Управление уязвимостями: практика и уровни зрелости

Как находить, приоритизировать и закрывать уязвимости в срок.

С чего начать

Уязвимости появляются каждый день, закрыть все сразу невозможно. Задача направления: находить их регулярно, понимать, какие опасны именно для вас, и закрывать в понятные сроки. Цель не нулевой список, а управляемая просрочка.

Сканируйте регулярно и по полному реестру активов, а не только то, что вспомнили.
Расставляйте приоритеты: учитывайте критичность актива, наличие эксплуатации в реальных атаках (каталог CISA KEV) и вероятность эксплуатации (EPSS), а не только оценку CVSS.
Назначьте сроки и ответственных, считайте просрочку.
Исключения оформляйте письменно: что не закрываем, почему, чем компенсируем и до какой даты.

Практика по шагам: от скана до закрытия и как читать отчёт сканера. Для разработки: Dependency-Track и SonarQube в GitLab CI.

Что нужно на первом и втором уровне

Уровень	Что должно быть
1. Базовый	Периодически выполняется сканирование и установка обновлений.
2. Гигиенический	Есть процесс с приоритетами и сроками, учитываются каталог KEV и EPSS, считается просрочка, исключения оформляются.

Критерии описаны своими словами по мотивам методики Группы Сбер; это ориентир, а не оценка соответствия. Для небольшой команды многие пункты закрываются процессом и открытыми средствами, а не дорогими продуктами.

Материалы по теме

Dependency-Track и SonarQube в GitLab CI: проверка кода и зависимостей
Подключение SonarQube и Dependency-Track к конвейеру GitLab: токены, SBOM, сканер, quality gate и типичные ошибки.
Nmap: обнаружение узлов, сканирование портов и разбор вывода
Практическое руководство по Nmap: установка, цели, -sn и -Pn, TCP/UDP, порты, -sV и NSE, отчёты -oA и ограничения вывода.
unattended-upgrades: автоматические обновления безопасности Debian и Ubuntu
Практика автоматических обновлений безопасности на Debian и Ubuntu: файлы настроек, ловушка со списками источников (нужна строка #clear), что реально обновляется, перезагрузка, уведомления, журналы, проверка таймеров и сторонних репозиториев.
Как читать отчёт сканера уязвимостей и что исправлять первым
Разбор отчёта сканера: что значат оценки, как отличить ложное срабатывание, чем занимать приоритеты и что отдать администраторам.
Управление уязвимостями: процесс, приоритеты, сроки и метрики
Лонгрид об управлении уязвимостями на практике: шесть шагов процесса, приоритизация по KEV, EPSS и методике ФСТЭК 2025 года, сроки, исключения, метрики и рабочий скрипт приоритизации.