Команди безпеки мають більше даних про вразливості, ніж будь-коли. Сканери виявляють експозиції в кінцевих точках, хмарних ресурсах, застосунках, ідентичностях та інструментах сторонніх розробників. Проблема вже не полягає в тому, щоб виявляти проблеми. Проблема у визначенні того, які експозиції становлять найбільший ризик і потребують негайної уваги.
Роками багато команд покладалися на оцінки Загальної системи оцінювання вразливостей (CVSS) для визначення рівня усунення недоліків. CVSS все ще має цінність, оскільки надає командам загальний спосіб розуміння технічної серйозності. Але сама по собі серйозність не дорівнює реальному ризику. Критична вразливість в ізольованій тестовій системі може мати менше значення, ніж середня вразливість на сервері, підключеному до Інтернету, на який активно спрямовані атаки зловмисників. Без контексту оцінки CVSS можуть допомогти визначити, що є серйозним, але не обов’язково що є найбільш небезпечним для організації.
Як наступний етап розвитку, було запроваджено Систему прогнозування експлойтів (EPSS), яка оцінює ймовірність того, що вразливість буде використана в реальних умовах. EPSS додає важливий рівень аналітики, допомагаючи командам безпеки розрізняти вразливості, які є просто серйозними, від тих, які зловмисники можуть використати як зброю. Однак, можливість використання – це лише ще один елемент пазлу.
Тепер у дослідженні Anthropic Mythos ще раз підкреслюється, чому організації більше не можуть покладатися лише на показники серйозності та придатності до використання для визначення рівня вразливостей. За перший місяць Mythos виявив понад 23 000 потенційних вразливостей у проєктах з відкритим кодом, причому дослідники оцінили, що понад 6200 з них матимуть високий або критичний рівень серйозності. Це демонструє, що команди безпеки не можуть виправити все та повинні зосередитися на вразливостях, які дійсно можна використати та які мають вплив у їхньому конкретному середовищі.
Оскільки штучний інтелект прискорює виявлення та експлуатацію вразливостей, пріоритезація стає важливішою, ніж будь-коли. Ефективна пріоритезація вразливостей спирається на оцінки CVSS та EPSS, а також враховує вплив на бізнес та покриття засобами запобігання та виявлення через компенсувальні заходи безпеки. Мета проста: спочатку виправити те, що найважливіше у вашому конкретному середовищі.
Ключові висновки
- Не всі критичні вразливості становлять однаковий рівень ризику. Критичність активів, експозиція, шляхи атак та існуючі засоби контролю безпеки суттєво впливають на потенційний вплив вразливості.
- Експлуатованість та експозиція часто мають більше значення, ніж самі лише оцінки серйозності.
- Перевірка на основі атак допомагає командам визначити, які вразливості насправді можуть бути використані зловмисниками.
- Сучасна пріоритезація вразливостей є безперервною, а не моментальною.
- Ризик змінюється в міру розвитку середовища, появи нових загроз, відкриття доступу до активів та оновлення засобів контролю безпеки.
- Cymulate допомагає командам перевіряти реальні ризики та зосереджувати усунення вразливостей там, де це має найбільший вплив на зниження ризику та зміцнення стійкості до загроз.
Що таке пріоритезація вразливостей?
Пріоритезація вразливостей – це процес ранжування вразливостей на основі ризику, який вони становлять для організації. Це допомагає командам безпеки вирішити, які проблеми усувати в першу чергу, які контролювати, а які можна відкласти.
Цей процес є частиною ширшого управління вразливостями. Сканування виявляє слабкі місця. Пріоритизація перетворює ці результати на план дій. Потім усунення або пом’якшення вирішує найважливіші проблеми.
Якісна пріоритизація вразливостей робить більше, ніж просто сортує їх за рівнем серйозності та ймовірністю використання. Вона поєднує технічні дані з бізнес-контекстом та контекстом середовища. Окрім оцінок критичності та експлуатованості, вона враховує цінність активів, вплив на бізнес та існуючі засоби контролю для запобігання та виявлення. Організації повинні впроваджувати ризикоорієнтовану й контекстну перевірку, пріоритизацію та усунення вразливостей, щоб зменшити кіберризик.
