Rapports d'analyse de vulnérabilité : Fatigué de marquer des faux positifs ?

L'épuisement des faux positifs redouté par les analystes entraîne de nombreux problèmes. Les analystes commencent à ignorer les rapports, l'examen d'un faux positif prend du temps et de l'argent, et la réponse aux incidents et la chasse aux menaces sont affectées. Les fournisseurs de solutions d'analyse améliorent sans cesse leurs procédures pour mieux prévenir les faux positifs, mais ceux-ci continuent d'avoir un impact sur les opérations informatiques. L'impact des faux positifs peut être grave lorsque des rapports bénins entraînent une surcharge de travail pour vos analystes. Pire encore, il peut être difficile d'expliquer aux auditeurs pourquoi certains éléments ont été marqués.

Contenu :

1. Les effets des faux positifs sur l'organisation
2. Pourquoi des faux positifs apparaissent-ils lors de l'analyse du noyau Linux ?
3. Comment KernelCare Enterprise résout-il le problème des faux positifs lors de l'analyse CVE du noyau Linux ?
4. Qu'est-ce qui est inclus dans KernelCare Enterprise pour que la gestion des vulnérabilités de l'entreprise soit parfaite ?

Les effets des faux positifs sur l'organisation

L'étape initiale de la gestion des correctifs consiste à analyser les serveurs et les appareils pour obtenir des informations sur le système d'exploitation et les versions logicielles actuellement installés. Dans l'idéal, l'analyseur dispose des autorisations nécessaires pour que les bannières renvoient les informations nécessaires à l'exécution de l'analyse, mais une mauvaise configuration peut entraîner le renvoi de données incomplètes ou incorrectes.

Les scanners utilisent une base de données de vulnérabilités et d'expositions communes (CVE) et comparent les résultats aux versions signalées sur un serveur. Si une version obsolète est trouvée, le serveur est signalé comme devant être corrigé et marqué comme vulnérable. Pour une grande organisation, ce système automatisé améliore considérablement la position de l'entreprise en matière de cybersécurité, réduit la charge de travail des administrateurs et permet à l'entreprise de rester en conformité avec les normes réglementaires.

Les problèmes surviennent lorsque le scanner ne peut pas interroger complètement le système d'exploitation. Si les scanners ne renvoient pas d'informations exactes ou si le système d'exploitation lui-même n'est pas renvoyé au scanner, celui-ci signale le serveur comme étant potentiellement vulnérable. Cela crée un faux positif et nécessite l'intervention de l'administrateur. Pour une entreprise ayant des centaines de serveurs signalant des faux positifs, le problème entraîne une fatigue de l'alerte, phénomène courant chez les analystes lorsque les scanners de vulnérabilité traitent les faux positifs de manière inefficace.

Dans un récent rapport de Ponemon, 58 % des personnes interrogées ont indiqué que leur centre d'opérations de sécurité (SOC) était inefficace, et 49 % d'entre elles ont déclaré que la raison de cette inefficacité était le trop grand nombre de faux positifs. Outre le fait que les faux positifs sont source d'inefficacité, 42 % des personnes interrogées ont également indiqué que les faux positifs interféraient avec les équipes de chasseurs de menaces. La principale recommandation des personnes interrogées est d'améliorer les outils d'automatisation et les flux de travail des analystes.

Vous pouvez également consulter notre guide détaillé sur les scanners de vulnérabilités open source afin d'évaluer les outils adaptés à votre infrastructure de sécurité.

Pourquoi des faux positifs apparaissent-ils lors de l'analyse du noyau Linux ?

La raison la plus courante des faux positifs est un problème d'authentification ou d'autorisation. Donner à un scanner de vulnérabilités un accès libre au réseau avec tous les privilèges pose également des problèmes. Les analyses non authentifiées sont également une option, mais elles augmentent la surface d'attaque du réseau en permettant à n'importe qui d'accéder à des informations verbeuses sur le serveur. Les analyses non authentifiées fournissent aux attaquants suffisamment d'informations pour exploiter les logiciels de serveur dont les vulnérabilités sont connues, et elles peuvent également polluer votre rapport d'analyse des vulnérabilités avec des résultats trompeurs.

Les scanners effectuent une saisie des bannières pour obtenir les versions actuelles des logiciels. Les bannières système contiennent le nom et la version du logiciel, et les scanners doivent avoir accès à ces informations pour fournir des données précises. Ces informations peuvent être critiques et révéler des vulnérabilités du serveur, c'est pourquoi elles sont souvent protégées par des règles d'authentification. Toutefois, si les scanners n'y ont pas accès, une bannière peut renvoyer des informations vagues ou incorrectes. Par exemple, une bannière peut renvoyer "Linux inconnu" à un scanner et déclencher un faux positif car le scanner n'est pas en mesure de déterminer si le système d'exploitation est entièrement patché.

