управление уязвимостями
3 статей с этим тегом
VPN-устройства — главный путь проникновения программ-вымогателей: защита удалённого доступа после утечки в Цифровом агентстве Японии
VPN-устройство соединяет интернет с внутренней сетью организации, и в Японии примерно в двух третях случаев с программами-вымогателями, где путь известен, атакующие проникали именно через него. Инцидент с GSS в Цифровом агентстве повторил ту же схему: вход через уязвимость VPN, затем учётная запись обслуживающего подрядчика использовалась для доступа к большому числу файлов. Взгляд этого сайта: держите VPN-устройство, только если можете постоянно его обновлять, и защищайте его тремя вещами: скоростью обновлений, узкими правами на случай проникновения и обнаружением массового доступа.
Какую CVE закрывать первой — что на самом деле измеряют CVSS, EPSS и KEV
CVSS — это тяжесть, EPSS — вероятность эксплуатации, KEV — подтверждённый факт эксплуатации. Они не заменяют друг друга. Наши данные по всем 1 695 записям KEV: 64% ниже CVSS 9 и 24% ниже EPSS 0.1 — и «чиним только высокие оценки», и «EPSS низкий — подождёт» проваливаются на реальных данных. Порядок: KEV → высокий EPSS → высокий CVSS, а срок определяйте по собственной доступности извне.
osv-scanner на практике — pnpm, игнорирование CVE, офлайн-режим и типичные ошибки
Только вопросы второго дня, с ответами по официальной документации. pnpm-lock.yaml поддерживается; исключения задаются в osv-scanner.toml в IgnoredVulns и могут иметь срок действия; офлайн-режим — это три флага с тремя разными задачами. Взгляд этого сайта: сканер сообщает об известных уязвимостях и ничего не говорит о том, что версия, которую вы сами зафиксировали, устарела, — для этого нужен отдельный механизм.