Чому традиційні методи визначення пріоритетів неефективні
Пріоритизація на основі CVSS допомогла стандартизувати управління вразливостями, але вона ніколи не була призначена для самостійного ухвалення всіх рішень щодо ризиків.
Специфікація CVSS версії 4.0 пояснює, що CVSS фіксує основні технічні характеристики кожної вразливості. Базовий бал відображає внутрішню серйозність і припускає розумний найгірший вплив у розгорнутих середовищах. Це робить CVSS корисним як базовий показник, але неповним як показник реального ризику.
Традиційні методи не спрацьовують з п’яти поширених причин.
- Команди часто надмірно покладаються на базові оцінки CVSS. Це створює довгі черги «критичних» та «високих» вразливостей без достатнього контексту, щоб знати, які з них насправді є критичними та високими (тобто тих, які необхідно негайно усунути).
- Багатьом програмам бракує контексту середовища. Сканер може знати про існування вразливості, але не про те, чи є актив доступним для Інтернету, критично важливим для бізнесу чи захищеним компенсуючими засобами контролю.
- Традиційні підходи часто пропускають перевірку експлуатованості. Високий бал серйозності не доводить, що зловмисники можуть використовувати вразливість у певному середовищі. Деякі організації поєднали бали EPSS з CVSS для визначення ймовірності експлуатації, але все одно їм бракує перевірки експозиції.
- Перевантаження інструментами безпеки ускладнює визначення пріоритетів. Команди змушені керувати та узгоджувати результати зі сканерів вразливостей, інструментів хмарної безпеки, платформ кінцевих точок, систем керування заявками та SIEM, що призводить до операційної неефективності, надмірних обсягів даних та втоми від сповіщень.
- Багато програм управління вразливостями досі покладаються на статичні оцінки, яким важко встигати за швидкозмінними загрозами. Пріоритезація в певний момент часу швидко застаріває, оскільки щодня з’являються нові експлойти, активи, зміни конфігурації, а також досягнення та кампанії зловмисників.
- Ключові фактори для визначення пріоритетності вразливостей
Рівень небезпеки (CVSS)
CVSS має залишатися частиною процесу. Він надає командам узгоджену технічну відправну точку та допомагає порівнювати вразливості з точки зору технічної серйозності різних постачальників, систем та інструментів. Але CVSS не повинен бути остаточним рішенням. Надійна система пріоритезації вразливостей розглядає серйозність як один із компонентів ширшого контекстуального та ризикоорієнтованого підходу.
Експлуатаційність (EPSS)
Дані про експлуатованість показують, чи зловмисники можуть використовувати вразливість. Такі джерела, як Каталог відомих експлуатованих вразливостей CISA і Система прогнозування експлойтів (EPSS) допомагають командам виміряти цей сигнал.
CISA KEV відстежує вразливості з доказами активного використання. EPSS оцінює ймовірність використання вразливості. EPSS додає ймовірність на основі даних до пріоритизації, але не повинен замінювати перевірку експозиції активів, впливу на бізнес або компенсувальних засобів контролю безпеки.
Експозиція, поверхня атаки та шлях атаки
Експозиція та поверхня атаки показують, чи може зловмисник дістатися до вразливого активу. Активи, що є частиною зовнішньої поверхні атаки, як-от інтернет-доступний застосунок, відкрита служба віддаленого доступу або хмарне навантаження з публічним доступом, несуть інший ризик, ніж та сама вразливість в обмеженій внутрішній системі або ізольованому середовищі. Чим ширша та доступніша поверхня атаки, тим більша можливість для зловмисників виявляти та використовувати вразливості.
Експозиція також охоплює контекст шляху атаки. Вразливість меншого ступеня серйозності може вимагати негайної уваги, якщо вона забезпечує життєздатний шлях до конфіденційних даних, дозволяє доступ неавтентифікованим користувачам, сприяє горизонтальному переміщенню або створює можливість для ескалації привілеїв. Розуміння того, як вразливість вписується в потенційні шляхи атаки, допомагає організаціям пріоритезувати виправлення на основі фактичного технічного кіберризику, а не лише серйозності та ймовірності використання.
