Кемчиликтерди жана тактарды сканерлөө

Кыскача резюме

Кемчиликтерди башкаруу - бул үзгүлтүксүз цикл: аныктоо → тобокелдикти баалоо → жоюу (патч/миграция/ ) → текшерүү → отчеттуулук. Сканерлөө технологиялары (SCA/SAST/DAST/IAST/Cloud/Container) сигналдарды берет, ал эми контекст (экспоненттүүлүк, артыкчылыктар, маалыматтар, EPSS, эксплойттор) артыкчылыкты аныктайт. Максаты - автоматташтырууну, канареалык эсептөөлөрдү жана так SLOларды колдонуу менен бизнестин токтоп калуусуз реалдуу тобокелдикти азайтуу.

Таксономия сканерлөө

SCA (Software Composition Analysis): көз карандылыкты/лицензияларды талдоо; китепканаларда CVE аныктоо, SBOM.
SAST: чогултуу алдында өз коду статикалык талдоо.
DAST: динамикалык "кара куту" иштеп кызмат каршы.
IAST: тиркеменин ичиндеги сенсорлор (тесттер учурунда) - FP аз, контексттен да терең.
Container/OS Scan: сүрөттөр (base image, топтомдор), хост (ядро/топтомдор/конфигалар), CIS эталондору.
Cloud/Infra (CSPM/KSPM): булуттардын/K8s (IAM, тармактар, шифрлөө, коомдук бакеттер).
Secrets Scan: кампаларда жана сүрөттөрдө ачкычтардын/токендердин ачылышы.
Binary/Artifact Scan: чогултулган экспонаттарды текшерүү (кол тамгалар, алсыздыктар).

Тобокелдик модели жана артыкчылыктуу

Баа = CVSS v3. x (база) × EPSS (пайдалануу ыктымалдыгы) × контекст (экспозициялуулук, маалыматтар, артыкчылыктар, компенсациялык чаралар).

Контексттик факторлор:

Интернетте/ичинде, WAF/mTLS/обочолонуу болушу.
Маалыматтар: PII/каржы/сырлар.
Процесстин/түйүндүн артыкчылыктары, lateral movement-потенциал.
Коомдук эксплойттун/массалык чабуулдардын болушу, комплаенс талаптары.

CVSS векторунун мисалы: 'CVSS: 3. 1/AV: N/AC: L/PR: N/UI: N/S: U/C: H/I: H/A: H '→ сын; эгерде кызмат ачык жана компенсациялык чараларсыз болсо - P1.

SLO босоголор (мисал):

P1 (критикалык, иштетилген): fix ≤ 48 саат
P2 (жогорку): fix ≤ 7 күн.
P3 (орточо): fix ≤ 30 күн.
P4 (төмөн/маалымат.) : пландаштырылган/бэклог.

Аялуу башкаруунун жашоо цикли

1. Активдерди инвентаризациялоо: кызматтар, сүрөттөр, кластерлер, операциондук системалар, пакеттер, көз карандылык, версиялар.
2. График жана окуя боюнча сканерлөө: коммиттер, монтаж, деплой, суткалык/жумалык терезелер.
3. Triage: deduplication, нормалдаштыруу (CVE → Ticket), ээсине mapping.
4. контекстинде артыкчылыктуу: CVSS/EPSS + көргөзмөгө/маалымат.
5. Ремедиация: патч/көз карандылыкты жаңылоо/ -харднинг/виртуалдык патч (WAF).
6. Текшерүү: кайра сканерлөө, тесттер, канарейка.
7. Отчеттуулук: жабуу көрсөткүчтөрү, аялуу курак, SLO ылайык.
8. Сабактар: шаблондордогу фикс (base image, Helm chart), келечектеги саясат.

CI/CD интеграциясы

PR баскычында: SAST + SCA + Secret-Scan; "break build" P1/P2 же өтүнмө талабы боюнча.
Куйлд этабында: сүрөттү сканерлөө, SBOM генерациясы (CycloneDX/SPDX), артефакттардын кол тамгасы (cosign).
Deploy этабында: кабыл алуу саясаты (Admission) - 'critical/high' аялуу жана кол коюусуз/SBOM менен сүрөттөргө тыюу салуу.
PostDeplay: DAST/IAST каршы Staging жана жарым-жартылай Production (коопсуз профилдер).

