Фреймворк "Now, Next, Never" для приоритизации устранения уязвимостей в промышленных системах управления

Компания Dragos в своём ежегодном исследовании на тему безопасности OT/ICS представила методику приоритизации устранения уязвимостей в промышленных системах управления, призванную устранить недостатки CVSS, не учитывающей контекст и специфику рассматриваемых систем.

Вводится три категории уязвимостей, а точнее приоритетов устранения: NOW, Next, Never.

Уязвимости категории NOW
Возможность удаленной эксплуатации
Не требует аутентификации или она легко обходится.
Влияет на выполнение процессов OT/ICS или позволяет получить доступ к OT/ICS.
Есть информация об активной эксплуатации или PoC.
Как следует из названия категории, такие уязвимости требуют оперативного устранения. Обычно для них доступны исправления и возможность применения компенсирующих мер, например, ограничение доступа к портам уязвимого сервиса.
По подсчетам авторов такие уязвимости составляют около 6% от общего количества.

Уязвимости категории NEXT
Возможность удаленной эксплуатации.
Нет признаков активной эксплуатации или POC.
Могут влиять на процессы OT/ICS.
От злоумышленников требуется проведение подготовительных мероприятий, например, кражи учетных данных, для последующей возможности эксплуатации уязвимости.
Таких уязвимостей 63% от общего количества и от них можно успешно защищаться такой базовой мерой как сетевая сегментация и изоляция.

Уязвимости категории NEVER
Сложны в эксплуатации
В случае эксплуатации реализуется риск, про который по сути все и так знают и принимают его.
Таких уязвимостей набирается на 31% и они не стоят трудозатрат на их исправление.

p.s. В отчете также есть аналитика по трендам уязвимостей для OT/ICS за 2024 год.
#vulnerability #prioritization #ics #ot #cvss