tag
漏洞管理
該標籤下有 3 篇文章
2026-09-11
VPN 設備是勒索軟體的主要入侵途徑：從日本數位廳外洩事件看遠端存取的防禦
VPN 設備連接網際網路與組織的內部網路，在日本入侵途徑已知的勒索軟體案件中，約有三分之二是從這裡進來的。日本數位廳的 GSS 事件也是同樣的型態：透過 VPN 漏洞入侵，再用維護業者的帳號存取大量檔案。本站的看法：只有在能持續修補的前提下才保留 VPN 設備，並用三件事來防禦：修補速度、入侵後的權限範圍要小、偵測大量存取。
2026-09-04
先修哪個 CVE？CVSS、EPSS、KEV 各自衡量什麼
CVSS 是嚴重程度，EPSS 是被利用的機率，KEV 是已確認被利用的事實，三者不能互相取代。本站對全部 1,695 個 KEV 條目的統計：64% 低於 CVSS 9，24% 低於 EPSS 0.1——「只修高分」和「EPSS 低就先放著」在實際資料面前都會失效。依 KEV → 高 EPSS → 高 CVSS 排序，再用你自己的暴露面來訂期限。
2026-09-04
osv-scanner 實務：pnpm、忽略 CVE、離線模式與常見錯誤
只回答導入之後才會遇到的問題，並以官方文件為依據。pnpm-lock.yaml 有支援；忽略設定寫在 osv-scanner.toml 的 IgnoredVulns 中，並可設定到期日；離線模式是三個用途不同的旗標。本站的看法：掃描工具回報的是已知漏洞，對於你自己固定的版本逐漸過時這件事不會發出任何提示，這需要另外的機制。