NIST và Microsoft để cải thiện các chiến lược vá lỗi doanh nghiệp

Viện Tiêu chuẩn và Công nghệ Quốc gia (NIST) và Microsoft trong tuần này đã công bố một nỗ lực chung nhằm giúp các doanh nghiệp cải thiện các chiến lược vá lỗi của họ. 

Thúc đẩy bởi hàng loạt cuộc tấn công mạng như WannaCry và tàn phá NotPetya , các mục tiêu của sáng kiến này là để giúp kế hoạch tổ chức, thực hiện, và cải thiện các chiến lược quản lý bản vá doanh nghiệp của họ.

Việc vá kịp thời có thể giảm thiểu sự lây lan nhanh chóng xảy ra trong cả hai cuộc tấn công, vì chúng nhắm vào các lỗ hổng đã được sửa chữa (khai thác EternalBlue và EternalRomance được liên kết với Cơ quan An ninh Quốc gia).

Sau các cuộc tấn công này, Microsoft đã quyết định xem xét lý do tại sao một số khách hàng của họ đã áp dụng các bản vá bảo mật, đã có sẵn trong nhiều tháng khi NotPetya tấn công. 

Microsoft nói rằng họ cũng lắng nghe trực tiếp các thách thức của khách hàng về các bản vá, do đó phát hiện ra rằng một số khách hàng thậm chí không kiểm tra bản vá trước khi triển khai, mà chỉ hỏi trên các diễn đàn trực tuyến nếu có ai gặp vấn đề với bản vá đó.

Một trong những kết luận mà gã khổng lồ công nghệ đưa ra là việc xây dựng các hướng dẫn và tiêu chuẩn rõ ràng hơn về quản lý bản vá doanh nghiệp là rất quan trọng, do đó hợp tác với Trung tâm xuất sắc không gian mạng quốc gia NIST (NCCoE) của Hoa Kỳ.

Dự án này ngay lập tức bắt đầu triển khai Kiến trúc và quy trình tham khảo quản lý bản vá doanh nghiệp phổ biến, có các nhà cung cấp có liên quan xây dựng và xác thực các hướng dẫn triển khai trong phòng thí nghiệm NCCoE và chia sẻ kết quả trong hướng dẫn thực hành NIST Special Publication 1800 cho tất cả để hưởng lợi, Microsoft giải thích . 

Trong số những người chia sẻ kinh nghiệm của họ trong quản lý bản vá bao gồm Trung tâm An ninh mạng (CIS), Bộ An ninh mạng Hoa Kỳ (DHS), và Cơ quan an ninh cơ sở hạ tầng và an ninh mạng (CISA) (trước đây là US-CERT / DHS NCCIC). 

Cả hai nhà cung cấp có thể giúp quản lý bản vá và các tổ chức / cá nhân có thể chia sẻ thông tin về các chương trình quản lý doanh nghiệp thành công đều được hoan nghênh tham gia sáng kiến. 

Microsoft cũng chỉ ra rằng việc áp dụng các bản vá vừa là một phần quan trọng trong việc bảo vệ một hệ thống vừa là trách nhiệm xã hội, dựa trên mức độ mà xã hội đã trở nên phụ thuộc vào công nghệ. 

Tình trạng này ngày càng trầm trọng hơn khi hầu hết tất cả các tổ chức đều trải qua các biến đổi kỹ thuật số, đặt trách nhiệm xã hội nhiều hơn vào công nghệ, theo Microsoft Microsoft giải thích. 

Theo NIST, số nguyên nhân gốc rễ tương đối nhỏ đối với hầu hết các vi phạm dữ liệu, nhiễm phần mềm độc hại và các sự cố bảo mật khác có thể được giảm thiểu bằng cách thực hiện một vài thực hành vệ sinh bảo mật tương đối đơn giản. 

Thật không may, vệ sinh an ninh nói dễ hơn làm. Mặc dù có sự thừa nhận rộng rãi rằng việc vá phần mềm cho các hệ điều hành, các ứng dụng và các phần mềm tương tự, có thể rất hiệu quả trong việc giảm thiểu rủi ro bảo mật, việc vá lỗi thường tốn nhiều tài nguyên và hành động vá lỗi có thể làm giảm tính khả dụng của hệ thống và dịch vụ. nói. 

Không thử nghiệm các bản vá trước khi triển khai có thể phá vỡ chức năng hệ thống và làm gián đoạn hoạt động, trong khi sự chậm trễ trong triển khai bản vá cung cấp cho kẻ tấn công một cửa sổ cơ hội lớn hơn.

NIST giải thích, Vệ sinh an ninh không gian mạng mới được công bố : Vá dự án Enterprise , NIST giải thích, sẽ xem xét cách các công cụ thương mại và nguồn mở có thể giúp gì cho quá trình vá lỗi. Hướng dẫn có thể hành động, theo quy định về vòng đời vá cũng sẽ được cung cấp. 

Hướng dẫn thực hành an ninh mạng của NIST sẽ được xuất bản như một phần của dự án, nhằm cung cấp mô tả về các bước thực tế cần thiết để thực hiện tham chiếu an ninh mạng được thiết kế để giải quyết thách thức vá lỗi doanh nghiệp.

Share This Post

Post Comment