Əsas fikir
CVSS balını kontekstlə birlikdə nəzərdən keçirin: aktivin əhəmiyyəti, məruz qalma, istismar sübutu və nəzarətlər prioriteti dəyişə bilər.
İdarəetmə skandan genişdir
Zəiflik idarəetməsi sistem, şəbəkə və tətbiqlərdə proqram xətası və yanlış konfiqurasiyanı müəyyən edən davamlı prosesdir. Qiymətləndirmə, doğrulama, prioritet və düzəliş ayrı işlərdir. Cihaz, server, proqram və bulud inventarını saxlayın; versiyanı istehsalçı məlumatı ilə müqayisə edən skanın autentifikasiya və əhatəsini yoxlayın.
Aktiv əhatəsini müəyyən edin
İnternetə açıq və daxili sistemləri, işçi cihazlarını, şəbəkə qurğularını, bulud resurslarını və tətbiqləri sahib və mühitlə inventarlaşdırın. Skanın istifadə etdiyi icazələri, əhatədən kənar aktivləri və nəticənin tarixini qeyd edin. Skan pəncərələrini xidmət sahibinə bildirin və kritik sistemlərə təsirini öncədən yoxlayın.
Tapıntını yoxlayın və kontekst əlavə edin
Aktivin və proqram versiyasının düzgün tanındığını, tapıntının real konfiqurasiyaya aid olduğunu yoxlayın. Yanlış müsbətləri, skan məhdudiyyətlərini və kompensasiyaedici nəzarətləri sənədləşdirin. Təsdiqlənmiş tapıntını prioritet qərarı üçün aktiv sahibi, məlumat və xidmət konteksti ilə tamamlayın.
Riskə əsaslanan prioritet
CVSS texniki şiddəti göstərir; biznes riski üçün kritikliyi, əlçatanlığı, istismar sübutunu və mümkün zərəri birləşdirin. Kritik xidmət, internet ekspozisiyası və aktiv istismarı əvvəl qiymətləndirin. Aşağı şiddətli tapıntı kritik sistemə yol açırsa təcili ola bilər. Aktiv sahibinin təsir qiymətləndirməsi və düzəliş asılılığını əlavə edin; cavab müddəti, eskalasiya və qərarın səbəbini yazın.
Düzəliş seçimi və istisna
Riskin azalmasını, xərci və əməliyyat təsirini müqayisə edin. Dəyişiklik sahibi, təsdiqlənmiş sınaq pəncərəsi və geri qaytarma planı müəyyən edin. Düzəliş gözləməlidirsə, risk sahibinin təsdiqlədiyi istisnada kompensasiya nəzarəti, qalıq təsir və bitmə tarixi olsun. Yumşaldılmış tapıntını avtomatik düzəldilmiş saymayın; seçim səbəbini və baxış tarixini saxlayın.
| Tədbir | Nə vaxt nəzərdən keçirilməli | Bağlanış üçün sübut |
|---|---|---|
| Yamaq və ya yeniləmə | Dəstəklənən düzəliş mövcuddur və sınaqdan keçirilib. | Versiya və konfiqurasiya, təkrar yoxlamanın nəticəsi. |
| Konfiqurasiya və ya seqmentasiya | Əlçatan hücum yolunu və ya müvəqqəti açıq qalmanı azaltmaq lazımdır. | Dəyişdirilmiş nəzarət və onun təsirinin yoxlanması; qalan tapıntını ayrıca izləyin. |
| İstismardan çıxarma və ya əvəzləmə | Aktiv dəstəklənmir, lazım deyil və ya davamlı düzəliş yoxdur. | Asılılıqların və məlumatların köçürülməsi, çıxarılmanın təsdiqi. |
Düzəlişi doğrulayın
Bağlanış faktiki aktivdəki dəyişiklik və onun yoxlanması ilə əsaslandırılmalıdır. Düzəliş yoxlamadan keçmədikdə və ya problem təkrarlandıqda işi məsul şəxsə qaytarın.
Dəyişikliyi yoxlayın
Nəzərdə tutulan aktiv, versiya və konfiqurasiyanı təsdiqlənmiş dəyişiklik qeydi ilə tutuşdurun.
Nəticəni sınaqdan keçirin
Səlahiyyətli təkrar skan və ya uyğun texniki yoxlama aparın; əhatəni və tarixi qeyd edin.
Bağlayın və ya yenidən açın
Bağlanış sübutunu saxlayın. Düzəliş yoxlamadan keçmədikdə və ya problem təkrarlandıqda icraçı təyin edin və qüvvədə qalan nəzarətləri yenidən yoxlayın.
Proqram nəticəsini hesabat edin
Paneldə tapıntını risk sahibi, tarix, tədbir və təkrar yoxlama ilə əlaqələndirin. Əhatə, kritik açıq tapıntı, düzəliş müddəti və təkrar açılan problemi izləyin. Rəhbərlik üçün risk meylini, texniki komanda üçün konkret işi göstərin; nəticəni investisiya və proses təkmilləşməsinə bağlayın.