В апреле 2025 года Национальный институт стандартов и технологий США (NIST), после появления новостей о возможном сокращении 500 своих сотрудников ✂️, объявил о переводе всех записей об уязвимостях, зарегистрированных до 1 января 2018 года, в статус "отложенных" (deferred) 🧰 Это означает, что такие записи больше не будут приоритетно обновляться в Национальной базе уязвимостей (NVD), если только не поступит специальный запрос с новой информацией.
NIST столкнулся с нехваткой ресурсов и возможными сокращениями персонала, что вынудило 🤷♀️ агентство сосредоточиться на обработке только новых уязвимостей. По данным исследователей более 94 000 CVE, что составляет около 34% от общего числа, были зарегистрированы до 2018 года и теперь попадают под статус "отложенных" 😵
Эксперты в отрасли выразили обеспокоенность, поскольку многие крупные инциденты ИБ, такие как WannaCry и NotPetya, использовали старые уязвимости 🤕 С развитием ИИ существует риск, что злоумышленники смогут находить новые способы эксплуатации этих старых уязвимостей. Тем не менее, NIST продолжит обновлять информацию о тех уязвимостях, которые входят в список активно эксплуатируемых (KEV), предоставляя организациям возможность своевременно реагировать на угрозы 🗡
Ну и несколько рекомендации для отечественных организаций: ✏️
6️⃣ Не полагайтесь исключительно на обновления NVD для оценки защищенности своих систем. Такое бывает...
2️⃣ Использовать дополнительные источники, такие как база БДУ ФСТЭК, MITRE CVE и т.п. для получения информации об уязвимостях. А то и различные сервисы, которые сами приоритизируют уязвимости по различным критериям (главное, чтобы не только по NVD).
3️⃣ Возьмите за правило проверять ПО с использованием списка компонентов (SBOM) для выявления потенциально уязвимых библиотек и модулей. Тем более, что сейчас и ФСТЭК это начинает требовать.
4️⃣ Уточните у своих вендоров сканеров безопасности, какие они способы получения информации об уязвимостях используют и не зависят ли они от NVD?
5️⃣ Рассмотрите возможность применения ИИ для ускорения оценки и приоритизации уязвимостей. Если у вас есть соответствующие специалисты и понимание, как ИИ может использоваться для этой задачи.
#оценказащищенности
