Безопасность для начинающих 03. Уязвимости и обновления: CVE, CVSS, KEV, патчи

Утро вторника. В рабочем чате появляется ссылка на новость: найдена опасная уязвимость в популярном продукте, её уже используют в атаках. Руководитель спрашивает: «Нас это касается? Что ставим первым? Можно перезагрузить сервер прямо сейчас?» Без процесса обычно случается одно из двух. Либо все бросаются ставить всё подряд и ломают то, что работало. Либо откладывают «до выходных» и оставляют дверь открытой.

В этой статье вы:

• разберётесь в словах из таких новостей: CVE, CWE, NVD, CVSS, KEV, EPSS;
• научитесь отличать «критично по шкале» от «критично для нас»;
• построите процесс патч-менеджмента (управления обновлениями): инвентарь, группы, сроки, пилот, проверка;
• решите, что делать с тем, что обновить нельзя: принтерами, камерами, NAS и программами без поддержки.

Что нужно знать заранее

• Безопасность для начинающих 01: активы, угрозы, глубокая защита.
• Windows Server с нуля 10: Patch Tuesday, WSUS, пилотная группа WSUS-Pilot.
• Linux для админа Windows 05: apt, unattended-upgrades, перезагрузка после обновлений.
• Уязвимость (vulnerability; общее определение — в Безопасность 01) здесь — ошибка в программе или прошивке, которой можно воспользоваться вопреки замыслу владельца. Патч (patch) — изменение установленного ПО, исправляющее проблемы безопасности или работы. Эксплуатация (exploitation) — использование уязвимости в атаке; «эксплуатируется в реальных атаках» (in the wild) значит, что такие случаи подтверждены. Zero-day — атака на уязвимость, о которой производитель ещё не знает.
• Среда: домен lab.example, DC1, DC2, FS1, WSUS1, клиенты PC1, PC2, серверы Linux lnx1, lnx2. Номера CVE и KB (статей базы знаний Microsoft) в примерах — заглушки.

Обновление как профилактическое обслуживание

Пока программа работает, в ней могут сидеть ошибки, о которых никто не знает. Когда уязвимость становится публичной, риск обычно растёт: у злоумышленников появляется повод написать код, который её использует. NIST (Национальный институт стандартов и технологий США) предлагает смотреть на патчи как на профилактическое обслуживание: так же, как плановый уход за служебными автомобилями помогает избежать дорогих поломок. Простой из-за обновления можно спланировать, простой из-за инцидента нет. К тому же отложенные плановые обновления копятся, и срочное придётся ставить поверх всех пропущенных.

Обновление не единственный ответ на уязвимость. Четыре способа реакции на риск разобраны в Безопасность 01; для патчей они такие:

• принять — оставить как есть, если последствия малы или есть другие меры;
• смягчить (в 01 — «снизить мерой») — обновить, отключить уязвимую функцию, добавить защиту (например, изолировать устройство);
• передать — застраховаться или перейти на облачный сервис, где обновляет поставщик;
• избежать — удалить программу или вывести устройство из эксплуатации.

По умолчанию организация принимает риск. Поэтому «не обновляем» тоже должно быть решением: записанным, с владельцем и датой пересмотра.

Как называют уязвимости: CVE, CWE, NVD

Номер CVE присваивает CNA (CVE Numbering Authority) — организация, которой это разрешено: производитель ПО, проект с открытым кодом, исследовательская группа. Сам CVE не база уязвимостей, а общий «адрес»: он нужен, чтобы два человека или две программы понимали, что речь об одной и той же проблеме.

Подробности добавляет NVD: CVE попадает туда обычно в течение часа, а оценки и данные о продуктах появляются позже, так что у свежего CVE оценки может ещё не быть. Если данных не хватает или источники расходятся, NVD по своей политике показывает худший сценарий. CWE описывает класс ошибки, а не конкретный дефект: так вы видите, что у разных CVE одна природа.

CVSS: что означает цифра и чего она не означает

CVSS — открытый стандарт организации FIRST. Он переводит характеристики уязвимости в число от 0 до 10, а число — в словесную оценку: 0,1–3,9 Low, 4,0–6,9 Medium, 7,0–8,9 High, 9,0–10,0 Critical. Рядом публикуют вектор, строку вида CVSS:4.0/…: по ней видно, как число получено. В ходу две версии: в 4.0 четыре группы метрик (Base, Threat, Environmental, Supplemental), в 3.1 три (Base, Temporal, Environmental; Temporal соответствует Threat). Шкала одна.

