Managementul vulnerabilităților cu AI în România

Inventar, scanare, prioritizare

Fără inventar nu există management: începem cu lista serverelor, containerelor, imaginilor, bibliotecilor și serviciilor expuse. Peste ea rulăm scanare programată: Trivy și Grype pe imagini și dependențe, OpenVAS pe rețea și sistem, Nuclei pe suprafața web. Rezultatul brut e mereu prea mare pentru orice echipă, deci intră în etapa de prioritizare. Ce ajunge în lista de lucru are trei atribute clare: cât de expus e activul, cât de probabilă e exploatarea și cât costă remedierea.

• Inventar de active, cu proprietar și mediu
• Scanare de imagini, dependențe, sistem și rețea
• Prioritizare CVSS plus EPSS plus CISA KEV
• Analiza căii de atac și a expunerii reale
• Termene pe severitate, urmărite până la închidere

Cum schimbă AI-ul cursa dintre scanare și exploatare

De partea atacatorului, agenții LLM citesc buletinul de securitate, scriu exploit-ul și îl încearcă la scară în câteva ore de la publicare. Ce era o fereastră de luni s-a redus la ore, iar țintele se aleg automat, după amprenta versiunii expuse. De partea noastră, AI-ul rezolvă problema inversă: din mii de constatări scoate cele câteva care sunt accesibile din internet, au cod de exploatare public și duc la un activ important. Folosim scoruri de probabilitate, analiză de cale de atac și corelare cu logurile, apoi validăm manual înainte să deschidem o sarcină.

Remediere, patch virtual și verificare

Prioritatea fără execuție nu schimbă nimic. Pentru fiecare constatare deschidem o sarcină cu termen: actualizare de pachet, versiune nouă de imagine, schimbare de configurație sau restrângere de acces. Când actualizarea cere testare ori depinde de furnizor, punem între timp patch virtual în WAF, închidem portul sau limităm ruta. După remediere rescanăm și atașăm dovada, ca lista să se închidă cu verificare, nu cu o bifă. Ce nu se poate repara rămâne acceptat explicit, cu motiv și dată de reevaluare.

Ritmul lunar și ce consumă orele

Ciclul are un ritm fix: scanare, listă prioritizată, remedieri, raport. Serviciul se cere din panoul de client, la „Servicii DevOps”. Orele din plan (una la cPanel de la Advanced, una până la opt la VPS, zece la dedicate și GPU) se duc de obicei pe revizuirea listei, remedierile mici și ajustarea scanărilor. Un val de actualizări majore sau o migrare de versiune iese din cotă, iar surplusul se facturează separat, la oră, după ce accepți estimarea. Orele necheltuite nu trec în luna următoare.

Cum lucrăm

1. Cererea din panou

   Ceri serviciul din „Servicii DevOps”, spui ce medii intră în scop și propui termenul pentru prima scanare completă a infrastructurii.

2. Inventar și calibrare

   Construim inventarul de active, stabilim severitățile, termenele de remediere și cine primește raportul. Reducem zgomotul cu excepții documentate.

3. Scanare și remediere

   Rulăm scanările programate, prioritizăm cu EPSS și KEV, aplicăm remedierile din orele incluse și punem măsuri temporare unde e nevoie.

4. Raport lunar și predare

   Primești raportul lunar cu evoluția, riscurile acceptate și dovezile de remediere, plus panoul din care vezi starea între rapoarte.

Cazuri de utilizare

Tehnologii

• Trivy
• Grype
• OpenVAS
• Nuclei
• Syft
• Dependency-Track
• Wazuh
• Ansible

Întrebări frecvente

• Ce este managementul vulnerabilităților?

  Un ciclu continuu: inventariezi activele, scanezi, prioritizezi, remediezi, verifici, raportezi. Diferă de un pentest, care e o evaluare punctuală și adâncă. Gestiunea vulnerabilităților răspunde în fiecare săptămână la întrebarea „ce am acum expus și ce repar primul”, nu o dată pe an.

• CVSS sau EPSS: cum prioritizez ce repar?

  CVSS spune cât de grav ar fi în cel mai rău caz, EPSS estimează probabilitatea ca vulnerabilitatea să fie exploatată în zilele următoare. Folosim ambele, plus lista CISA KEV pentru ce se exploatează deja și expunerea reală a activului. Un CVSS mare într-o bibliotecă neapelată poate aștepta.

• Cât de repede transformă atacatorii o vulnerabilitate în atac?

  Astăzi se măsoară în ore de la publicarea buletinului, nu în luni: scanarea internetului și scrierea exploit-ului sunt automatizate, iar agenții AI le înlănțuie. De aceea ținem termene scurte pentru ce apare în CISA KEV și punem măsuri temporare până la actualizare.

• Scanare de vulnerabilități sau pentest?

  Amândouă, cu roluri diferite. Scanarea rulează des și acoperă tot ce e cunoscut. Pentestul caută lanțuri de erori și logică ruptă, pe care nicio semnătură nu le vede. Scanarea îți ține suprafața curată, pentestul îți verifică apărarea în adâncime.

• Cât de des trebuie scanată infrastructura?

  Imaginile și dependențele la fiecare build, sistemul zilnic, rețeaua săptămânal, iar o scanare completă autentificată lunar. Frecvența contează însă mai puțin decât închiderea buclei: o scanare care nu produce sarcini cu termen nu reduce riscul.

• Ce este CISA KEV?

  Catalogul public al vulnerabilităților exploatate în atacuri reale, ținut de agenția americană de securitate cibernetică. Dacă un CVE apare acolo, discuția despre severitate se încheie: se repară cu prioritate, indiferent de scorul teoretic.