sinds het Defense Information Systems Agency (DISA) begonnen is met de implementatie van zijn internal vulnerability management continuous monitoring security program – Assured Compliance Assessment Solution (ACAS) – ambtenaren die nauw met de oplossing hebben samengewerkt, hebben de capaciteiten van ACAS geprezen, van zijn continue passieve monitoring tot zijn dashboarding en de vooruitzichten van scaling naar de cloud.DISA gaf voor het eerst het programmacontract van ACAS uit in 2012, maar nu DISA het contract heeft verlengd om ACAS voor nog eens twee jaar te onderhouden bij het Ministerie van Defensie (DoD), deelden de ambtenaren die ACAS hebben ingezet en geprezen hoe DoD voordelen heeft genoten van het programma dat het nog niet eerder heeft gezien.

ACAS: the Background and Components

DISA heeft het ACAS – contract gegund aan Perspecta – toen HPES-in April 2012, en Tenable, Inc. heeft de software achter ACAS, die Retina vervangen – de vorige oplossing DoD gebruikt voor de interne netwerkbeveiliging. Tenable ’s software won omdat het voldeed aan DISA’ s ACAS oplossing eisen voor een volledig geïntegreerde kwetsbaarheid assessment platform.

meer specifiek biedt Tenable ‘ s oplossing continu bedrijfsbreed zicht met zowel actief als passief scannen door twee scantoepassingen te koppelen. Een daarvan is Nessus, die niet alleen voldoet aan veelvoorkomende kwetsbaarheden en blootstellingen, maar ook DISA ‘ s Security Technical Implementation Guidelines (STIGs).

de andere toepassing is de Nessus Network Monitor( NNM), voorheen Passive Vulnerability Scanner (PVS) genoemd, die passief netwerkverkeer, nieuwe netwerkhosts en toepassingen bewaakt die kwetsbaar zijn voor compromissen. Ondersteuning en controle van Nessus en NNM is Tenable.sc Continue weergave, die scannergegevens verzamelt en rapporten en een aangepast dashboard biedt.

lancering van ACAS: de Transition and Early Benefits

professionals uit de industrie spraken onlangs over de stappen die zij hebben genomen bij het lanceren van de oplossing, evenals de voordelen die zij zagen ACAS leveren aan DoD.

Northtide Solutions Architect Phillip Katzman heeft de afgelopen 10 jaar gewerkt met DoD en haar cybersecurity missie, en hij richt zich momenteel op het leveren van ACAS-diensten aan het Army Intelligence Security Command (INSCOM). Hij zei dat ACAS gelanceerd voor verplicht gebruik over de diensten in januari 2014 na DoD besteed twee jaar ontwerpen, storyboarding, data-analyse, en het testen van operable vermogen. De voordelen ACAS bracht over de voorafgaande oplossing waren duidelijk, zei hij.

“Prior vulnerability management software solutions-ze waren niet web-based, niet data-based,” Katzman zei. “Je draaide het vanuit een applicatie op een systeem dat een bestand genereert voor u om naar te kijken. Wat de game changer was, vooral met ACAS, is dat ze in staat waren om dat te nemen en het in een data-driven web applicatie die toegankelijk is vanaf elke locatie op elk moment.”

Katzman voegde eraan toe dat de ACAS enterprise reporting en dashboard mogelijkheid staat DoD om aan te passen hoe cybersecurity leiderschap kan scans uit te voeren en te kijken naar data sets, “slicing and dicing” hen zoals gevraagd. Kent Nemoto, systeembeheerder van ACAS, die samen met Katzman werkte bij de implementatie van ACAS bij Army INSCOM, voegde eraan toe dat het aanpasbare aspect van de dashboards de applicatie flexibel maakt voor gebruikers.

Nessus bleek ook minder netwerk “ruis” te creëren, met minimale netwerkimpact in het scannen, wat Katzman toeschrijft aan de kracht van ACAS ‘ web-based mogelijkheden.

” vorige oplossingen waren echt, echt luidruchtig op het netwerk,” zei hij. “Je kon zien wanneer accreditaties of beoordelingen waren gaande vanwege de sweeps op het netwerk en het maakte gewoon dingen onbruikbaar. … integratie, de mogelijkheid om het te benutten als een echte moderne webapplicatie. Dat is het grootste verschil.”

Het Leger realiseerde deze voordelen al vroeg in de capability testing fase van ACAS. Katzman zei dat toen zijn team werkte aan de NNM lancering in de VS Indo-Pacific Command (USINDOPAYCOM), NNM gedetecteerd dat een ontruimde defensie aannemer was de uitgifte van nieuwe e – mails aan nieuwe werknemers op een HTTP – niet een veilige HTTPS-website en als gevolg daarvan was het typen van wachtwoorden in de clear. NNM ontdekte dat probleem, waardoor Katzman ‘ s team om een fix van de aannemer te bestellen.

” Er waren waarschijnlijk genoeg contracten, dingen die ze hadden die vertrouwelijk waren inloggen in een coffeeshop of zoiets, ” Katzman zei. “Er is geen twijfel in mijn gedachten dat ze eigenlijk gecompromitteerd. Maar die tool, die we net hadden geïmplementeerd als een test, kwam naar buiten en liet ons dat meteen zien. Dat is iets dat nog steeds gebruikt vandaag.”

langdurige voordelen voor DoD

DISA vernieuwde de softwarelicentie van Tenable Onder het ACAS-contract in December 2018 op basis van het succes van de technologie in het eerste zevenjarige contract, volgens Chris Cleary, nu vice president of business development and strategy bij Leidos en voorheen een Tenable business development director die met DISA werkte in de aanloop naar het contract recombete.