Вплив на бізнес
Команди безпеки повинні пріоритезувати вразливості на основі потенційного впливу успішної атаки на бізнес. Вразливість у застосунку, що генерує дохід, постачальнику ідентифікаційних даних, виробничій базі даних або системі охорони здоров’я зазвичай вимагає більш негайної уваги, ніж така сама вразливість у малоцінному активі.
Деякі критично важливі системи потребують певних періодів технічного обслуговування, тестування або компенсувальних засобів контролю перед встановленням виправлень. Пріоритетність повинна враховувати як зниження ризиків, так і операційний вплив.
Аналітика загроз
Аналітика загроз допомагає командам зрозуміти поведінку зловмисників. Активні кампанії, використання шкідливого програмного забезпечення, таргетування програм-вимагачів, публічний експлойт-код та галузеві загрози – все це має впливати на пріоритет.
Вразливість, яка використовується в активних атаках на фінансові послуги, охорону здоров’я або урядові об’єкти, може піднятися вище в черзі для організацій у цих секторах.
Ефективність заходів безпеки
Засоби контролю безпеки можуть знижувати або підвищувати пріоритет усунення вразливостей. Критична або висока вразливість може існувати, але вже можуть бути впроваджені заходи запобігання та виявлення з компенсувальними засобами контролю. До них належать виявлення та реагування на кінцеві точки (EDR), брандмауер веб-застосунків (WAF), IDS/IPS та SIEM. Це, як правило, знижує пріоритет. Може статися й протилежне. Середня вразливість може стати терміновою, коли відсутні заходи запобігання та виявлення, особливо коли це впливає на критичні бізнес-активи.
Ось чому перевірка засобів контролю безпеки є важливою. Команди безпеки повинні перевіряти, які вразливості потребують негайного усунення, а які ефективно усуваються за допомогою існуючих засобів контролю безпеки. Перевірка ефективності засобів контролю допомагає організаціям розставляти пріоритети на основі фактичного ризику та підтримувати рівень безпеки під час оцінки, планування та розгортання виправлень.
Крок за кроком: як визначити пріоритети вразливостей
1. Агрегування та нормалізація даних про вразливості
Почніть із централізації даних про вразливості зі сканерів, інструментів хмарної безпеки, платформ кінцевих точок, інструментів безпеки додатків та інвентаризації активів.
Нормалізуйте результати, щоб команди могли видаляти дублікати, зіставляти вразливості з активами та створювати єдине робоче представлення. Кожна вразливість також повинна бути пов’язана з власником системи, командою розробки додатків або групою інфраструктури. Врахуйте початковий рівень технічної серйозності та оцінки експлуатованості.
2. Додайте контекст до кожної вразливості
Далі, збагатіть кожен висновок контекстом активів та середовища.
Додайте критичність активу, системну роль, бізнес-підрозділ, чутливість даних, доступ до Інтернету, мережеве розташування, конфігурацію хмари та доступ до ідентифікаційних даних. Вразливість у публічній системі автентифікації не повинна розглядатися так само, як вразливість у виведеному з експлуатації внутрішньому активі.
Цей контекст допомагає командам зрозуміти, де в бізнесі знаходиться вразливість і яку шкоду може завдати її експлуатація.
3. Оцініть експлуатованість
Після додавання контексту оцініть експлуатованість. Шукайте відомі випадки експлуатації, код підтвердження концепції, перетворення експлойтів на готовий інструмент атаки, обговорення серед зловмисників, використання програм-вимагачів та ймовірність за EPSS.
CISA KEV має мати значну вагу, оскільки відображає активну експлуатацію. EPSS може допомогти визначити пріоритети вразливостей, які ще не входять до KEV, але показують вищу ймовірність експлуатації.
Здатність до експлуатації перетворює пріоритети з «те, що виглядає серйозним» на «те, що зловмисники найімовірніше використовуватимуть».
4. Перевірте реальний ризик
Валідація – це те, де сучасна пріоритезація стає точнішою. Замість того, щоб вважати, що вразливість можна використати, команди перевіряють, чи може атака бути успішною в їхньому середовищі та де засоби контролю безпеки забезпечують або не забезпечують покриття.
Симуляція атаки та перевірка експозиції допомагають довести, чи створює вразливість реальний шлях до впливу.
