आपके पास बारह हजार खुली vulnerability हैं और patching की छोटी सी टीम। आप प्राथमिकता कैसे तय करते हैं?

कच्चे CVSS से नहीं, exploitation की हकीकत से शुरू करें। CISA की Known Exploited Vulnerabilities सूची में जो भी है उसे पहले patch करें, फिर EPSS से क्रम लगाएं ताकि वह पकड़ में आए जिसका जल्दी exploit होना संभव है। exposure के हिसाब से वजन दें (इंटरनेट के सामने वाला अंदरूनी से ऊपर) और asset की अहमियत भी, और compensating control का हिसाब रखें। बचे हुए काम को CVE के बजाय remediation के कदम के हिसाब से समूह में बांटें, क्योंकि एक agent upgrade अक्सर सैकड़ों finding बंद कर देता है।

बारह हजार finding असल में कुछ सौ fix हैं, इसलिए पहला कदम dedup है: remediation के कदम के हिसाब से समूह बनाना, क्योंकि एक browser का version बढ़ाना या एक agent upgrade आमतौर पर हजार पंक्तियां समेट देता है। फिर मैं क्रम लगाता हूं। Known Exploited Vulnerabilities सूची में जो भी है वह अपने CVSS score की परवाह किए बिना कतार में आगे कूद जाता है, क्योंकि वह असली दुनिया का पुष्ट exploitation है। इसके बाद मैं संभावना के लिए EPSS इस्तेमाल करता हूं और उस पर exposure बिछाता हूं: पहले इंटरनेट के सामने वाला, फिर वह जो किसी यूजर workstation से पहुंचा जा सकता है, फिर अलग थलग अंदरूनी सिस्टम। बिना किसी listening service वाले अलग थलग device पर critical score इस महीने मेरी समस्या नहीं है। जो बचता है उसके लिए मैं system मालिकों के पास spreadsheet उंडेलने के बजाय एक ठोस छोटी सूची लेकर जाता हूं, क्योंकि छह चीजों की सूची patch हो जाती है और छह सौ की नहीं होती। जो सचमुच patch नहीं हो सकता उसके लिए एक लिखित अपवाद बनता है, साथ में compensating control और खत्म होने की तारीख, और मैं अपवाद की उम्र पर रिपोर्ट करता हूं ताकि वह चुपचाप स्थायी न बन जाए।