Главное — какие метрики учтены. Базовая оценка (Base, в 4.0 обозначается CVSS-B) описывает саму уязвимость: насколько легко её использовать и чем она грозит в разумном худшем случае. Она не меняется со временем и не зависит от вашей среды, поэтому её выставляют производитель или NVD, и она одинакова для всех. Группы Threat (в 3.1 Temporal: есть ли эксплойт и реальные атаки) и Environmental (ваши меры защиты, важность системы) стандарт оставляет потребителю. В 4.0, чтобы не путать, оценку подписывают: CVSS-B, CVSS-BT, CVSS-BE, CVSS-BTE.

Отсюда правило: «9,8» в рассылке значит «если уязвимость используют, последствия тяжёлые», но не «вы под угрозой». Решение по одной цифре не принимают. Рядом встречается и EPSS: модель оценивает вероятность того, что опубликованный CVE начнут использовать в атаках в ближайшие 30 дней. Это не полный показатель риска: он не знает вашего контекста.

Каталог KEV: что уже используют в атаках

Каталог ведёт CISA, агентство кибербезопасности США. Уязвимость попадает в него при трёх условиях: у неё есть CVE, есть надёжные свидетельства реальной эксплуатации и есть понятное исправление, например обновление производителя. Сканирование, исследовательская работа и публичный пример кода сами по себе эксплуатацией не считаются. Попадание в KEV не значит, что ваш сервер уязвим: сначала проверьте, есть ли продукт и версия в инвентаре. Зато это один из самых сильных сигналов «заниматься первым». Каталог рекомендуют использовать как вход в вашу приоритизацию, а не как единственный список: отсутствие в нём не доказывает безопасность.

Каталог бесплатный, доступен как CSV и JSON, есть рассылка об обновлениях. Полезные поля записи: cveID, vendorProject, product, dateAdded, requiredAction, knownRansomwareCampaignUse (известно ли об использовании в атаках шифровальщиков), notes. Поле dueDate — срок для федеральных агентств США; для вас это справочная величина, а не требование. Проверка номера из рассылки по каталогу:

$url = 'https://www.cisa.gov/sites/default/files/feeds/' +
    'known_exploited_vulnerabilities.json'
$kev = Invoke-RestMethod -Uri $url
$kev.vulnerabilities |
    Where-Object { $_.cveID -eq 'CVE-YYYY-NNNNN' } |
    Select-Object cveID, vendorProject, product, dateAdded,
        knownRansomwareCampaignUse

Если команда ничего не вернула, этого номера в каталоге нет. Чтобы увидеть свежие записи по своим производителям (подставьте название из рассылки):

$kev.vulnerabilities |
    Where-Object { $_.vendorProject -like '*Microsoft*' } |
    Sort-Object dateAdded -Descending |
    Select-Object -First 5 cveID, product, dateAdded

Пример вывода (значения вымышленные):

cveID           product                dateAdded
-----           -------                ---------
CVE-2026-00002  Windows (пример)       2026-11-09
CVE-2026-00001  Office (пример)        2026-11-02

Где узнавать об уязвимостях своих систем

Достаточно бесплатных источников. Рассылки Ubuntu, каталога KEV и страниц производителей оформляйте на общий ящик ИТ-отдела, а не на личную почту, чтобы сведения не пропадали в отпуск (практика автора). Условия рассылки Microsoft — во врезке «Состояние».

Две оговорки. Обновления Microsoft выходят по расписанию (Patch Tuesday, второй вторник месяца), но не все продукты ему следуют, а срочные могут выйти вне графика; расписание и установку разбирает Windows Server 10. У Ubuntu своя шкала приоритетов (Critical, High, Medium, Low, Negligible), отдельная от CVSS: она учитывает, например, активную эксплуатацию и настройки по умолчанию. Статус в карточке CVE смотрите для своего релиза и пакета: он бывает разным (например, «Not affected» или «Vulnerable, fix deferred»).

Процесс: от инвентаря до проверки

Жизненный цикл по NIST SP 800-40 Rev. 4 состоит из трёх частей: узнать, что новая уязвимость касается ваших активов; спланировать реакцию; выполнить её (подготовить, внедрить, проверить, наблюдать). Дальше шесть шагов, которые это реализуют.