Це включає тестування шляхів експлуатації, горизонтального переміщення, засобів запобігання та покриття виявлення.
Валідація також виявляє компенсуючі засоби контролю. Вразливість може існувати, але сегментація, захист кінцевих точок або логіка виявлення можуть зменшити ризик. Вона також може виявити протилежне: проблема меншої серйозності може стати високопріоритетною через збій засобів контролю.
5. Ранжуйте на основі фактичного ризику, а не лише ступеня тяжкості
Після того, як команди об’єднають дані щодо серйозності, експлуатованості, експозиції, впливу на бізнес, інформації про загрози та перевірки, вони зможуть створити практичну модель ранжування.
Корисна стратегія пріоритезації виправлень дозволяє групувати результати на три рівні:
- Негайне виправлення: Активне використання вразливостей на відкритих або критично важливих для бізнесу активах, особливо коли існуючі засоби контролю не забезпечують покриття.
- Планове виправлення: Вразливості високого ризику з потенціалом експлуатації, значною експозицією або впливом на бізнес за відсутності безпосередніх доказів активної експлуатації.
- Відстежувати чи відкласти: Вразливості з низькою ймовірністю використання, обмеженою експозицією, меншим впливом на бізнес або сильними компенсувальними засобами контролю.
Ця модель допомагає командам чітко пояснити пріоритети та дає керівництву краще уявлення про зниження ризиків, а не лише про обсяг заявок.
6. Постійно переоцінюйте
Пріоритетність вразливостей є динамічною. Вразливість, яка сьогодні має низький рейтинг, може стати нагальною завтра, якщо з’явиться код експлойту, актив буде викритий або зловмисники почнуть використовувати його в кампаніях.
Постійна переоцінка повинна оновлювати рейтинги в міру надходження нової інформації. Це включає зміни сканерів, зміни активів, інформацію про загрози, переміщення EPSS, додавання KEV та результати перевірки.
Ось де безперервне управління експозицією до загроз (CTEM) стає важливим. CTEM перетворює пріоритизацію на безперервний цикл визначення обсягу, виявлення, визначення пріоритетів, перевірки та мобілізації.
Методології визначення пріоритетності вразливостей
Пріоритизація на основі CVSS
Пріоритизація на основі CVSS ранжує вразливості переважно за рівнем серйозності. Вона проста, звична та корисна для базового сортування. Її слабкістю є контекст. CVSS не доводить автоматично, що зловмисники можуть отримати доступ до вразливості або використати її в певному середовищі.
EPSS
EPSS (Система оцінювання прогнозування експлойтів) – це модель на основі даних, яка оцінює ймовірність використання вразливості в реальних умовах протягом наступних 30 днів. На відміну від CVSS, яка вимірює рівень технічної серйозності, EPSS допомагає командам безпеки пріоритезувати вразливості на основі ймовірності їх використання, що дозволяє використовувати більш ризикоорієнтований підхід до усунення недоліків.
Управління вразливостями на основі ризиків (RBVM)
Управління вразливостями на основі ризиків додає більше контексту до рішень щодо вразливостей. Він враховує вартість активів, можливість використання, вплив на бізнес та інформацію про загрози. RBVM допомагає командам зосередитися на усуненні значущих ризиків.
Пріоритизація з урахуванням загроз
Пріоритизація з урахуванням загроз використовує поведінку зловмисника для керівництва виправленням. Вона враховує активні кампанії, відомі вразливості, що використовувалися, використання шкідливого програмного забезпечення та тактики, зіставлені з такими фреймворками, як MITRE ATT&CK® Framework. Такий підхід допомагає командам узгоджувати виправлення з відповідними загрозами.
Управління вразливостями на основі атак (ABVM)
Управління вразливостями на основі атак перевіряє вразливості через реальну поведінку атаки. Замість того, щоб ранжувати результати лише за балом або ймовірністю, ABVM перевіряє, чи можуть зловмисники використовувати слабкі місця та чи засоби контролю запобігають атаці або виявляють її.
Це точка еволюції. CVSS повідомляє командам, наскільки серйозною може бути вразливість. RBVM додає бізнес-контекст та контекст загроз. ABVM додає докази.
