Απογραφή Στοιχείων Πληροφοριακού Συστήματος

Η απογραφή στοιχείων πληροφοριακού συστήματος είναι ο αξιόπιστος κατάλογος των μερών που μαζί συγκροτούν ένα σύστημα: οι διακομιστές και οι σταθμοί εργασίας στους οποίους εκτελείται, οι συσκευές δικτύου που τα συνδέουν, τα λειτουργικά συστήματα και οι εφαρμογές που είναι εγκατεστημένες, καθώς και το υλικολογισμικό (firmware) που βρίσκεται από κάτω. Ο όρος προέρχεται από τη διαχείριση διαμόρφωσης. Στο NIST SP 800-53, τον κατάλογο ελέγχων πίσω από το FISMA, το FedRAMP και μεγάλο μέρος της πολιτικής ασφάλειας των ομοσπονδιακών αρχών και των αναδόχων των ΗΠΑ, διατυπώνεται ως έλεγχος CM-8, Information System Component Inventory. Η ίδια ιδέα εμφανίζεται αλλού με άλλα ονόματα, για παράδειγμα ως απογραφή περιουσιακών στοιχείων στο ISO/IEC 27001 ή ως κατάλογος στοιχείων διαμόρφωσης στη διαχείριση διαμόρφωσης κατά ITIL.

Αυτό που ορίζει την απογραφή είναι η ακρίβεια και η επικαιροποίησή της, όχι η απλή ύπαρξη ενός καταλόγου. Ένα υπολογιστικό φύλλο που συντάχθηκε μία φορά για τον έλεγχο και δεν ενημερώθηκε ποτέ ξανά δεν καλύπτει την απαίτηση. Η αξία της εξαρτάται από το αν αντικατοπτρίζει το σύστημα όπως είναι σήμερα, συμπεριλαμβανομένων των στοιχείων που κάποιος πρόσθεσε την περασμένη εβδομάδα χωρίς να ρωτήσει κανέναν.

Μια απογραφή που καλύπτει την πρόθεση του ελέγχου πηγαίνει πολύ πέρα από μια λίστα ονομάτων. Για κάθε στοιχείο, η εγγραφή συνήθως περιλαμβάνει τα εξής χαρακτηριστικά:

Η απογραφή στοιχείων είναι προαπαιτούμενο σχεδόν για κάθε άλλον έλεγχο ασφάλειας. Η διαχείριση ευπαθειών δεν μπορεί να ενημερώσει λογισμικό που δεν γνωρίζει ότι είναι εγκατεστημένο. Η αντιμετώπιση περιστατικών δεν μπορεί να οριοθετήσει μια παραβίαση αν δεν ξέρει ποια συστήματα υπάρχουν και τι εκτελούν. Ο έλεγχος πρόσβασης δεν μπορεί να θεωρηθεί πλήρης αν κάποια στοιχεία δεν έχουν ποτέ ελεγχθεί. Καθεμία από αυτές τις δραστηριότητες προϋποθέτει σιωπηρά ότι η απογραφή είναι πλήρης και ορθή.

Η ίδια απαίτηση εμφανίζεται σε άλλα πλαίσια με διαφορετικά ονόματα. Το FedRAMP κληρονομεί άμεσα τον CM-8. Το PCI DSS απαιτεί απογραφή των στοιχείων του συστήματος που εμπίπτουν στο πεδίο εφαρμογής των δεδομένων καρτών. Το ISO/IEC 27001 απαιτεί απογραφή περιουσιακών στοιχείων με καθορισμένη ευθύνη. Η διατύπωση διαφέρει, αλλά η βασική απαίτηση παραμένει ίδια: γνώρισε τι έχεις, πριν επιχειρήσεις να το προστατεύσεις.