Cleary zei dat DISA “all things security-administrative-wise” doet voor DoD, en ACAS ’s structuur heeft het administratieve gedeelte van DISA’ s werk veel gemakkelijker gemaakt.

” onder de richtlijnen van het ACAS-programma, point-in-time scannen wordt eenmaal per maand uitgevoerd en doet een scan om kwetsbaarheden in de onderneming te vinden en biedt context die zal helpen de operator die kwetsbaarheden te corrigeren,” Cleary zei. “Het spoelt en herhaalt zich. Het is bewust in dit aspect en dus mechanisch in de uitvoering en uitvoering.”

“naast deze baseline scanning en rapportage, een toegevoegde waarde van Tenable’ s oplossing is dat NNM biedt passieve, continue monitoring die verder gaat dan de ACAS programma eisen en zorgt voor constante waakzaamheid,” voegde hij eraan toe.

de geplande scans en geautomatiseerde rapporten vereenvoudigen de taken van beheerders en ingenieurs binnen DoD, Katzman toegevoegd. In plaats van te reageren op verzoeken om verschillende rapporten, heeft de mogelijkheid om zich te concentreren op hoogwaardige aspecten van hun missie de kwaliteit van hun werk verbeterd.

” De oplossing is nu in staat om veel van deze functies en functies en het risico dashboard te automatiseren, vooral met de bogen – de assurance report cards – dat is een nieuwere functie die is het opbouwen van, ” Katzman zei. “Als we ons moeten richten op de missie, en het ontwikkelen en ontwerpen van een systeem, nu kunnen we dat doen. De oplossing geeft ons veel tijd.”

het creëren van efficiëntie voor het tech-personeel gaat hand in hand met kostenbesparingen die ACAS heeft opgeleverd.

automatiseren en vereenvoudigen van de administratieve kenmerken van DoD kwetsbaarheid en risicobeheer proces heeft de noodzaak om aannemers te huren verminderd en vrijgemaakt DOD personeel dat hun tijd had besteed aan lagere waarde werk, Katzman zei. En ACAS heeft afgeschermd scannen en administratie met zijn enterprise-brede scope, die meer flexibiliteit heeft gecreëerd in het uitbreiden van de activiteiten zonder stapelen op de kosten, voegde hij eraan toe.naast arbeids-en kostenbesparingen benadrukte Katzman de technologische voordelen van ACAS voor Defensie.

” de oplossing rapportage vermogen is een kritische game changer, vooral omdat rapporten kunnen worden afgestemd op verschillende behoeften, “Katzman zei, toe te voegen dat de real-time componenten van ACA’ s zijn indrukwekkend en van vitaal belang voor DOD ‘ s vulnerability management missie.

” het voordeel is continue monitoring, en wat we echt in staat om te zien in de buurt van real time, ” Katzman zei. “Asset-en voorraadbeheer is uiterst moeilijk en het is uitstekend om een grote meerderheid van uw activa op elk moment te kunnen zien. Daarom zijn er zoveel verschillende complementaire instrumenten – het passieve aspect ervan, als je dingen wilt zien die niet altijd praten. Point-in-time scans zijn geweldig, maar de asset moet online zijn voor u om dat te zien.”

ACAS ‘ s pad vooruit met DoD naar Cloud schaalbaarheid

hoewel Cleary, Katzman, Nemoto en anderen bij DoD het succes en de voordelen van ACAS tot nu toe hebben aangeprezen, spraken ze ook over de toekomstige mogelijkheden van de oplossing op de afdeling en hoe schalen naar de cloud de volgende grote stap is voor ACAS.

Cleary zei dat ACAS momenteel is ontworpen als een on-premise applicatie, dus het is geïnstalleerd en kan uitsluitend draaien op computers op het terrein van degenen die de oplossing gebruiken. Terwijl DoD zijn servers blijft migreren naar cloudplatforms, moet het ACAS-programma evolueren van on-prem en opschalen om cloud-niveau beveiliging en scandiensten te bieden.

” zodra u kunt implementeren of hefboomwerking houdbaar om de cloud, schaalbaarheid gaat door het dak,” Cleary zei.

het schalen van ACAS naar de cloud zal ook de efficiëntie en de snelheid van de mogelijkheden van de oplossing verhogen, aldus Katzman. Hij zei dat het nemen van de on-prem Nessus scanner naar de cloud is de volgende stap die hij ziet voor Tenable en DoD.

” als alles beweegt in de cloud – wordt kleiner, microservices, containerization – we zullen moeten zien een aantal on-prem versie van een kwetsbaarheid scanner, data-analyse die kan worden gedaan op de vlieg in de cloud,” zei hij. “De schaalbaarheid van de cloud is bijna onmiddellijk en in een handomdraai met je vingers kun je 200.000 tot 500.000 virtuele machines draaien.”nu defensie zich voorbereidt om binnenkort zijn Joint Enterprise Defense Infrastructure (JEDI) cloud contract uit te geven, zegt Katzman dat JEDI de afgeschermde aard van de servers en netwerken van elke militaire dienst wil doorbreken. Defensie kan Tenable inzetten.sc onder ACAS op verschillende niveaus zodat het kan rapporteren aan een of meer security center instances, ACAS kan DoD leiderschap in staat stellen om een beter inzicht in en controle over de totale enterprise-brede IT-activa en kwetsbaarheden compliances van de afdeling.

Katzman zei JEDI en andere enterprise-brede cloud-oplossingen werken daarom goed samen met ACAS – die voorziet in de flexibiliteit en enterprise-brede mogelijkheden die DoD nodig heeft in de interne kwetsbaarheid netwerk monitoring, het maken van de toekomst van cloud migratie bij DoD en ACAS ‘ s groei een die gemakkelijk vliegt op hetzelfde traject.