Эпидемия WannaCry, прокатившаяся по сетям больниц, заводов и ведомств в середине мая, показала простую вещь: уязвимость закрыли патчем MS17-010 ещё в марте, а машины так и остались непропатченными. Дело не в недостатке инструментов, а в отсутствии процесса. Управление уязвимостями – это не разовая установка обновлений, а постоянный цикл: знать свой парк, понимать риски, ставить заплатки в срок и проверять результат. В гетерогенной среде, где соседствуют Windows, Linux, сетевое оборудование и прикладные системы, этот цикл усложняется на порядок.
Начните с инвентаризации, а не с патчей
Нельзя защитить то, чего вы не видите. Первый шаг – полная и актуальная карта активов: серверы, рабочие станции, гипервизоры, СУБД, сетевые устройства, версии ОС и прикладного ПО. В типичной организации 10–20% узлов не учтены: тестовые стенды, забытые виртуалки, оборудование удалённых филиалов, ноутбуки мобильных и выездных сотрудников. Именно эти узлы первыми становятся точкой входа.
Инвентаризация должна быть автоматической и непрерывной. Раз в квартал собранная вручную таблица устаревает быстрее, чем выходит очередной бюллетень безопасности. Свяжите учёт активов со сканером уязвимостей, чтобы каждая новая машина в сети сразу попадала под контроль.
Приоритизируйте: не все уязвимости одинаково опасны
Сканер выдаёт сотни и тысячи находок. Поставить всё и сразу невозможно – нужен критерий приоритета. Опирайтесь на три фактора: оценку по CVSS, наличие публичного эксплойта и критичность самого актива для бизнеса. Уязвимость с CVSS 9.8 на изолированном тестовом сервере менее опасна, чем «средняя» дыра на узле, смотрящем в интернет.
Отдельно выделяйте уязвимости, для которых уже есть рабочий эксплойт или которые активно используются в атаках. WannaCry эксплуатировал именно такую – критичную, удалённо исполняемую, с готовым кодом. Для подобных случаев нормальный SLA на установку патча – не недели, а 24–72 часа. Закрепите эти сроки в регламенте и привяжите к ним ответственных.
Патч-менеджмент как управляемый процесс
Установка обновлений в продуктивной среде – риск сама по себе: патч способен сломать совместимость с прикладной системой. Поэтому процесс строится по шагам: тестовый контур, пилотная группа, постепенное развёртывание, контроль установки. Для разнородной среды одного WSUS мало – нужны решения, охватывающие Linux, сетевое оборудование и стороннее ПО, плюс ручные процедуры для систем, которые в принципе нельзя автоматически обновлять.
Для госсектора и компаний на отечественном стеке добавляется ещё один пласт. Если вы перешли на софт из реестра российского ПО, процесс патч-менеджмента нужно выстраивать и для него: канал доставки обновлений, проверка целостности, совместимость с остальной инфраструктурой. Импортозамещённое решение требует того же дисциплинированного цикла, что и зарубежное.
И помните про системы, которые обновить нельзя прямо сейчас, – старые АРМ, оборудование с сертифицированной прошивкой. Для них работают компенсирующие меры: сегментация сети, ограничение доступа, отключение неиспользуемых служб. Подробный разбор того, как WannaCry распространялся через SMB и почему сегментация спасла часть сетей, мы дали в отдельном материале.
Вывод
Управление уязвимостями – это операционная дисциплина, а не проект с датой завершения. Инвентаризация, приоритизация по реальному риску, регламентированные сроки и контроль установки превращают хаотичное «латание дыр» в предсказуемый процесс. Под конкретную гетерогенную инфраструктуру он выстраивается через аудит, внедрение сканера и построение регламента патч-менеджмента.
