CISA: большинство компрометаций используют известные уязвимости

Большинство компрометаций используют известные уязвимости

Киберпреступники ищут в интернете уязвимости в общеизвестном программном обеспечении. Базовые сбои в безопасности становятся причиной большинства компрометаций. Организации могут снизить риски, устраняя эти слабые места и приоритизируя уязвимости для устранения в зависимости от степени угрозы.

CISA публикует обзор уязвимостей для снижения рисков

Обзор уязвимостей CISA (Cybersecurity and Infrastructure Security Agency) предоставляет организациям информацию о причинах небезопасного программного обеспечения. В обзоре представлены практические шаги для устранения недостатков и предотвращения эксплуатации. Анализ данных CISA и открытых источников за 2024 и 2025 финансовые годы устанавливает текущий ландшафт уязвимостей до широкого распространения ИИ-инструментов для их обнаружения. Обзор подчеркивает важность принципов Secure by Design для проактивного устранения уязвимостей, а не реактивного реагирования на действия злоумышленников.

Обзор выявляет распространенные программные слабости

Обзор определяет общие программные слабости, которые приводят к уязвимостям. Он детализирует практики, которые производители ПО могут использовать для предотвращения повторения этих слабостей. Анализируя закономерности в данных об уязвимостях, обзор помогает организациям сосредоточиться на системных улучшениях, снижающих целые классы уязвимостей, вместо того чтобы устранять отдельные уязвимости после их обнаружения.

Приоритизация уязвимостей основана на оценке рисков

Обзор показывает организациям, как приоритизировать уязвимости для действий. Используется структура, изложенная в Оперативном директиве 26-04 (Binding Operational Directive 26-04): Приоритизация безопасности на основе рисков. Эта структура оценивает уязвимости по четырем ключевым критериям: статус раскрытия, статус в каталоге известных эксплуатируемых уязвимостей (KEV), потенциал автоматизированной эксплуатации и техническое воздействие.

Источник: CISA