შეიცავს, ვიდრე იგივე პრობლემა შეიცავს განვითარება sandbox. ეს განსხვავება არის რეალური რისკის მართვის დაიწყება. ეს არის ასევე უპირატესობა სრულიობის, რომ scanning ინსტრუმენტები შექმნათ. ეს არის კომფორტული ვფიქრობთ, რომ თქვენ შეიცავს ყველა თქვენი ბაზები მხოლოდ იმის გამო, რომ scan დაბრუნება სუფთა. მაგრამ რისკები არ არის ყოველთვის მოდის ცნობილი შეუზღუდავი. ზოგჯერ ისინი მოდის არქიტექტურ არჩევანი, საწინააღმდეგო განახლება, ცუდი ქმედებები, რომ შექმნათ დროს. და არ არის ინსტრუმენტი გააჩნია მათ თქვენთვის, თუ არ არის სპეციალურად განკუთვნილია მონიტორინგი ამ ქმედებებს - და მაშინაც კი, საჭიროა, რომ სწორი კონტაქტი იყოს მნიშვნელობა. Moving From Periodic Reviews to Continuous Risk Awareness განხორციელებული მიმოხილვა მუდმივი რისკების აღიარება თანამედროვე რისკის მენეჯმენტი იმას ნიშნავს, რომ განაცხადებს ცხოვრობენ სისტემები. ეს სისტემები მუდმივად განვითარება. თითოეული გაფართოება, ინტეგრირება და ფუნქციონალური გათავისუფლება, რისკის ფართობი ცვლილება. ეს არის მიზეზი, რომ პროგრამის რისკის მენეჯმენტის მომავალი უნდა იყოს მუდმივი, არა ეფექტური. ერთჯერადი შეფასება sprint- ის ბოლოს ან თებერვალი-ში არ იღებს. რისკები შეიძლება ზედაპირზე და გაფართოდეს დიდი ხნის წინ, სანამ თქვენი შემდეგი სინაცია განკუთვნილია. და რისკის არ არის მხოლოდ რაღაც, რომ რეაქციურად მონიტორინგი. არსებობს უდიდესი ძალა, რომ პროექტუალური - ინტეგრირება რისკის ინტეგრირება დიზაინი და განვითარების პროცესში. როდესაც უსაფრთხოების და რისკის გუნდი მუშაობს ადრე, ისინი შეუძლიათ დაეხმაროს არქიტექტუალური გადაწყვეტილებები გზა, რომელიც გააუმჯობესებს მთელი კლასის რისკები, სანამ ისინი არასდროს მათ კოდი ბაზარზე. ეს არ არის შეამციროს განვითარება. გარდა ამისა, ეს საშუალებას გაძლევთ გუნდებს სწრაფად გააუმჯობესოს უსაფრთხოებით, იცით, რომ საფუძველები ძლიერია. Vulnerabilities Evolve Faster Than You Ship — Monitor or Fall Behind Vulnerabilities Evolve უფრო სწრაფად, ვიდრე თქვენ საჰაერო - Monitor or Fall Behind სიჩქარე არ არის მხოლოდ თქვენი მოცულობა - ეს არის თქვენი კონტაქტი, ასევე. ყოველდღიურად ახალი სიზუსტით გამოქვეყნდა. Exploit kits უფრო სწრაფად აღჭურვილია, ვიდრე არასდროს, და თავმჯდომარე არ იძლევა patch ციკლი. რეალურ დროში რისკი არ არის teoretic - ეს არის ბატარეის ფართობი. აქ არის მძიმე ფაქტი: სიჩქარით გამოვლენის გამოვლენის გაიზარდა ტრადიციული უსაფრთხოების პრაქტიკები. სიჩქარე შორის CVE გამოქვეყნებული და აქტიურად გამოიყენება, ხშირად შეზღუდულია საათები, არა დღეები. ეს არის მიზეზი, რომ რეალურ დროში vulnerability მონიტორინგი არ არის "მართული", ეს არის მნიშვნელოვანია. სტატისტიკური შეფასება vulnerability არ შეიძლება გაგრძელდეს. თქვენ უნდა Live telemetry თქვენი ინფრასტრუქტურის და განაცხადის ქცევის, რისკის intelligence feeds თქვენი CI / CD pipeline, ავტომატური CVE კრრიალატები თქვენი მიმდინარე stack, და უსაფრთხოების გადარჩენის Priorization ბიზნესის რისკის და აღჭურვილობა. და აქ არის Kicker: ეს მიმოხილვა უნდა იყოს დაკავშირებული ბაზარზე მიმოხილვა SLAs და uptime მოთხოვნები. იმიტომ, რომ რა კარგი არის რეზოლუციური სისტემა, თუ იგი შეშფოთება საზოგადოების კონტროლის დროს zero-day ქარხანა? უსაფრთხოება და ხელმისაწვდომობა არ არის უფრო განსხვავებული მიზნები - ისინი ორი მხარეს თქვენი ოპერაციული შეთავაზება. თქვენ არ შეგიძლიათ მოთხოვნოთ საიმედოობა გარეშე, რომ უზრუნველყოს, რომ თქვენ უსაფრთხო ახლა, არა მხოლოდ ბოლო კვირაში. Yes, Some Risk Is Actually Healthy Yes, ზოგიერთი რისკი ნამდვილად ჯანმრთელობის მაგრამ აქ არის რაღაც, რომელიც არ არის საკმარისი: არ არის ყველა რისკი ცუდი. ფაქტობრივად, ზოგიერთი