Що таке пріоритизація вразливостей на основі атак?
Пріоритезація вразливостей на основі атак ранжує вразливості на основі перевіреної атаковності та впливу. Вона використовує симульовані атаки, перевірку експозиції та тестування засобів контролю, щоб показати, які вразливості створюють реальний ризик у конкретному середовищі.
Цей підхід є точнішим за теоретичну оцінку, оскільки він відображає умови, з якими стикаються зловмисники. Він враховує, чи є актив досяжним, чи може експлуатація бути успішною, чи можливий горизонтальний рух і чи зупиняють дії засоби безпеки.
Пріоритизація на основі атак не замінює CVSS, EPSS або розвідку про загрози. Вона пов’язує їх з реальними доказами. Це спрощує захист рішень щодо виправлення та полегшує їх виконання.
Переваги ефективної пріоритезації вразливостей
Ефективна пріоритезація вразливостей допомагає командам зменшити кількість невиконаних завдань, зосередити ресурси та пришвидшити усунення наслідків.
Це створює операційну спрямованість, оскільки команди перестають ставитися до кожної високої або критичної вразливості як до рівноцінної. Це покращує середній час усунення (MTTR), оскільки команди можуть швидше маршрутизувати заявки, призначати власників та зменшувати дискусії. Це також зменшує ймовірність порушення безпеки, закриваючи шляхи, які зловмисники найімовірніше використовуватимуть.
Чітка пріоритизація також покращує узгодженість бізнесу. Команди безпеки можуть пояснити виправлення з точки зору впливу на бізнес, а не лише технічної складності.
Результати роботи з клієнтами Cymulate демонструють цінність перевіреної пріоритизації. Технічний паспорт Cymulate CTEM повідомляє про 52% зниження критичних ризиків та 60% ефективніше визначення пріоритетів. Ці результати показують, чому важлива валідація.
Типові помилки, яких слід уникати
До поширених помилок належать однакове ставлення до всіх «критичних» вразливостей, ігнорування контексту активів, визначення пріоритетів лише для відповідності, пропуск перевірки придатності до експлуатації та ставлення до визначення пріоритетів як до одноразової дії. Критичний рівень серйозності має ініціювати перевірку, але він не повинен автоматично визначати порядок усунення недоліків. Ризик змінюється зі зміною активів, засобів контролю та поведінки зловмисника.
Як Cymulate допомагає визначити пріоритети вразливостей
Cymulate допомагає командам безпеки перейти від довгого списку вразливостей до перевірених дій на основі ризиків, щоб організації могли знати, на чому зосередити свої зусилля для забезпечення постійної стійкості до загроз.
Платформа Cymulate CTEM допомагає довести експлуатованість, визначити пріоритети на основі впливу та адаптувати засоби контролю безпеки для зменшення експозиції. Вона збирає та агрегує дані про експозиції та активи, перевіряє експлуатованість за допомогою симуляції атаки та ранжує експозиції на основі інформації про загрози, критичності для бізнесу та ефективності контролю. Вона доповнюється автоматизованим коригуванням засобів контролю безпеки для запобігання та виявлення.
З Cymulate Exposure Validation, команди можуть перевірити, чи дійсно вразливості можна використовувати в їхньому середовищі. Це надає командам управління вразливостями, центру операцій безпеки (SOC), червоній команді та командам інженерів безпеки спільні дані для прийняття рішень щодо усунення недоліків.
Cymulate Detection Studio також підтримує аспект ефективності контролю у визначенні пріоритетів. Коли команди розуміють, де працює охоплення виявлення, а де його потрібно покращити, вони можуть вирішити, чи виправляти, налаштовувати засоби контролю чи застосовувати пом’якшення наслідків.
Завдяки Cymulate організації отримують ефективний підхід та рішення для визначення пріоритетів вразливостей у сучасному складному середовищі. Почніть з CVSS та EPSS, але рухайтеся до реального ризику. Додайте вплив на бізнес та аналітику загроз. Потім перевірте, що зловмисники насправді можуть зробити у вашому конкретному середовищі.
Джерело: How to Prioritize Vulnerabilities in 2026: From CVSS to Real Risk
