Мониторинг на уязвимости и NIS2: какво покриват Wazuh и Zabbix

Какво изисква NIS2 в техническата част

Директивата задължава засегнатите фирми да прилагат мерки за управление на риска. Сред тях са:

• обработка на инциденти;
• непрекъснатост на работата: архиви и възстановяване след срив;
• сигурност при придобиване, разработка и поддръжка на системите, включително обработка на уязвимостите;
• оценка доколко мерките работят;
• контрол на достъпа и опис на активите;
• многофакторно удостоверяване.

Сериозните инциденти се докладват на етапи: ранно предупреждение до 24 часа, уведомление до 72 часа и окончателен доклад до един месец след уведомлението.

За да спазите тези срокове, трябва да разберете за инцидента навреме и да имате данни какво се е случило. Тук помагат инструментите.

Какво прави Wazuh

Wazuh е платформа за сигурност с отворен код. На всяка машина работи агент, който изпраща данни към централен сървър.

• Откриване на уязвимости. Агентът описва инсталирания софтуер, а сървърът го сравнява с бази данни с известни уязвимости (CVE). Получавате списък по машини, с оценка на сериозността.
• Проверка на настройките. Модулът SCA сравнява настройките на системите с препоръки като CIS Benchmarks.
• Следене на файлове. Записва кога и как са променени важни файлове.
• Анализ на логовете. Събира събитията от сървърите и дава сигнал при подозрителни действия.
• Автоматичен отговор. При определени събития може да блокира адрес или да спре процес.

Какво прави Zabbix

Zabbix не търси уязвимости. Той следи дали системите работят и как: наличност, натоварване, дискове, услуги, мрежови устройства.

За NIS2 това е важно по друг начин. Историята в Zabbix показва кога точно е започнал проблемът, кои услуги са засегнати и колко време е отнело възстановяването. Това са данните, които ви трябват за доклада за инцидент.

Кое какво покрива

Вътрешното сканиране не стига

Wazuh вижда системите отвътре. Нападателят ги вижда отвън: кои портове са отворени, кои услуги отговарят и с какви версии. Затова към вътрешния мониторинг добавете и външно сканиране, поне след всяка промяна в мрежата и периодично.

Как изглежда работещият процес

1. Опис. Знаете кои машини има и кой отговаря за всяка.
2. Откриване. Wazuh проверява софтуера автоматично, а външното сканиране показва какво се вижда от интернет.
3. Приоритет. Първо се затваря това, което е сериозно и достъпно отвън. Не всяка уязвимост е спешна.
4. Поправка. Обновяване в договорен прозорец, с архив преди това.
5. Проверка. Следващото сканиране потвърждава, че уязвимостта е затворена.
6. Отчет. Месечен отчет: какво е открито, какво е затворено, какво остава и защо.

Отчетът е и доказателството при проверка, че мерките не съществуват само на хартия.

Какво можем да постигнем при вас