Управление патчами.

Управление патчами охватывает весь жизненный цикл от раскрытия уязвимости до подтверждённого устранения в операционных системах, прошивках, приложениях, контейнерах и зависимостях. Зрелые программы приоритизируют патчи по данным об эксплуатируемости (CVSS, EPSS, KEV), бизнес-критичности и компенсирующим контролям и раскатывают их кольцами, чтобы ограничить операционный риск. Автоматизация, окна изменений, планы отката и SLA по уровням критичности обязательны.

Смертельное окно — между выпуском патча и его развёртыванием

Существование патча никого не защищает; защищает его установка, а разрыв между этими двумя моментами — это и есть место, где случаются взломы.

• Equifax (2017): уязвимость Apache Struts CVE-2017-5638 была закрыта патчем 7 марта 2017 года; злоумышленники начали эксплуатировать непропатченный портал Equifax около 10 марта и выгружали данные примерно 147 млн человек до конца июля, потому что исправление так и не применили.
• WannaCry (май 2017): Microsoft выпустила MS17-010 14 марта 2017 года, закрыв уязвимость SMBv1 (CVE-2017-0144), которой злоупотреблял утёкший эксплойт EternalBlue. Спустя два месяца организации, не развернувшие патч — включая части британской NHS, — были парализованы червеподобно распространявшимся вымогателем.
• Log4Shell (CVE-2021-44228, 2021): тривиально эксплуатируемая RCE в повсеместной библиотеке логирования показала, почему живой перечень ПО (SBOM) теперь является частью управления патчами.

Как приоритизируют зрелые программы

Поскольку ни одна команда не может пропатчить всё сразу, современные программы упорядочивают работу по вероятности эксплуатации, а не только по тяжести CVSS. Каталог Known Exploited Vulnerabilities (KEV) агентства CISA (запущен в ноябре 2021 года) и оценки EPSS от FIRST позволяют ускоренно закрывать небольшой набор уязвимостей под активной атакой, тогда как рутинные исправления идут через ступенчатые кольца с планами отката.

flowchart LR
  A[Уязвимость раскрыта / CVE] --> B[Инвентаризация активов + SBOM:<br/>затронуты ли мы?]
  B --> C[Приоритизация: CVSS + EPSS + KEV<br/>+ бизнес-критичность]
  C --> D[Тест в пилотном кольце]
  D --> E[Ступенчатый раскат:<br/>широкое, затем продакшен]
  E --> F[Проверка повторным сканированием]
  F -->|Сбой / регрессия| G[Откат + компенсирующий контроль]
  G --> D