Мисал: Renovate/Dependabot (үзүндү)

json
{
"extends": ["config:recommended"],
"vulnerabilityAlerts": { "enabled": true },
"packageRules": [
{ "matchUpdateTypes": ["minor","patch"], "automerge": true },
{ "matchManagers": ["dockerfile"], "enabled": true }
]
}

Кабыл алуу саясаты (Kubernetes, OPA/Gatekeeper - жөнөкөйлөштүрүлгөн)

rego package policy.vuln

deny[msg] {
input.image.vuln.critical > 0 msg:= sprintf("Image %s has critical vulns", [input.image.name])
}

deny[msg] {
input.image.sbom == false msg:= sprintf("Image %s without SBOM", [input.image.name])
}

Патч-менеджмент (ОС, контейнерлер, K8s)

ОС (Linux/Windows)

Patch window: үзгүлтүксүз терезелер + өзгөчө P1 үчүн.
Стратегия: биринчи канарейка 5-10% түйүндөр, андан кийин толкун.
Auto бурмалоо: Ansible/WSUS/Intune/SSM; көз карандылыкты жана кайтарууну текшерүү.
Kernel Live Patching (мүмкүн болгон жерде) токтоп калууну азайтуу үчүн.
Калыбына келтирүү кызматтары: башкарылуучу drain/cordon үчүн K8s nod, graceful shutdown.

Контейнерлер

Immutable-мамиле: эч кандай "apt upgrade" ижарага; жаңыланган база менен сүрөттү кайра чогултуу.
Негизги сүрөттөр: дайыма golden images (Alpine/Debian/Distroless) жаңыртып, нускасын бекитүү (digest).
Көп баскычтуу чогулуштар: бетти минималдаштыруу (куруу-куралдарды алып салуу).
deploe алдында текшерүү: маанилүү CVE менен сүрөттөр блогу.

Kubernetes/Service Mesh

Control Plane: өз убагында майда релиздер, CVE k8s/etcd/containerd жабуу.
Node OS/Container runtime: пландаштырылган жаңыртуулар, версия шайкештиги.
Mesh/Ingress: Envoy/Istio/NGINX версиялары критикалык (көбүнчө парсерада CVE/NTTR3).
Admission Policies: тыюу ': latest', кол коюу талабы, алсыздык боюнча лимиттер.

Виртуалдык тактар жана компенсациялык чаралар

Качан патч тез мүмкүн эмес:

WAF/WAAP: белгилүү бир EndPoint үчүн белги/оң модели.
Fichflags: аялуу функционалдуулугун өчүрүү.
ACL/mTLS/IP allow-list тармактары: аялуу кызматка кирүүнү чектөө.
-Hardnening: укуктарды кыскартуу, sandbox, FS, коркунучтуу модулдарды өчүрүү.
TTL белгилерин/ачкычтарын кыскартуу, сырларды айлантуу.

Өзгөчөлүктөрдү башкаруу (Risk Acceptance)

Өзгөчөлүк: негиздемеси, компенсациялык чаралары, жоюу үчүн SLA, кайра кароо күнү менен тикет менен таризделет.
Отчеттордо "тобокелдикти убактылуу кабыл алуу" деп белгилөө жана ай сайын карап чыгууга киргизүү.

Байкоо жана метрика

Техникалык:

Mean Time To Patch (MTTP) по P1/P2/P3.
Сканерлөө менен капталган активдердин үлүшү (%).
Ачык аялуу жашы (p50/p90), backlog burn-down.
SBOM жана кол менен сүрөттөрдүн пайызы.

Бизнес/SLO:

Жабуу мөөнөтү боюнча SLO аткаруу (мисалы, ≥ 95% P1 ≤ 48 саат).
Аптаймга таасир этүү (патч учурундагы инциденттердин саны).
Ошол эле CVEди кайра аныктоо (үлгүлөрдөгү фикстин сапаты).

Playbook

P1: Коомдук кызматта критикалык RCE

1. Активдештирүү WAF эрежеси/Wirt Patch.
2. Уруксатсыз булактарга кирүүгө бөгөт коюу (уруксат берилсе).
3. Тез сүрөттү кайра чогултуу/ОС патч, канарейка → толкун.
4. кайталап DAST/телеметрия текшерүү, ката мониторинг.
5. Пост-окуя: негизги сүрөт/Helm диаграммасын бекитүү, CI тест кошуу.

