Важность качества данных очевидна. Качественные данные позволяют организациям принимать более эффективные решения при управлении рисками. Несмотря на это, качество общедоступной информации об уязвимостях и утечках невысоко.
Почему существующие данные неадекватны? Хотя бы потому, что они не полноценны, не детальны и не своевременны. Если в вашем источнике информации нет данных о нужных вам уязвимостях, будет сложно снизить риск. А если данных в источнике мало, компания не сможет принимать решения с учетом рисков или правильно расставлять приоритеты. При этом несвоевременное получение данных может как затянуть процесс исследования уязвимостей, так и оставить клиента в неведении касаемо слабых мест в цепочке поставок, пока не станет слишком поздно.
Данные должны показывать и подчеркивать любые проблемные области в экосистеме безопасности. Поэтому миссией Risk Based Security всегда было обеспечение своих клиентов самой комплексной, подробной и актуальной информацией об уязвимостях и взломах, доступной на рынке. И компания по праву может гордиться полнотой своей информации.
К концу октября 2021 года продукты VulnDB и Cyber Risk Analytics (CRA) преодолеют отметки в 270.000 зарегистрированных уязвимостей и 52.000 отслеженных взломов.
VulnDB достигла рубежа в 270.000 уязвимостей
Исследовательская группа компании RBS собрала более 269.000 уязвимостей в базе данных VulnDB. Это событие упрочило её статус на сегодняшнем рынке как наиболее полного источника информации об уязвимостях. Стоит отметить, что на момент написания статьи базы CVE/NVD насчитывают лишь около 150.000 уязвимостей.
Но что это значит для службы безопасности? Это означает, что у команды ИБ могут отсутствовать ценные сведения об эксплойтах и решениях, а также важные метаданные для каждого актива организации, которые уже входят в базы CVE/NVD. База VulnDB аналогична базе CVE, но она содержит более 87.000 уязвимостей, которых нет в CVE, включая данные сторонних или зависимых библиотек. По каждой из этих уязвимостей VulnDB также предоставляет более глубокие метаданные, позволяя заказчикам извлекать инсайты и пополнять ими профили своих рисков.
Большинство платформ с аналитической информацией об уязвимостях не показывают статус эксплойта; не секрет, что и в базах CVE/NVD тоже нет этой информации. Кроме того, очень часто ключевая информация и данные о решениях либо отсутствуют, либо их недостаточно. Из-за этого специалистам ИБ приходится искать все это самостоятельно. В итоге, множество часов уходит на исследование уязвимостей, а не на их устранение.
Эти факторы, а также большое количество обнаруживаемых уязвимостей и частота возникновения проблем могут приводить к тому, что используя общедоступные данные, компании будут бороться со следствиями, а не с причинами.
Чтобы помочь устранить первопричины уязвимостей, VulnDB предоставляет организациям дополнительную информацию для управления уязвимостями с более стратегической точки зрения, а также дает важные сведения об известных эксплойтах и способах отработки уязвимостей. Они включают в себя исторические данные, обширные метаданные, рейтинги продуктов, оценки социальных рисков и многое другое. С помощью этих знаний организации могут начать отвечать на такие трудные вопросы как:
- Какие вендоры или продукты, скорее всего, подвергнут их риску компрометации или утечки данных?
- Обслуживание каких продуктов или библиотек/компонентов обходится дороже всего с точки зрения ИБ?
- Какие вендоры заботятся о собственной безопасности и активно ли они устраняют уязвимости в своих продуктах?
- Если уязвимость не была выявлена сразу, то как быстро вендоры среагируют и исправят ее?
Помимо уязвимостей из базы CVE, пользователи VulnDB также имеют доступ к столь же обширным данным о более чем 87.000 уязвимостей, которые в ней отсутствуют. Все аналитические данные VulnDB содержат простые для понимания рейтинги и позволяют службам ИБ лучше понять продукты, на которые они полагаются.
CRA отслеживает более 52.000 случаев утечки данных
Что касается утечек данных, то решение Cyber Risk Analytics также преодолело отметку в 52.000 отслеженных утечек. Количество взломов, а также количество доступных данных возростает, что делает утечку данных проблемой уровня совета директоров.
«На протяжении многих лет неизменным остается то, что злоумышленники всегда ищут наиболее выгодные цели. Неважно, что это: болезненные сбои в работе или атака на ключевых поставщиков услуг с большим количеством клиентских данных, злоумышленники всегда выбирают варианты с максимальной отдачей», — сообщает Инга Годдин, исполнительный вице-президент компании Risk Based Security.
Из-за того, что потребители и организации продолжают внедрять новые технологии, а конфиденциальные данные становятся более доступными, чем когда-либо, последствия взломов стали куда серьезнее. Но даже если организация предприняла шаги по смягчению последствий утечки данных, можно ли то же самое сказать о сторонних организациях, поддерживающих цепочку поставок этой компании? Может ли она быть уверена, что ее партнеры принимают те же меры предосторожности, что и она, для защиты данных?
Количество утечек данных сторонних компаний на 4 квартал за последние 8 лет
Утечка данных сторонней компании может иметь серьезные последствия. Так, компрометация одной организации может привести к компрометации других организаций, данные которых хранились в ее системе. Наиболее ярким примером этого стала утечка данных компании Blackbaud, когда злоумышленники получили доступ к данным сотен клиентов, что привело ко множеству судебных исков.
К сожалению, большинство организаций узнают об этом, лишь прочитав заголовок новостей на следующий день. Но не все важные детали можно найти в новостях. Как и любая информация, они должны позволять принять соответствующее решение.
CRA позволяет организациям превращать такие заголовки в полезную информацию. Для каждой из более чем 52.000 записей CRA об утечках данных предусмотрено до 68 атрибутов метаданных, если они известны. Например, тип утечки, векторы атаки, затраты и многое другое. Эта информация поможет клиентам RBS улучшить процесс выбора поставщиков, приоритизировать меры безопасности и оказывать помощь в слияниях и поглощениях – и все это при постоянном мониторинге их организации и организаций-партнеров, важных для них.
Качество данных имеет значение
Risk Based Security предоставляет самую комплексную и актуальную аналитическую информацию об уязвимостях, утечках данных и рейтингах рисков. Показатели как VulnDB, так и CRA доказывают, что аналитические данные могут сочетать в себе количество и качество. О каждом из этих продуктов можно сказать куда больше, но в данной статье мы разобрали, почему эти цифры положительно влияют на результаты и решения при управлении рисками.
Если вы хотите узнать больше и сами убедиться в полезности качественных данных, закажите демо или тестирование платформы VulnDB.