Les scanners ont besoin d'un accès authentifié, mais l'authentification peut poser des problèmes, alors que doivent faire les administrateurs ? Voici quelques bonnes pratiques pour éviter les faux positifs :

• Pour les analyses non authentifiées, ne fournissez pas d'informations critiques telles que les versions du logiciel ou du noyau.
• Connaître les informations renvoyées par les analyses authentifiées et non authentifiées. Examiner les informations de la bannière à l'aide de tests initiaux.
• Former les scanners de vulnérabilité en marquant les faux positifs dans le logiciel afin qu'ils soient supprimés à l'avenir, pour une meilleure gestion globale des vulnérabilités.
• Ajustez les scanners en les configurant et en les testant pour qu'ils renvoient des informations sur les bannières en utilisant les normes de moindre privilège.

Comment KernelCare Enterprise résout-il le problème des faux positifs lors de l'analyse CVE du noyau Linux ?

KernelCare fonctionne avec des logiciels d'automatisation et d'analyse pour patcher Linux sans nécessiter de redémarrage risqué. Les correctifs Linux sans redémarrage profitent aux réseaux des grandes entreprises dotés de serveurs critiques qui ne peuvent pas être redémarrés sans discernement. KernelCare effectue les correctifs en corrigeant les problèmes de sécurité dans le code source, en générant des blobs binaires avec du code sécurisé et en remplaçant le code binaire non sécurisé dans un noyau en cours d'exécution par la version sécurisée.

Tout en corrigeant les failles de sécurité, KernelCare ne modifie pas la version du noyau. Le résultat final est que le noyau en cours d'exécution sera entièrement corrigé, en mémoire, du point de vue de la sécurité, mais que /proc/version continuera d'afficher la version vulnérable du noyau.

Qualys et d'autres scanners de vulnérabilité ne vérifient pas la présence réelle d'une vulnérabilité dans le noyau en essayant de l'exploiter. Ils détectent plutôt la version du noyau en cours d'exécution en recueillant des informations sur le serveur à partir du fichier /proc/version. Après avoir détecté la version du noyau, les scanners de vulnérabilités vérifient leur propre base de données de vulnérabilités par rapport à la version du noyau signalée. Par conséquent, même après l'application des correctifs de KernelCare, Qualys verra la version vulnérable du noyau et supposera que cette version présente toujours des failles de sécurité, même si elles ont été corrigées en mémoire au moment de l'exécution.

Pour aider à résoudre ce problème, KernelCare fournit aux vendeurs l'utilitaire de ligne de commande kcarectl -uname qui montre la version corrigée du noyau, représentant le niveau de sécurité du noyau jusqu'à la version corrigée signalée. En outre, KernelCare fournit un rapport en exécutant kcarectl -patch-info (et par l'intermédiaire de l'API) qui présente les CVE qui ont été corrigés dans le noyau en cours d'exécution par KernelCare.

Qu'est-ce qui est inclus dans KernelCare Enterprise pour que la gestion des vulnérabilités de l'entreprise soit parfaite ?

KernelCare Enterprise est conçu pour les organisations puissantes qui possèdent 1000 serveurs ou plus. Sans outils d'automatisation, ces organisations souffriraient des frais généraux coûteux liés à l'application manuelle des correctifs et à l'analyse. La surveillance des serveurs pour les mises à jour de correctifs, les tests et l'exécution des correctifs proprement dits représenteraient un travail à temps plein pour des équipes multiples.

Pour faciliter l'application de correctifs plus rapides et plus efficaces, KernelCare Enterprise s'intègre directement aux scanners et aux outils d'automatisation, assure un meilleur contrôle de votre serveur de correctifs et vous offre une meilleure assistance 24 heures sur 24.

KernelCare Enterprise (KCE) fournit :

• Intégration: KCE est prêt pour tous les outils d'automatisation populaires, notamment Ansible, Chef et Puppet. Il s'intègre également à des scanners de vulnérabilité tels que Nessus, Qualys et Rapid7, ainsi qu'à des outils de surveillance de l'informatique en nuage tels que DataDog.
• Une assistance haut de gamme: Nous offrons à nos entreprises clientes une assistance prioritaire 24 heures sur 24, 365 jours par an, y compris une option de chat en direct.
• Plus de contrôle: KernelCare Enterprise comprend notre serveur ePortal sécurisé, qui est un serveur de correctifs configurable fonctionnant derrière votre pare-feu. Vous prenez le contrôle du serveur ePortal, le gérez et l'auditez à tout moment.

Conclusion

La fatigue des alertes et l'épuisement des analystes sont des problèmes réels qui entraînent une rotation du personnel, des frais généraux importants pour les administrateurs et des inefficacités coûteuses. KernelCare Enterprise peut aider à réduire le nombre excessif de faux positifs et à effectuer des correctifs sans redémarrage afin que les serveurs critiques soient toujours protégés contre les derniers CVE.

En savoir plus sur l'offre KernelCare Enterprise.

Obtenir un essai GRATUIT de 7 jours de KernelCare