Управление активами.

Управление активами — фундамент всех остальных мер безопасности: нельзя защищать, обновлять, мониторить или реагировать на то, о существовании чего вы не знаете. Современная инвентаризация активов охватывает рабочие станции, серверы, сетевое оборудование, мобильные устройства, облачные нагрузки, SaaS-тенанты, идентичности, репозитории кода и хранилища данных с атрибутами владельца, критичности и подверженности. Обнаружение всё чаще ведётся непрерывно и с опорой на инструменты — через интеграции с CMDB, данные EDR, облачные API и зонды EASM. Сильное управление активами питает управление уязвимостями, управление конфигурациями, реагирование на инциденты и применение Zero Trust, а также является предпосылкой для фреймворков вроде CIS Controls.

Его первостепенность не теоретическая: CIS Critical Security Controls (v8) делают «Инвентаризацию и контроль корпоративных активов» и «программных активов» Контролями 1 и 2 — самым первым, что должна сделать организация, — потому что именно в неуправляемых хостах прячутся вторжения. Log4Shell (CVE-2021-44228) наглядно показал этот урок: команды, не способные ответить на вопрос «где у нас работает Log4j?», тратили дни на поиски, тогда как те, у кого был точный реестр ПО и SBOM, очертили область воздействия за считаные часы. Утечка данных Equifax в 2017 году (CVE-2017-5638) тоже затянулась отчасти потому, что уязвимый актив Apache Struts не был привязан к владельцу, который бы его пропатчил. Самый трудный пробел — это «теневой» парк активов: забытые облачные инстансы, истёкшие, но всё ещё работающие поддомены и регистрации в SaaS в обход ИТ, — который инструменты управления внешней поверхностью атаки (EASM) выявляют, сканируя с позиции атакующего.

flowchart LR
  A[Источники обнаружения] --> B[Нормализация и дедупликация]
  subgraph A[Источники обнаружения]
    A1[EDR / агенты]
    A2[Облачные и SaaS API]
    A3[Сетевые сканы / EASM]
    A4[CMDB / DHCP / IdP]
  end
  B --> C[Единый источник истины]
  C --> D[Обогащение: владелец, критичность, подверженность]
  D --> E[Управление уязвимостями]
  D --> F[Управление патчами и конфигурациями]
  D --> G[Реагирование на инциденты]
  E --> H{Устранение расхождений}
  H --> A

Цель — непрерывно сверяемый единый источник истины: каждый цикл сопоставляет то, что видит каждый источник, помечает активы, которые присутствуют в одной системе, но отсутствуют в другой (классический признак неуправляемого или несанкционированного хоста), и назначает владельца, прежде чем актив снова уйдёт в тень.