ai-assistants

Как приоритизировать новости об уязвимостях вместо балла CVSS

За последний год CISA, Евросоюз и ФСТЭК перестали назначать сроки устранения по баллу CVSS и перешли на признак эксплуатации. Замер на открытых данных показывает, чего этот признак стоит: у одних вендоров он приходит в день исправления, у других через три с половиной месяца. Как именно меняются подход и что из этого следует для отбора важности новостей попробуем разобраться. Замеры сделаны на открытых данных CISA KEV, NVD, EPSS и БДУ ФСТЭК