ყველაზე ეფექტური ინოვაციები მოდის გუნდები, რომლებიც მზად არიან მიიღოს გარკვეული რაოდენობით დახვეწილი რისკის. ვფიქრობ, რომ პროდუქტის დატვირთვა, რომელიც დატვირთვა პლატფორმა ან პლატფორმა ინტეგრირება, რომელიც იწყებს ახალი ბაზარზე. ეს არ არის დაბალი რისკის მოვლენები, მაგრამ ისინი აუცილებელია. მოწინავე რისკის მართვის სტრატეგია აღიარებს ეს და მხარს უჭერს. იმისა, რომ ყველა რისკების გათავისუფლების მიზნით, მიზნით უნდა იყოს ის, რომ ის გაიგოს, მას გადაწყვიტოს და მასთან დაკავშირებული გადაწყვეტილებების მიღება. ეს იმას ნიშნავს, რომ არ არის მხოლოდ შეამოწმება რისკებისთვის, არამედ აღიარება, რა რისკების დონე არის აღიარებული, რა სტანდარტებს განიხილავს, რომ საჭიროა ინტივაცია, და როგორ უნდა მონიტორინიროთ ამ სტანდარტებს რეალურ დროში. ეს იმას ნიშნავს, რომ არ არის მხოლოდ რისკების გაგრძელება, არამედ შეამციროს ეფექტების წარმატება და სისტემის ჯანმრთელობა დროის განმავლობაში. We Need Better Metrics—Not Just More of Them ჩვენ გვჭირდება უკეთესი მეტრიკები - არა მხოლოდ მათ მეტი ამ შემთხვევაში მეტრიკები ძალიან მნიშვნელოვანია – მაგრამ არა მხოლოდ ძირითადი, როგორიცაა “ზომიერების რაოდენობა ღია”. ეს არის უარყოფითი სტატისტიკა, თუ ეს არ არის დაკავშირებული შედეგებს. რა საჭიროა მეტრიკები, რომლებიც ამბობს ისტორიას. თუ როგორ სწრაფად ჩვენ გადაწყვეტებთ ყველაზე მნიშვნელოვანი პრობლემები? ჩვენ ვხედავ უარყოფითი ინტენსიები იგივე კოდის ტერიტორიაზე? როგორ შედარებით ახლა ბოლო კვადრატზე რისკების გამოფენა? ამ კითხვაზე პასუხები გთავაზობთ უფრო პოტენციას, ვიდრე ნებისმიერი ფანტას სიზუსტის სავარაუდოობის სავარაუდოა. ამ ახალი პლატფორმაში ფხვნილი ორგანიზაციები არიან, რომლებიც რისკებს შეესაბამება როგორც ერთობლივი პასუხისმგებლობა. განვითარებლები, პროდუქტის მენეჯერი, არქიტექტორები, უსაფრთხოების გუნდი, და ისევე იურიდიული და კონფიდენციალურობის ადამიანები ყველა აქვს როლი. და უფრო მეტი რისკის მართვის ინტეგრირებულია ყოველდღიური სამუშაო თარიღიებში, უფრო ნაკლებად ეს გრძნობს, როგორც განსხვავებული ტანსაცმელი. ეს გახდება კულტურის ნაწილი, არა მხოლოდ კონფიდენციალურობის ტანსაცმელი, სანამ გამოქვეყნდა. The Real Shift Is Cultural, Not Just Technical რეალური ცვლილება არის კულტურული, არა მხოლოდ ტექნიკური რა თქმა უნდა, ამ ტიპის ინტეგრირება არ მოხდება ღამით. ეს იწყება, რათა შეცვალოთ, თუ როგორ ითვლება რისკები. არ არის ბლოკერი, არამედ სინამდვილე. არ არის მიზეზი შენარჩუნება, არამედ მიზეზი შენარჩუნება უფრო სასიამოვნო. და ეს მოითხოვს ინსტრუმენტები და სისტემები, რომლებიც შეუძლიათ მხარს უჭერს ეს ფსიქოლოგია - ინსტრუმენტები, რომლებიც უზრუნველყოფს ნახვა, კონტექსტში და რეალურ დროში მიმოხილვა, რა ხდება განაცხადის ფართობი. საბოლოოდ, განაცხადის რისკის მართვის მომავალი არ არის სენსორების შეცვალოს - ეს არის კონტაქტის გაუმჯობესება. ეს არის გადარჩენის საწყისი შეუზღუდავი სიჩქარით და სტრატეგიული გადაწყვეტილებების მიღება. ეს არის გადარჩენა შეესაბამება და სართულში, სადაც რისკის აქტიურად მართვა, მუდმივად შეზღუდვა და მუდმივად გაუმჯობესება ინოვაციების მხარდაჭერა. ჩვენ მივიღებთ დრო, როდესაც სიჩქარე და უსაფრთხოება არ არის უპირატესობები. რეალური მოვლენები არ არის, თუ როგორ სწრაფად შეგიძლიათ გათავისუფლებას – ეს არის, თუ როგორ უსაფრთხოდ შეგიძლიათ გააკეთოთ, გარეშე შეზღუდვა. და ეს არის მოვლენები, რომელიც ღირს თავდაპირველად, ერთად რისკის სტრატეგია, რომელიც არის ისე თანამედროვე, როგორც პროგრამები, რომ იგი უნდა დაცვა. ეს ისტორია გამოქვეყნდა Sanya Kapoor- ს მიერ HackerNoon's Business Blogging Program- ში. ეს ისტორია გამოქვეყნდა Sanya Kapoor- ს მიერ HackerNoon's Business Blogging Program- ში.