Шаг 1. Инвентарь

Без списка активов нечего патчить. Для каждого запишите: что это, версию ПО или прошивки, кто отвечает, где стоит, насколько важно, какие есть ограничения (например, перезагрузка только в воскресенье). Не забудьте принтеры, камеры, NAS, коммутаторы, маршрутизатор. Для Windows в домене стартовую выгрузку даёт каталог (команда выполняется на DC1 или на станции администратора с модулем ActiveDirectory):

Get-ADComputer -Filter * -Properties OperatingSystem,
    OperatingSystemVersion, LastLogonDate |
    Sort-Object OperatingSystem |
    Select-Object Name, OperatingSystem, OperatingSystemVersion,
        LastLogonDate |
    Format-Table -AutoSize

Давно не выходившие в сеть компьютеры (LastLogonDate) проверьте: живы ли они. Версии пакетов на Linux показывает сам apt (Linux 05).

Шаг 2. Группы обслуживания и четыре сценария

Решать про каждый актив отдельно невозможно. NIST предлагает заранее собрать активы в группы обслуживания (maintenance groups) и для каждой определить план. Особые случаи — не «исключения», а отдельные группы: у них тоже есть потребности в обслуживании. Пример для нашей сети:

Для каждой группы нужно продумать четыре сценария:

1. Плановое обновление — стандартный порядок для регулярных патчей.
2. Срочное обновление — для тяжёлой или уже эксплуатируемой уязвимости: тот же путь, но ускоренный.
3. Срочное смягчение — когда исправления ещё нет или оно сломано: отключить функцию, закрыть доступ, изолировать. Когда выйдет патч, смягчение снимают.
4. Не обновляемые активы — постоянная изоляция и другие меры вместо патча.

Шаг 3. Сроки

Национальный центр кибербезопасности Великобритании (NCSC) называет «лучшие практики» для обычных обновлений независимо от тяжести уязвимости:

Это ориентиры, а не закон: для критичных систем срок согласуют с доступностью. Когда эксплуатация идёт массово, эти сроки слишком длинны. По NIST, при срочном обновлении проверка на пилотных машинах занимает от нескольких минут до нескольких часов, а само обновление — часы или дни, в зависимости от остроты. Если активно эксплуатируют уязвимость сервиса, доступного из интернета, сразу смягчите: закройте доступ из интернета или отключите уязвимую функцию. Параллельно проверьте признаки взлома и сохраните журналы, затем ставьте обновление: NCSC советует оценить это до установки, а сам патч уже закрепившегося атакующего не выгонит. Как это увидеть — Безопасность 07.

Шаг 4. «Критично по CVSS» и «критично для нас»

Для малой сети хватает пяти вопросов. У нас ли этот продукт и версия? Доступен ли он из интернета? Есть ли CVE в KEV или сообщения об эксплуатации? Что даст успех атаки: полный контроль или только сбой? Насколько важна система? По ответам выбирайте сценарий (таблица — практика автора, опора на сроки NCSC и сценарии NIST):

Похожую модель использует CISA для федеральных ведомств (факторы — во врезке «Состояние»).

Шаг 5. Выполнение: пилот, окно, откат

• Рабочие станции. Сначала WSUS-Pilot (PC1), через несколько дней остальные; порядок — в Windows Server 10.
• Серверы Windows. Окно обслуживания и по одному: не обновляйте оба контроллера домена и файловый сервер одновременно. Перед окном подготовьте откат: для рядового сервера контрольная точка ВМ, для контроллера копия состояния системы (Windows Server 11).
• Linux. Обновления безопасности ставятся автоматически (unattended-upgrades включён по умолчанию), а перезагрузку и перезапуск служб планируйте сами: Linux 05.
• Сетевые устройства и принтеры. Скачивайте прошивки только с сайта производителя и сверяйте контрольную сумму, если она опубликована. Перед обновлением сохраните конфигурацию (практика автора).
• Контейнеры. Их обычно не обновляют изнутри, а пересобирают образ на обновлённой основе и заменяют контейнер (Linux 10).
• Прошивки ПК. Перед обновлением BIOS или UEFI на компьютере с BitLocker защиту приостанавливают, иначе система может запросить ключ восстановления (BitLocker — шифрование диска, Безопасность 04).

