Vulnerability management v podnikové IT infrastruktuře

Tomáš Hronek

Bachelor's thesis

Vulnerability Management in the Corporate IT Infrastructure

Abstract:

Práce se zabývá oblastí řízení zranitelností a jejich vztahu k informační bezpečnosti. Jejím cílem je zasazení tematiky řízení zranitelností do kontextu informační bezpečnosti podniku a vysvětlení jejího vztahu k souvisejícím disciplínám. V praktické části jsou porovnány vybrané nástroje k hodnocení zranitelností a je aplikována metodika k určení kritičnosti zjištěných zranitelností ve vztahu k dodávaným IT službám. Cílů bylo dosaženo rešerší odborných informačních zdrojů, osobními konzultacemi s pracovníkem odpovídajícím za informační bezpečnost v J&T Bance a srovnáním výsledků nástrojů k hodnocení zranitelností (Nessus, Retina, OpenVAS, Nexpose, Tripwire). Dosud nebyla publikována žádná vysokoškolská závěrečná práci věnující se výhradně tématu řízení zranitelností. Tato závěrečná práce je první, která poskytuje srovnatelné výsledky skenování zranitelností vůči stejným cílům. Neméně přínosná je rovněž aplikace metodiky Common Vulnerability Scoring System k určení kritičnosti zjištěných zranitelností ve vztahu k dodávaným IT službám.

Abstract:

The present thesis deals with the area of vulnerability management and its relation to information security. Its main purpose is to set the topic of vulnerability management in context of company information security and to explain its relationship to related disciplines. In the practical part, selected vulnerability assessment tools are compared and methodology is applied to determine the criticality of the vulnerabilities identified in relation to the provided IT services. The objectives were achieved by literature review, personal consultations with employees responsible for information security at J&T Bank and by comparing the results of several tools for assessing vulnerability (Nessus, Retina, OpenVAS, Nexpose, Tripwire). To date, there has not been published a thesis devoted exclusively to the topic of vulnerability management. This thesis is the first one to provide comparable results of vulnerability scanning of the same targets. Equally valuable is the application of Common Vulnerability Scoring System to determine the criticality of the vulnerabilities identified in relation to delivered IT services.

Keywords

řízení zranitelností, expozice, OpenVAS, Nexpose, Tripwire, Retina, hodnocení zranitelností, Nessus, CVSS, kritičnost, soulad s bezpečnostní konfigurací, zranitelnost, srovnání nástrojů

Keywords

tools comparison, security configuration compliance, vulnerability assessment, Retina, vulnerability, vulnerability management, exposure, Nessus, CVSS, OpenVAS, Nexpose, Tripwire, severity

Language used: Czech

Date on which the thesis was submitted / produced: 13. 1. 2015

Thesis defence

• Date of defence: 18. 6. 2015
• Supervisor: Jaromír Veber
• Reader: Tomáš Klíma

Vysoká škola ekonomická v Praze

Bachelor programme / field:
Aplikovaná informatika / Informatika