Разкриването на уязвимости продължава да поставя рекорди. Националният институт за стандарти и технологии (NIST) съобщава, че регистрираните CVE са се увеличили с 263% от 2020 г. до 2025 г., а през първите три месеца на 2026 г. вече се отчита с почти една трета повече спрямо същия период на предходната година. Всеки екип по сигурност усеща тази крива в своя списък с чакащи задачи.
Кривата обаче не е това, което определя крайния резултат. Данните от Arctic Wolf® Incident Response сочат към нещо по-малко ласкателно, но много по-полезно.
Уязвимостите, които биват експлоатирани, са стари
За първите 10 най-експлоатирани CVE през последните 12 месеца вече е имало налични корекции за сигурност. Нито една от тях не е била нова zero-day уязвимост. Те са съществували върху активи, които екипите по сигурност така и не са имали възможност да защитят, тъй като тези активи изобилстват извън инструментите за управление на уязвимости.
Докладът за заплахите на Arctic Wolf за 2026 г. съдържа конкретни цифри за това как атакуващите действително проникват. Злоупотребата с външни услуги за отдалечен достъп като RDP, VPN и RMM инструменти съставлява 65% от случаите на реагиране на инциденти, които не са свързани с BEC. Експлоатирането на известни уязвимости с вече налични корекции за сигурност съставлява други 11%, а доверените връзки и неправилните конфигурации – 8%.
Когато прочетете това заедно, се очертава ясен модел. Провалът рядко се дължи на това, че скенерът е пропуснал недостатък. Причината е, че никой не е знаел за съществуването на даден актив или никой не е могъл да прецени кои констатации в опашка от десетки хиляди действително имат значение през тази седмица.
Скоростта промени математиката
Google съобщава, че средното време, необходимо на киберпрестъпниците да експлоатират дадена уязвимост, е спаднало до пет дни през 2023 г. Тяхната група за анализиране на заплахи стига още по-далеч за 2024 г., като наблюдава отрицателно средно време за експлоатиране от минус един ден, което означава, че някои уязвимости се експлоатират преди организациите, които ги използват, да разберат за тяхното съществуване. При такъв график тримесечният ритъм на сканиране означава съзнателно решение да закъснеете.
Какво всъщност разграничава едно решение от друго
Повечето инструменти за управление на уязвимости откриват уязвимости компетентно. Разликите, които се появяват на практика, са на друго място.
- Покритие на активите, които вашият скенер никога не вижда. Проучване на повърхността за атаки от Arctic Wolf установи, че 17% от активите са били невидими за традиционните инструменти за управление на уязвимости. Инструмент, който започва само от познатите активи, по-скоро ще потвърди слепото петно, отколкото да го премахне.
- Приоритизация, изградена върху нещо повече от степен на сериозност. Попитайте какво захранва класирането. Наблюдавано експлоатиране в реална среда, вписване в списъка CISA KEV, дали активът е достъпен от интернет, колко критична е системата за бизнеса и дали вече има внедрена компенсираща мярка за сигурност.
- Широта на интеграция вместо пълна подмяна на инфраструктурата. Платформа, която събира данни само от своя собствен стек, не може да улови пълния набор от сигнали за риск в реална среда. Повърхността за атаки не се съобразява с продуктовите категории.
- Отстраняване на уязвимости, по което да предприемете действия. Констатациите се превръщат в резултати чрез инсталиране на корекции за сигурност, работни процеси в ITSM и ясно възлагане на отговорностите, а не чрез по-дълги доклади.
- Верификация, че рискът наистина е намалял. Затварянето на тикет не доказва намаляване на риска. В една организация, която е мигрирала от системи в края на жизнения им цикъл, бизнес звената са потвърдили приключването на проекта. Последващо сканиране обаче открива, че 8% от активите все още са без поддръжка.
Три въпроса, които си струва да зададете първо
Преди да сравнявате таблици с функционалности, е полезно да се запитате кои са въпросите, на които програмата за управление на уязвимости трябва да отговори. С какво разполагам. Къде съм уязвим. Какво да коригирам първо. На решение, което не може да отговори на първия въпрос с увереност, не трябва да се разчита и за третия.
Тази последователност е и честният тест за краткия списък с избор. Първо покритие, след това контекст и накрая доказателство, че отстраняването на уязвимостите е проработило.
Заключението
Обемът ще продължи да нараства. Уязвимостите, които попадат в докладите за реагиране на инциденти, ще продължат да бъдат точно тези, за които през цялото време е имало възможност за отстраняване, но са се намирали върху активи, които никой не е инвентаризирал. Изборът, базиран на покритие, контекст и верификация, е много по-важен от избора въз основа на скорост на сканиране или брой намерени констатации.
Ръководството на Arctic Wolf за избор на решение за управление на уязвимости разглежда подробно критериите за оценка, включително въпросите, които си струва да отправите към всеки доставчик преди вземането на решение.