Secret leak (авторизациялоо):

1. Сырларды/ачкычтарды дароо айлантуу, токендерди кайра чакыртып алуу.

2. Колдонуунун издерин издөө, эндпоинттерди чектөө.

3. REPO/сүрөттөрдү сырларга сканерлөө, алдын ала commit сканер киргизүү.

Артефакттардын мисалдары

1) SQL-отчет "ысык" аялуу

sql
SELECT service, cve, cvss, epss, exposed, has_exploit, created_at,
PRIORITY(exposed, has_exploit, cvss, epss) AS prio
FROM vuln_findings
WHERE status = 'open' AND (cvss >= 8.0 OR has_exploit = true)
ORDER BY prio DESC, created_at ASC;

2) Admission саясаты (Kyverno, блок critical кемчиликтер)

yaml apiVersion: kyverno.io/v1 kind: ClusterPolicy metadata:
name: block-critical-vulns spec:
validationFailureAction: Enforce rules:
- name: image-must-have-no-critical match: { resources: { kinds: ["Pod"] } }
validate:
message: "Image contains critical vulnerabilities"
pattern:
metadata:
annotations:
vuln.scanner/critical: "0"

3) SBOM түзүү жана кол (Makefile үзүндү)

make sbom:
cyclonedx create --output sbom.json sign:
cosign sign --key cosign.key $(IMAGE_DIGEST)

iGaming/Fintech үчүн өзгөчөлүктөрү

Жогорку тобокелдик зоналары: тёлём шлюздары, тёлёмдёрдън бэкофиси, антифрод, PII/PAN иштеп чыгуу - патч P1/P2 артыкчылыгы.
Тейлөө терезелери: турнирлер/акциялар менен макулдашуу, алдын ала сактоо кэштери, аз жүктөлгөн аймактарда канареялар.
Жөнгө салуучу (PCI DSS/GDPR): кемчиликтерди жоюу мөөнөтү, далилдер (скриншоттор/отчеттор), CHD зонасын сегменттөө, шифрлөө.
Өнөктөштүк интеграциясы: версияланган SDK/кардарлар, мандаттуу SCA жана HMAC/mTLS вебхуктарда талап кылуу.

Типтүү каталар

"Баарын сканерлейбиз - эч нерсени оңдобойбуз": ээлери жана SLO жок.
Контекстсиз CVSSке гана көңүл бурулат (экспозиция, EPSS, маалыматтар).
Контейнердин ижарасында сүрөттү кайра чогултуунун ордуна патч.
Канарейка/rollback пландарынын жоктугу.
Ignor мисконфиг булуттар/K8s (көбүнчө CVE маанилүү).
Жок SBOM/кол - начар байкоо (supply chain).

Ишке ашыруунун жол картасы

1. Активдерди жана ээлерди инвентаризациялоо; кызматтардын/образдардын бирдиктүү реестри.
2. Сканерлер: SCA/SAST/DAST/контейнер/Cloud + secret-scan; CI/CD интеграциясы.
3. SLO жана артыкчылыктуу саясаты: CVSS + EPSS + контекстинде; билеттердин шаблондору.
4. Admission/Policy-as-Code: маанилүү аялуу тыюу салуу, SBOM/кол коюу талабы.
5. Патч-процесстер: терезелер, канареялар, артка кайтаруулар; минор/патч версиялары үчүн автопилоттор.
6. Отчеттуулук жана көрсөткүчтөр: MTTP, камтуу, жашы; тобокелдик жума сайын карап чыгуу.
7. Үзгүлтүксүз машыгуу: маанилүү CVE симуляция, playbook текшерүү жана rollback.

Жыйынтык

Кемчиликтерди жетилген башкаруу - бул бир жолку "тазалоо" эмес, процесс: автоматтык аныктоо, контексттик артыкчылык, канарейка/rollback аркылуу үзгүлтүксүз тактар, прод кире бериштеги саясат-as-code жана аткаруунун тунук метриктери. Негизги сүрөттөр менен шаблондордогу фикстерди бекемдөө менен, сиз кайталоо коркунучун азайтып, чабуулдун бетин туруктуу көзөмөлгө аласыз.