Откат запишите до начала: что считаем сбоем, кто решает и как возвращаемся. В NIST среди вариантов названы удаление патча, возврат к прежней версии и восстановление из резервной копии.

Шаг 6. Проверка и наблюдение

Установку подтверждают проверкой. Для Windows (в Windows PowerShell 5.1 и PowerShell 7 команда обращается к удалённому компьютеру через WMI, Windows Management Instrumentation; PowerShell Remoting не нужен):

foreach ($h in 'PC1', 'PC2', 'FS1', 'WSUS1') {
    Get-HotFix -ComputerName $h |
        Sort-Object InstalledOn -Descending |
        Select-Object -First 1 Source, HotFixID, Description,
            InstalledOn
}
Get-HotFix -Id KB0000000 -ComputerName FS1

Вторая команда проверяет конкретный номер KB (подставьте номер из бюллетеня). Нужны права администратора на опрашиваемом ПК и открытый для WMI доступ через брандмауэр (в домене — правилами групповой политики); при ошибке «RPC server is unavailable» брандмауэр не выключайте, а откройте нужные правила (Безопасность 04). Пример вывода:

Source HotFixID  Description     InstalledOn
------ --------  -----------     -----------
FS1    KB0000000 Security Update 10.11.2026 0:00:00

Но Get-HotFix показывает только обновления, поставляемые через Component Based Servicing: установленные через MSI (пакеты Windows Installer) или с сайта Windows Update он не возвращает. Поэтому отсутствие в списке не доказывает, что патча нет, а наличие не заменяет отчёты WSUS. Для Linux:

sudo apt update
apt list --upgradable
test -f /var/run/reboot-required && echo 'нужна перезагрузка'

Пустой список обновляемых пакетов и отсутствие файла reboot-required — нормальное состояние. Дальше следите, что патч не удалили, а сервер не восстановили из старой копии. Считайте не «процент обновлённых», а картину по группам: какие системы важны и сколько им осталось. Раз в месяц сверяйте инвентарь с фактом: NCSC советует сканировать всё хозяйство не реже раза в месяц.

Что делать, когда обновить нельзя

Причины разные: исправления ещё нет, производитель прекратил поддержку, нужна проверка совместимости, устройство нельзя остановить. Варианты те же, что и выше. Первый — смягчить: убрать доступ из интернета, ограничить адреса, отключить уязвимую функцию, изолировать устройство в отдельную сеть (Безопасность 05). Второй — избежать: вывести устройство и заменить его. Правила межсетевого экрана или веб-фильтра, закрывающие уязвимое место без обновления (иногда их называют «виртуальными патчами»), — временное смягчение, а не замена обновлению (практика автора).

Решение «не обновлять» оформляют как исключение: что за актив, почему нельзя, чем компенсируем, кто решил и когда пересмотр; отвечать за решение должен владелец бизнеса, а не только ИТ (практика автора). Для таких активов полезен дополнительный мониторинг. Исключения пересматривают регулярно: возможно, обновление уже стало возможным.

С программами без поддержки (end-of-life) жёстче: исправления для новых уязвимостей уже не выйдут. Платное продление поддержки, если производитель его продаёт, выясните до покупки: что именно оно покрывает и как ставятся исправления (практика автора). Цель — переход на поддерживаемую версию. В Ubuntu LTS обновления безопасности основных пакетов бесплатны пять лет, дальше нужна подписка Ubuntu Pro (ESM, Expanded Security Maintenance). Какие версии Windows ещё поддерживаются, смотрите во врезке «Состояние» статьи Безопасность 04.

Состояние на ноябрь 2026 года (проверьте актуальность). Директива CISA BOD 22-01 (Binding Operational Directive), на которой держался каталог KEV, отозвана (Revoked) 10 июня 2026 года; её заменила BOD 26-04. Сам каталог продолжает вестись, критерии включения в него сохранены, а сроки для федеральных ведомств США теперь зависят от четырёх факторов: доступности актива из интернета, наличия в KEV, возможности автоматизировать атаку и степени контроля у атакующего. В записях каталога появилось поле forensicTriage. Директивы обязательны только для федеральных ведомств. На сайте FIRST актуальной названа версия CVSS 4.0 (спецификация, версия документа 1.2); в NVD встречаются оценки и 4.0, и 3.1. Руководство NCSC по управлению уязвимостями (версия 2.1) пересмотрено 1 мая 2026 года. По FAQ Security Update Guide рассылка Microsoft Technical Security Notifications принимает только учётную запись Microsoft, а не рабочий адрес; без неё открывайте Security Update Guide сами во второй вторник месяца, а срочное ловите через KEV.

