Выбор ответа Senior Зависимости и supply chain обновлено
Приоритизация находок SCA
Вопрос
SCA показал 400 уязвимостей в зависимостях. Какой подход к приоритизации разумнее?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Учитывать достижимость кода, эксплуатацию (KEV, EPSS), экспозицию, а не только CVSS. CVSS описывает тяжесть в вакууме и не знает вашего контекста.
Варианты ответа
- Чинить строго по убыванию CVSS, начиная с критических, и не отвлекаться на остальное
- Игнорировать всё, что не критическое по CVSS, пока критических не станет ноль
- Учитывать достижимость кода, эксплуатацию (KEV, EPSS), экспозицию, а не только CVSSправильный ответ
- Обновить все зависимости до последних мажорных версий за один релиз и закрыть всё
Разбор
CVSS описывает тяжесть в вакууме и не знает вашего контекста. Уязвимость в функции, которую вы не вызываете, во внутреннем скрипте менее срочна, чем средняя по CVSS, но активно эксплуатируемая во внешнем сервисе. Игнорировать некритическое опасно, а массовое мажорное обновление ломает приложение.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.