Τα ώριμα προγράμματα συνδυάζουν τη χειροκίνητη καταχώριση με την αυτόματη ανίχνευση και στη συνέχεια ελέγχουν τα αποτελέσματα σύμφωνα με χρονοδιάγραμμα:

1. 1

   Χειροκίνητη καταχώριση

   Τα στοιχεία καταχωρίζονται όταν αγοράζονται και αναπτύσσονται, με υπεύθυνο που ορίζεται από την πρώτη μέρα.

2. 2

   Αυτόματη ανίχνευση

   Πράκτορες ή σαρώσεις δικτύου εντοπίζουν διαρκώς τα συνδεδεμένα στοιχεία, καταγράφοντας υλικό και λογισμικό που η χειροκίνητη διαδικασία δεν κατέγραψε ή που προστέθηκε εκτός αυτής.

3. 3

   Συμφωνία

   Τα αποτελέσματα της ανίχνευσης συγκρίνονται με την καταχωρισμένη απογραφή σε προκαθορισμένο χρονοδιάγραμμα. Κάθε στοιχείο που εμφανίζεται στο δίκτυο αλλά λείπει από την εγγραφή ερευνάται και δεν προστίθεται σιωπηλά.

4. 4

   Συχνότητα ελέγχου

   Το NIST SP 800-53 αφήνει το ακριβές διάστημα στον οργανισμό, αλλά απαιτεί να ορίζεται στην πολιτική και να τηρείται. Τριμηνιαίοι και μηνιαίοι κύκλοι είναι συνηθισμένοι, ανάλογα με τον κίνδυνο του συστήματος.

Η απογραφή υλικού του Anexet δημιουργεί αυτή την εγγραφή από την ανίχνευση. Η κάρτα κάθε συσκευής καταγράφει τον τύπο, τον σειριακό αριθμό, τον υπεύθυνο και την τοποθεσία, ενώ η λίστα εφαρμογών κάθε υπολογιστή δείχνει το λογισμικό της απογραφής με εκδόσεις και ημερομηνίες εγκατάστασης.

1 / 2

• 
• 

Η διαφορά ανάμεσα σε μια τυπική και σε μια αξιόπιστη απογραφή φαίνεται σε μερικά επαναλαμβανόμενα μοτίβα. Ένα μητρώο που ενημερώνεται μόνο κατά τους ελέγχους ξεπερνιέται μέσα σε λίγες εβδομάδες. Στοιχεία που προσθέτουν οι χρήστες εκτός των αγορών, όπως προσωπικές συσκευές, μη εγκεκριμένο λογισμικό ή ένας επιπλέον δρομολογητής συνδεδεμένος σε μεταγωγέα, δεν μπαίνουν ποτέ στην εγγραφή. Αυτό είναι το πρόβλημα του shadow IT και των μη εξουσιοδοτημένων συσκευών, που η απογραφή πρέπει να αναδείξει. Τα πεδία ευθύνης επίσης παλιώνουν όταν το προσωπικό αλλάζει ομάδα, και τα στοιχεία μένουν καταχωρισμένα χωρίς υπεύθυνο. Οι απογραφές που καλύπτουν μόνο ένα μέρος του περιβάλλοντος αφήνουν σιωπηλά το υπόλοιπο ακάλυπτο και δημιουργούν μια ψευδή αίσθηση πληρότητας.

Οι ελεγκτές και οι ομάδες ασφάλειας εφαρμόζουν το ίδιο τεστ που ορίζει τον έλεγχο. Μπορεί ο οργανισμός να παρουσιάσει, όταν του ζητηθεί, έναν ακριβή κατάλογο όσων διαθέτει, ποιος είναι υπεύθυνος για κάθε στοιχείο και πότε επαληθεύτηκε τελευταία φορά; Η απάντηση πρέπει να προέρχεται από εγγραφή που τηρείται ενημερωμένη ως ρουτίνα, όχι από τη μνήμη ή από εκτίμηση.

Περισσότερα: Αυτοματοποίηση της Ασφάλειας Πληροφοριών.