Главная мысль
Свяжите актив, уязвимость, сигнал об угрозе и статус исправления. Используйте CVSS с контекстом: базовая оценка сама по себе не показывает риск организации.
Что такое TVM
TVM связывает активы, слабости, информацию об угрозах и исправления в общий риск-процесс. Дефекты, настройки, аутентификация и открытые сервисы оцениваются вместе с поведением атакующих. Цель — сокращать возможности эксплуатации важных активов и отслеживать результат, а не число сканов.
Выявление риска и обнаружение
Ведите актуальный инвентарь серверов, устройств, приложений и облака с владельцами и критичностью. Используйте аутентифицированные сканы и проверки настроек. Учитывайте внешнюю доступность, внутренний доступ, поставщиков и избыточные права. Отслеживайте активы вне охвата и ошибки сканирования.
Проверка и приоритет
Проверяйте ложные срабатывания и применимость версии. CVSS Base описывает собственную серьёзность уязвимости, а не полный бизнес-риск. Доступная извне активно эксплуатируемая слабость может быть срочной, но контекст решает. Документируйте основания приоритета, срока и эскалации; новые данные могут изменить очередь без изменения оценки серьёзности.
| Входные данные | Что они показывают | Как использовать при выборе приоритета |
|---|---|---|
| CVSS Base | Техническую серьёзность уязвимости по её базовым характеристикам. | Учитывайте затронутую конфигурацию и условия вашей среды. |
| KEV / данные поставщика об эксплуатации | Эксплуатацию, наблюдавшуюся в других средах. | Повышайте приоритет доступных для атаки активов, на которых есть эта уязвимость. Эти сведения не доказывают инцидент в вашей среде. |
| Доступность и критичность актива | Возможный путь атаки и последствия для бизнеса. | Определяйте срочность с владельцем сервиса. |
| Средства защиты и ограничения изменений | Проверенные средства защиты и зависимости, которые нужно учесть при устранении уязвимости. | Фиксируйте временную меру, ответственного и порядок повторной оценки. |
Свяжите threat intelligence с решением
Сопоставляйте поставщиков, исследования и государственные данные с активами и версиями. CISA KEV даёт сигнал известной эксплуатации. Сравнивайте техники и индикаторы с внутренними событиями; запись feed не означает инцидент. При совпадении направляйте ответ и исправления на общий риск. Отсутствие в KEV не доказывает безопасность уязвимости.
Исправление и альтернативные меры
Связывайте патч, настройки, MFA и минимальный доступ с владельцами и безопасным изменением. При невозможности патча используйте сегментацию, IPS, EDR и сокращение экспозиции. Проверяйте снижение конкретного пути эксплуатации. Исключение требует владельца и срока; затем перепроверяйте исправление. EDR, IPS и сегментация служат компенсирующими мерами только после проверки конкретного пути; само обнаружение не устраняет уязвимость.
Непрерывный мониторинг и автоматизация
Повторно оценивайте новые активы, ПО и угрозы. Сканы, приоритеты, оповещения и задачи масштабируют работу, но требуют проверки ошибок и бизнес-контекста. Для ИИ требуйте доказательств и оценки влияния. Ограничивайте автоматическое исправление согласованием, тестом и откатом.
Связь с действующей защитой
Firewall, антивирус и IDS помогают блокировать и обнаруживать атаки; TVM систематизирует поиск и устранение слабостей рядом с ними. Приоритизируйте по эксплуатации и влиянию. Для Zero Trust и адаптивных мер пересматривайте риск доступа и проверяйте внутренние активы.
Отчётность и доказательства мер
Показывайте охват, критичные риски, время исправления, исключения и повторно выявленные проблемы. Команде нужны активы и задачи, руководству — влияние и решения. Сопоставляйте доказательства с применимыми PCI DSS, HIPAA и другими требованиями. Разделяйте завершённое и остаточный риск, указывая дату и охват.