Muhtemelen Log4j güvenlik açığı hakkında bir ton sağlam teknik analiz okudunuz.
Ama bu bu yazı değil. Bunun yerine, bu gönderi, CISO rollerinde geçirilen on yıllardan ve günümüzde diğer CISO’lar ve CIO’larla akran sohbetlerinden – Log4j veya Güneş Rüzgarlarıveya önemli patlama yarıçapı, etkisi ve uzun vadeli endişesi olan güvenlik olaylarını seçin.
Bu endişeyi azaltmak için değil; Log4Shell olarak da adlandırılan Log4j güvenlik açığı, bu yıl hepimizin gördüğü en büyük güvenlik sorunlarından biri ve keşfedilmesinden bir, iki hafta sonra daha yeni anlamaya başlıyoruz. Ancak yutturmaca, pazarlama ve spekülasyonların ağırlığı altında ezilmek ve duruşumuzu iyileştirmek, ekibimizi güçlendirmek ve bir sonraki Log4j için bizi daha iyi bir konuma getirmek için şu anda yapmamız gereken önemli şeyler olduğunu unutmak kolaydır.
İşte bazı CISO tavsiyeleri:
1. Empati ile liderlik edin ve güvenlik çevrelerinize ulaşın.
Daha önce söyledim ve tekrar söyleyeceğim: Güvenlik uzmanları, CISO’lar veya başka türlü, birbirlerinin arkasını kollama eğilimindedirler. İlerlemek için bunu kullanın. Birbiriniz ve ekipleriniz için empati kurun. Tatil sezonu, hala bir pandemi içindeyiz ve hepimiz, kuruluşlarımızın tükettiği ve geliştirdiği ürünlere maruz kalmayı sınırlamak için çok çalışıyoruz.
Bu sorunun CISO çevrelerime ulaşmaya başlamasından bu yana çok zaman harcadım ve şimdiden bu sorun üzerinde birlikte çalıştığımızı, başarıları, başarısızlıkları ve fırsatları paylaştığımızı görmek beni cesaretlendirdi, ancak şaşırmadım. Unutmayın: Basit azaltmanız, başka birinin yaşam çizgisi fikri olabilir çünkü karmaşık bir güvenlik sorununa bir çözüm bulamayabilirler.
2. Çevrenizde neler olup bittiğine dair mümkün olan en net anlayışı elde edin.
Log4j, hem yapabilecekleri hem de teknoloji liderleri olarak bunu çözmek için yapmamız gerekenler açısından temelde bir siber hijyen ve görünürlük ve kontrol sorunudur. Teknoloji, bulutta hangi uygulamaları çalıştırdığımızla ilgili her şeyi bize göstermek için kullanılabilir — güvenlik altyapımızı bundan yararlanmak için her zaman en etkili şekilde oluşturmuyoruz.
Netskope Threat Labs araştırmacısı Gustavo Palazolo’nun geçen hafta Dark Reading’e belirttiği gibi, “Kuruluşların karşılaştığı ana zorluklardan biri, güvenliği ihlal edilmiş tüm varlıkları belirlemektir. Log4j Apache Java tabanlı günlük kitaplığı çok popülerdir ve birçok uygulama tarafından da kullanılabilir. IoT cihazları ve geriye dönük uyumluluk için korunan eski sistemler tarafından olduğu gibi. Bir uygulamanın savunmasız olduğu tespit edilse bile, bir kuruluş kapalı kalma süresini karşılayamayabilir veya uygun yama yönetimi kontrollerinden yoksun olabileceğinden, güncellenmesi zor olabilir. Bu nedenle, Bazı senaryolarda, güvenliği ihlal edilmiş tüm sistemlerin belirlenmesi ile sorunun çözülmesi arasındaki süre uzun sürebilir.”
Bu, gördükleriniz üzerinde harekete geçmeniz için size en ayrıntılı görünürlüğü, bağlamı ve enlemi sağlayabilecek doğru altyapıyla çözülebilir.
3. Gerçek ortaklarınızı belirleyin ve iş yaptığınız kişilerle ilgili değişiklikler yapın.
Büyük fikirleri, içgörü noktalarını veya daha iyi stratejik kararlar vermemize yardımcı olacak şeyleri her gün ve her dakika belgeleyemiyoruz. Bu doğal: Meşgulüz ve böyle zamanlarda sessiz anların peşindeyiz. Ama işte uzun zaman önce benimsediğim ve o zamandan beri bana ve ekiplerime iyi hizmet eden bir tavsiye.
Gerçek ortaklarınızın kim olduğunu ve nereden (hangi kaynaklardan, hangi kişilerden, hangi ekiplerden) iyi, faydalı bilgiler, hızlı ve bilinçli yanıt ve güvenilir güvenceler aldığınızı not edin. Gerçek ortaklarınız, zaman içinde sizin için orada olan ve işlemsel bir ilişkiye değil, sizin çıkarlarınızı gözeten değere dayalı bir ilişkiye sahip oldukları kanıtlanmış olanlardır. Güvenlik olaylarının, bu değere dayalı gerçek ortakları keskin bir şekilde rahatlatmanın bir yolu vardır.
Bu bilgiyi belgeleyin ve ortaklıklarınızı ve bu değerin ne olduğu ve onu nasıl nitelendirdiğiniz dahil olmak üzere hangi ortakların değer kattığını yeniden değerlendirmek için kullanın. Bu konuda bana güven.
Salgının tüm CISO’ları daha yaratıcı ve esnek olmaya nasıl zorladığı ve güvenlik yığınınızda pandemi öncesinde sahip olduğunuz aynı satıcı ortakları karışımına geri dönüyorsanız, çok şey kaçırdığınız hakkında çok şey yazıldı. stratejinizi geliştirmek için fırsatlar. Kendinize şu soruları sormanızı tavsiye ederim:
- Hangi ortaklar size ve ekibinize gerçekten değer katıyor?
- Bu değeri nasıl sağlıyorlar? (İlişkiyi bilmeyen birine bunu nasıl açıklarsınız?)
- Log4j gibi şeylerin olmaya devam edeceğini ve mümkün olduğunca iyi hazırlanmamız gerektiğini bilerek bu ortakla neden devam eder veya etmezsiniz?
Bu tavsiye ekibiniz ve işe alım için de geçerlidir. Ekibiniz ve ihtiyaç duyduğunuz roller için kimden kaynak alacağınız konusunda agresif ve dikkatli olun. daha önce söylemiştim inanmıyorum gerçek bir siber beceri açığı var – bulabileceğimiz her yerde siber yetenek aramıyoruz.
4. Tehdit istihbarat verilerini pazarlamayı düşünmeden paylaşın.
Hiçbirimiz hepimiz kadar akıllı değiliz. Tehdit istihbaratının birçok harika kaynağı vardır ve en iyileri, hepimizi güçlendirmek için bu istihbaratı topluluğa sunar.
Benimle bağlan LinkedIn
ve ne düşündüğünü bana bildir. Hepimiz bu işte beraberiz ve hala bir araya gelebiliriz – ve yapabiliriz! — herkes için güvenliği güçlendirmek.