Η σάρωση ευπαθειών (Vulnerability scanning) παίζει κρίσιμο ρόλο στη στρατηγική κυβερνοασφάλειας ενός οργανισμού
αυτοματοποιώντας τη διαδικασία εντοπισμού πιθανών αδυναμιών ασφαλείας στα συστήματα,
τα δίκτυα και τις εφαρμογές.
Αυτή η αυτοματοποιημένη διαδικασία βοηθά τους οργανισμούς να εντοπίζουν προληπτικά ευπάθειες, λανθασμένες ρυθμίσεις,
ξεπερασμένο λογισμικό και ελλείποντα patches πριν αυτά χρησιμοποιηθούν από επιτιθέμενους.
Χρησιμοποιώντας εξειδικευμένα εργαλεία, η σάρωση ευπαθειών αναδεικνύει κινδύνους ασφαλείας που διαφορετικά θα μπορούσαν
να περάσουν απαρατήρητοι, καθιστώντας την ουσιαστικό μέρος της κατανόησης της κατάστασης ασφαλείας
του οργανισμού και της ανάπτυξης στρατηγικής για τον μετριασμό των κινδύνων.
Για παράδειγμα, μια εταιρεία μπορεί να ξεκινήσει μια σάρωση ευπαθειών σε όλο το δίκτυο.
Φυσικά, μπορούν να χρησιμοποιήσουν το Nmap, αλλά αυτό θα ήταν μια χειροκίνητη διαδικασία.
Βέβαια, μπορούν να το αυτοματοποιήσουν χρησιμοποιώντας Python και bash shell scripting
με το Nmap τους, αλλιώς μπορούν να χρησιμοποιήσουν εργαλεία όπως το Nessus, το OpenVAS ή το Qualys.
Αυτά τα εργαλεία σαρώνουν για συστήματα χωρίς patches ή ξεπερασμένο λογισμικό που θα μπορούσε να είναι ευάλωτο
σε εκμετάλλευση, όπως είδαμε και με το Nmap.
Η ομάδα θα έδινε τότε προτεραιότητα στη διόρθωση (patching) ή την αναβάθμιση του λογισμικού για την πρόληψη της εκμετάλλευσης.
Ομοίως, η σάρωση ευπαθειών μπορεί να αποκαλύψει άλλα κρίσιμα ζητήματα, όπως ανοιχτές
θύρες, αδύναμους κωδικούς πρόσβασης, προβλήματα διαμόρφωσης κ.λπ.
Από τεχνική άποψη, τα εργαλεία σάρωσης ευπαθειών λειτουργούν συγκρίνοντας το σύστημα-στόχο
με μια ολοκληρωμένη βάση δεδομένων γνωστών ευπαθειών.
Οι βάσεις δεδομένων περιέχουν συνήθως πληροφορίες από αξιόπιστες πηγές, όπως το CVE (Common
Vulnerabilities and Exposures) και η NVD (National Vulnerability Database).
Αυτές οι βάσεις δεδομένων χρησιμεύουν ως θεμέλιο για τον εντοπισμό γνωστών απειλών.
Τα εργαλεία σαρώνουν το σύστημα-στόχο χρησιμοποιώντας έναν συνδυασμό τεχνικών, συμπεριλαμβανομένων ελέγχων
δικτύου, επιθεωρήσεων του συστήματος αρχείων και ανάλυσης συμπεριφοράς λογισμικού.
Ορισμένοι σαρωτές υποστηρίζουν ακόμη και σαρώσεις με διαπιστευτήρια, όπου το εργαλείο αποκτά βαθύτερη εικόνα
συνδεόμενο στο σύστημα και εξετάζοντας τις ρυθμίσεις ή ελέγχοντας για
ελλείποντα patches και παλιές εκδόσεις λογισμικού.
Ένα από τα πλεονεκτήματα της σάρωσης ευπαθειών είναι η αυτοματοποίηση.
Είναι η δυνατότητα προγραμματισμού σε τακτά διαστήματα, επιτρέποντας στους οργανισμούς να διατηρούν
ενημερωμένες αξιολογήσεις ασφαλείας.
Αυτό διασφαλίζει ότι τυχόν νέες ευπάθειες ή αναδυόμενες απειλές εντοπίζονται έγκαιρα.
Ωστόσο, ενώ η ίδια η διαδικασία σάρωσης είναι αυτοματοποιημένη, η χειροκίνητη παρέμβαση παραμένει
απαραίτητη.
