脆弱性対応を「攻撃可能性」の観点で優先順位付けした場合はどうなる？【海外セキュリティ】

[defiant]

要注目👀:

[Fluss_kawa]

物理的にアクセスできないといけない脆弱性だと、攻撃が成功した時点で、それは、もうその脆弱性より大きな問題を抱えてる場合が多い気がする。

[kazkun]

脆弱性の評価って、それが置かれてる環境によってかなりリスクがバラつくから面倒。でもなんかうまいこと指標化できたらいいなと考えてはや数年。誰かやって〜。

[ghrn]

ここで言う攻撃可能性を分析するソフトを作ったら、セキュリティ専業ベンダーが会社ごと買ってくれそう。

[kamei_rio]

"Log4jが使用されている環境に対してShiftLeftがデータの流れを調査分析した結果、実際に攻撃が可能、つまり真に「脆弱」だったのは4%に過ぎないことが判明" 真の脆弱性が試されるぞ問題

[deep_one]

「優先順位」としてなら「今使われてないから大丈夫」を後に回してもいいか。