CC7.1: Мониторинг уязвимостей

Подробное описание

Контроль CC7.1 требует внедрения системы непрерывного мониторинга для своевременного обнаружения новых уязвимостей в инфраструктуре. Организация должна использовать автоматизированные средства сканирования, интегрированные с базами данных уязвимостей (NVD, CVE), для регулярной проверки активов. Система должна включать SIEM-решение для корреляции событий безопасности, мониторинг отклонений конфигурации (configuration drift) и интеграцию с источниками threat intelligence. Согласно NIST SP 800-137, непрерывный мониторинг информационной безопасности (ISCM) должен обеспечивать видимость состояния безопасности в режиме реального времени. Ключевая метрика эффективности — среднее время обнаружения угроз (MTTD), которое должно быть минимизировано через автоматизацию.

Практические шаги внедрения

1. 1

   Развернуть централизованную SIEM-систему для сбора и анализа логов безопасности со всех критичных активов

2. 2

   Настроить автоматизированные сканеры уязвимостей с еженедельным расписанием для внутренних систем и ежедневным для внешних периметров

3. 3

   Интегрировать систему мониторинга с актуальными фидами уязвимостей (NVD, CISA KEV, vendor security advisories)

4. 4

   Внедрить мониторинг отклонений конфигурации (configuration drift detection) для критичных систем с автоматическими алертами

5. 5

   Настроить автоматическую корреляцию событий для выявления цепочек атак и аномального поведения

6. 6

   Создать дашборды для визуализации метрик безопасности: количество открытых уязвимостей по критичности, MTTD, тренды изменений

7. 7

   Разработать процедуры эскалации для критичных уязвимостей с определением SLA на patching (например, CRITICAL — 24 часа, HIGH — 7 дней)

Типичные нарушения

• Отсутствие централизованной системы сбора и анализа событий безопасности, ручной просмотр логов отдельных систем

• Сканирование уязвимостей выполняется нерегулярно или только по запросу, без автоматического расписания

• Используются устаревшие базы сигнатур уязвимостей, нет интеграции с актуальными CVE/NVD фидами

• Мониторинг настроен только для обнаружения атак, но не отслеживает configuration drift и compliance deviations

• Обнаруженные уязвимости не приоритизируются по CVSS/EPSS, нет процесса отслеживания времени до устранения (MTTR)

Почему это важно