Просто смотреть на severity и количество уязвимостей — уже давно не рабочий инструмент. Такой подход не отражает ни реального уровня риска, ни приоритетов на устранение. Чтобы система управления уязвимостями действительно приносила пользу, нужно учитывать контекст и особенности среды, где эта уязвимость была обнаружена.
❣
Метрики, которые действительно важно учитывать:📍
Наличие эксплоита: есть публичный PoC или рабочий эксплоит? — Вероятность эксплуатации в таком случае резко возрастает.
📍 Актуальность (1-day / хайп): если уязвимость обсуждают в Twitter, на Reddit, в блогах, есть alert от CISA, то скорее всего, уязвимость уже массово эксплуатируют.
📍 Доступность сервиса: если сервис торчит наружу, вероятность атаки также возрастает.
📍 Бизнес-критичность: очевидно что на сервисе, который обрабатывает ПДН уязвимость необходимо исправлять быстрее, чем на статическом лендинге.
📍 Наличие патча: если патч есть — обновляемся, если нет смягчаем риски, например, с помощью WAF.
В зависимости от данных метрик можно построить свою матрицу с конкретными SLA для устранения тех или иных уязвимостей. Модель можно корректировать, например, при управлении множеством уязвимостей в рамках какой-то одной единицы. Например, вы используете базовый Docker-образ версии 1.1, где имеются сотни уязвимостей в пакетах — нет смысла анализировать каждую, если для устранения большинства необходимо обновить базовый образ до версии 2.0.
❣
Автоматизация и прозрачность:
Идеально, если все эти метрики живут не в голове аналитика, а интегрированы в единую платформу управления уязвимостями, где можно:
📍 фильтровать уязвимости по наличию эксплойта, доступности сервиса или бизнес-критичности;
📍 видеть текущее состояние безопасности в реальном времени, через дашборды;
📍 формировать приоритезированный бэклог и SLA на устранение;
📍 автоматизировать передачу задач в тикетницу.
Управление уязвимостями требует не только надежных сканеров, но и системы, способной централизованно обрабатывать, анализировать и приоритизировать обнаруженные угрозы. Для решения этих задач у нас в Авилликс есть собственная разработка — платформа ASOC (Application Security Operations Center), которая интегрируется с популярными сканерами уязвимостей и позволяет гибко подключать любые источники данных, будь то сканирования в рамках CI/CD-процессов или инфраструктурные проверки безопасности.
Внедрение ASOC или подобных ей инструментов значительно повышает эффективность управления уязвимостями, упрощая анализ, автоматизируя обработку данных и обеспечивая прозрачность процессов безопасности.
❣
Ключевые возможности ASOC:📍Централизованная обработка данных;
📍Приоритизация уязвимостей;
📍Полная видимость состояния безопасности в единой системе;
📍Оценка эволюции безопасности;
📍Гибкая аналитика и детализация данных.
Подробнее по каждому пункту, можно прочитать на сайте —
https://awillix.ru/products/asoc
