🔴 CVSS 9.8. Исправлять первым?

Не обязательно.

Одна из главных проблем vulnerability management начинается тогда, когда список уязвимостей превращается в очередь, отсортированную исключительно по CVSS.

Представим две находки.

Первая — CVSS 9.8 на сервере, который недоступен извне, изолирован и не содержит критичных данных.

Вторая — CVSS 7.5 на сервисе, доступном из интернета, для которого существует рабочий эксплойт и который может стать первым шагом внутрь инфраструктуры.

Что опаснее для конкретной компании?

Одной оценки недостаточно.

При нормальной приоритизации приходится учитывать контекст:

• доступен ли актив атакующему;
• существует ли рабочий эксплойт;
• насколько критичен актив;
• какие защитные меры уже работают;
• можно ли через него развить атаку;
• какими будут последствия для бизнеса.

Поэтому задача управления уязвимостями — не составить максимально длинный список CVE.

Задача — понять, какие из них формируют реальный путь атаки, и перекрыть его раньше злоумышленника. 🔎