Οι επαγγελματίες ασφαλείας πρέπει να αξιολογούν πολύπλοκα ζητήματα που μπορεί να προκύψουν,
να ερμηνεύουν τα ευρήματα και να λαμβάνουν τα κατάλληλα μέτρα για τη διόρθωση των ευπαθειών.
Για παράδειγμα, η ερμηνεία του αντίκτυπου μιας ευπάθειας που ανακαλύφθηκε,
ο καθορισμός του αν χρειάζεται άμεση προσοχή και η εφαρμογή των
απαραίτητων διορθώσεων απαιτούν την τεχνογνωσία επαγγελματιών κυβερνοασφάλειας.
Η σάρωση ευπαθειών είναι μια πολύπλευρη διαδικασία που μπορεί να κατηγοριοποιηθεί σε
τρεις κύριους τύπους: σάρωση δικτύου, εφαρμογών και κεντρικού υπολογιστή (host-based).
Κάθε τύπος στοχεύει σε διαφορετικό επίπεδο της υποδομής ενός οργανισμού με
συγκεκριμένη εστίαση στον εντοπισμό πιθανών ευπαθειών ασφαλείας σε αυτό το επίπεδο.
Αυτές οι σαρώσεις είναι κρίσιμες για την παροχή ολοκληρωμένων αξιολογήσεων ασφαλείας,
διασφαλίζοντας ότι όλα τα στοιχεία του περιβάλλοντος ενός οργανισμού προστατεύονται
επαρκώς.
Στη σάρωση δικτύου (network-based), η εστίαση είναι στον εντοπισμό ευπαθειών εντός
συσκευών και συστημάτων που είναι συνδεδεμένα στο δίκτυο.
Αυτή η σάρωση είναι απαραίτητη για την ανακάλυψη ζητημάτων όπως ανοιχτές θύρες,
λανθασμένοι κανόνες τείχους προστασίας ή συσκευές δικτύου χωρίς patches που θα μπορούσαν
να εκτεθούν σε επιθέσεις.
Εργαλεία όπως το Nessus, το Nmap ή το Qualys χρησιμοποιούνται συνήθως για σάρωση
δικτύου.
Αυτά τα εργαλεία αξιολογούν δημόσιες διευθύνσεις IP, σκανάροντας για ευπάθειες που
θα μπορούσαν να εκμεταλλευτούν μέσω του δικτύου.
Για παράδειγμα, η σάρωση δικτύου μπορεί να εντοπίσει μια ανοιχτή θύρα σε έναν
διακομιστή που θα έπρεπε να είναι κλειστή ή να εντοπίσει έναν παλιό δρομολογητή με
γνωστά κενά ασφαλείας.
Αυτός ο τύπος σάρωσης είναι ζωτικής σημασίας για την κατανόηση της έκθεσης του δικτύου
και την ασφάλιση της περιμέτρου του.
Η σάρωση εφαρμογών (application-based), από την άλλη πλευρά, στοχεύει σε διαδικτυακές εφαρμογές
και το υποκείμενο λογισμικό τους.
Εστιάζει στον εντοπισμό σφαλμάτων ασφαλείας στον κώδικα ή τη λογική των
εφαρμογών που θα μπορούσαν να εκμεταλλευτούν οι επιτιθέμενοι.
Αυτός ο τύπος σάρωσης πραγματοποιείται συχνά με εργαλεία όπως το OWASP ZAP ή
το Burp Suite της PortSwigger, όπως ονομάζεται πλέον.
Αυτά τα εργαλεία έχουν σχεδιαστεί για να εντοπίζουν κοινές ευπάθειες web εφαρμογών,
συμπεριλαμβανομένου του SQL injection, του cross-site scripting ή
των μη ασφαλών APIs.
Για παράδειγμα, μια σάρωση εφαρμογής μπορεί να εντοπίσει μια ιστοσελίδα που είναι
ευάλωτη σε SQL injection, επιτρέποντας στους επιτιθέμενους να έχουν πρόσβαση ή
να χειραγωγούν την υποκείμενη βάση δεδομένων.
Η σάρωση εφαρμογών είναι ζωτικής σημασίας γιατί οι ευπάθειες στις
εφαρμογές μπορεί να είναι η πύλη για τους επιτιθέμενους ώστε να παραβιάσουν το
σύστημα του οργανισμού.