Типичные ошибки и недоразумения

• Решение по одной цифре CVSS. Базовая оценка не знает, используют ли уязвимость и виден ли ваш сервер из интернета.
• Откладывание плановых обновлений «пока страшно». Они накапливаются, и срочное обновление становится тяжелее.
• Обновление всего сразу без пилота. Нет шанса заметить сбой на одной машине.
• Обновили, но не перезагрузили. Часть исправлений действует только после перезагрузки или перезапуска служб.
• Забытые устройства. Принтеры, камеры, NAS и маршрутизатор не обновляются сами и не попадают в WSUS.
• Исключение «навсегда». Без владельца и даты пересмотра оно превращается в открытую дверь.
• Патч вместо расследования. Если уязвимость в интернет-сервисе уже эксплуатировали, обновление не удаляет следы взлома.
• Установка «обновлений» с неофициальных сайтов. Подлинность и целостность патча подтверждают до установки, лучше автоматически; скачивайте с сайта производителя.

Проверьте себя

1. Что означает оценка 9,8 в CVSS-B и чего она не означает? Базовая оценка описывает свойства самой уязвимости: насколько просто её использовать и чем она грозит в худшем случае. Она не говорит, используют ли уязвимость сейчас, есть ли продукт у вас, виден ли он из интернета и насколько система важна.
2. При каких условиях уязвимость попадает в KEV и как это использовать? Нужны CVE, надёжные свидетельства реальной эксплуатации и понятное исправление. Попадание в каталог — сильный сигнал «заниматься первым» для тех, у кого продукт есть; но это один из входов в приоритизацию, а не единственный список.
3. Какие четыре сценария выделяет NIST? Плановое обновление, срочное обновление, срочное смягчение и не обновляемые активы.
4. Какие ориентиры сроков называет NCSC и что делать при активной эксплуатации интернет-сервиса? 5 дней для сервисов из интернета, 7 для ОС и приложений, 14 для внутренних и изолированных систем. При массовой эксплуатации сроки сокращают; для интернет-сервиса сразу смягчают, проверяют признаки взлома и затем обновляют.
5. Почему Get-HotFix не доказывает, что всё обновлено? Он показывает только обновления, поставляемые через Component Based Servicing, и не возвращает установленные через MSI или с сайта Windows Update; сверяйте с отчётами WSUS.

Что дальше

• Безопасность для начинающих 04 — защита рабочих станций Windows: Defender, BitLocker, поддержка версий Windows.
• Безопасность для начинающих 05 — изоляция и «что нельзя публиковать в интернет» для устройств, которые не обновить.
• Безопасность для начинающих 07 — как заметить признаки взлома до и после патча.

Источники

• NIST SP 800-40 Rev. 4: Guide to Enterprise Patch Management Planning — ответы на риск, цикл, группы обслуживания, сценарии, откат
• CISA: Reducing the Significant Risk of Known Exploited Vulnerabilities — критерии KEV, CNA, приоритизация
• CISA BOD 26-04: Prioritizing Security Updates Based on Risk — отзыв BOD 22-01, факторы
• CVSS v4.0 Specification Document — метрики, номенклатура, шкала
• FIRST: EPSS, часто задаваемые вопросы — определение EPSS, оговорка про риск
• CVE Program: FAQs — CVE не база уязвимостей
• NVD: General FAQs — связь с CVE, оценки v4.0 и v3.1
• NCSC: Put in place a policy to update by default — сроки 5, 7 и 14 дней, эксплуатация
• NCSC: Carry out assessments by triaging and prioritising — триаж, исключения, сканирование
• Microsoft Security Update Guide FAQs — данные по CVE, Patch Tuesday, KB
• Ubuntu Security Notices — уведомления, рассылка, Atom, RSS
• Ubuntu: About CVEs — статусы пакетов, приоритеты, сроки LTS
• Ubuntu Server: Automatic updates — unattended-upgrades, перезагрузка
• Get-HotFix — проверка обновлений
• Win32_QuickFixEngineering — только обновления CBS