Útočníci automatizují skenování známých děr. Pokud je váš VPN koncentrátor nebo poštovní server týden po zveřejnění kritické CVE stále bez patche, pravděpodobnost útoku roste exponenciálně. Naopak interní aplikace bez přístupu z internetu můžete plánovat v okně údržby.
Smysl má inventář: co běží, kde je to vystavené (veřejná IP, port forward, cloudová konzole), kdo za to odpovídá. Bez seznamu systémů se „aktualizujeme pravidelně“ mění v náhodné klikání.
CVSS, exploity a co znamená „kritické“
Skóre CVSS a štítky „critical“ z CVE databáze pomáhají triážovat, ale pro vaši firmu je důležitější je služba z internetu dostupná a je známý veřejný exploit. RCE na interní tiskový server za firewallem může počkat; stejná RCE na reverse proxy s portem 443 ven ne.
Některé firmy sledují RSS výrobce (FortiGate, Cisco, Microsoft) a mají interní SLA: kritické internetové systémy do 24–72 hodin po dostupnosti patche, pokud není mitigace.
Proces místo paniky
Definujte čtyři úrovně: okamžitý hotfix (internetový RCE), do 7 dnů, do 30 dnů, plánovaná verze aplikace. Testování před nasazením u kritického ERP ano — ale u veřejného reverse proxy často neexistuje čas na měsíční QA; řeší se mitigace (WAF pravidlo) + patch co nejdříve.
Automatické aktualizace OS na koncových stanicích a cloudových službách snižují technický dluh; u vlastního kódu pomáhají závislosti sledovat nástroji (Dependabot, Snyk) a pravidelný build. U odpojených („air-gapped“) sítí platí jiné tempo — ale pak musíte vědět, jak bezpečně přenášet opravy dovnitř.