Τέλος, η σάρωση κεντρικού υπολογιστή (host-based) εστιάζει στα μεμονωμένα συστήματα εντός
του οργανισμού, όπως διακομιστές, σταθμούς εργασίας και άλλα τερματικά σημεία.
Αυτός ο τύπος σάρωσης διασφαλίζει ότι τα συστήματα είναι με ασφάλεια
ρυθμισμένα, ενημερωμένα με patches ασφαλείας και δεν έχουν
ελλείποντα ή παλιά software versions που θα μπορούσαν να εκμεταλλευτούν.
Εργαλεία όπως το OpenVAS ή το LAN security analyzer της Microsoft
συνδέονται στα συστήματα ή χρησιμοποιούν agents για να
αξιολογήσουν ρυθμίσεις και εκδόσεις λογισμικού που είναι εγκατεστημένες
μέσα στους hosts.
Για παράδειγμα, μια σάρωση host μπορεί να αποκαλύψει ότι ένας διακομιστής
τρέχει μια παλιά έκδοση του VirtualBox ή έναν web server
εκτεθειμένο σε ευπάθειες.
Η σάρωση κεντρικού υπολογιστή ελέγχει επίσης για αδύναμους ελέγχους πρόσβασης,
ζητήματα διαμόρφωσης και μη ασφαλείς
ρυθμίσεις, διασφαλίζοντας ότι τα συστήματα είναι σωστά θωρακισμένα (hardened)
ενάντια στις επιθέσεις.
Τεχνικά, κάθε μέθοδος σάρωσης χρησιμοποιεί διαφορετικές τεχνικές
για τη συλλογή και ανάλυση δεδομένων.
Οι σαρώσεις δικτύου συχνά χρησιμοποιούν τεχνικές όπως
banner-grabbing, σαρώσεις SYN και υπογραφές ευπαθειών.
Το banner-grabbing περιλαμβάνει τη συλλογή πληροφοριών από
υπηρεσίες που τρέχουν σε ανοιχτές θύρες, όπως εκδόσεις
λογισμικού ή λειτουργικά συστήματα για τον εντοπισμό γνωστών ευπαθειών.
Οι σαρώσεις εφαρμογών συνήθως επιθεωρούν την κυκλοφορία HTTPS/HTTP,
αναζητώντας ευπάθειες στον κώδικα,
χρησιμοποιώντας ανάλυση κώδικα ή τη λογική των web εφαρμογών.
Αυτή η σάρωση μπορεί να εντοπίσει θέματα όπως ελλιπή επικύρωση εισόδου (input validation)
στον πηγαίο κώδικα, αδύναμη διαχείριση συνεδρίας (session management)
ή μη ασφαλείς μεθόδους ταυτοποίησης.
Οι σαρώσεις κεντρικού υπολογιστή, από την άλλη πλευρά, συνδέονται σε ένα σύστημα.
Εστιάζουν στο λειτουργικό σύστημα και βασίζονται σε έναν
agent εγκατεστημένο στο σύστημα για να ελέγξουν για ελλείποντα patches,
μη ασφαλείς ρυθμίσεις και παλιές εκδόσεις λογισμικού.
Αυτές οι σαρώσεις μπορεί επίσης να αξιολογήσουν logs συστήματος, δικαιώματα χρηστών και
άλλες ρυθμίσεις σε επίπεδο συστήματος.
Ενώ οι σαρώσεις δικτύου θεωρούνται γενικά λιγότερο
παρεμβατικές, οι σαρώσεις εφαρμογών και κεντρικού υπολογιστή μπορούν να παρέχουν
πιο λεπτομερή στοιχεία, αλλά μπορεί να απαιτούν περισσότερη πρόσβαση
και δικαιώματα στους hosts.
Οι σαρώσεις εφαρμογών και hosts συχνά χρειάζονται
πρόσβαση με ταυτοποίηση (authentication) στα συστήματα,
ώστε να αξιολογήσουν με ακρίβεια τη διαμόρφωση και την κατάσταση ασφαλείας τους,
ενώ η σάρωση δικτύου μπορεί να ενεργοποιηθεί συνολικά
με πιο κεντρικό τρόπο.
Συνήθως η σάρωση δικτύου διεξάγεται
από έξω και δεν απαιτεί τόση πρόσβαση
στα εσωτερικά συστήματα, αποτελώντας μια λιγότερο επικίνδυνη λειτουργία
ως προς την εισβολή στο σύστημα, ωστόσο το δίκτυο μπορεί να
επηρεαστεί λόγω της υψηλής κυκλοφορίας.