Кейс: процесс работы с уязвимыми зависимостями
Вопрос
В компании 80 сервисов, никто не следит за зависимостями. Как вы выстроите процесс?
Попробуйте сами
Ответьте вслух за 2 минуты, как на собесе. Потом сверьтесь с тезисами: что прозвучало, а что нет.
Показать ответ и разбор
Коротко
Что должно прозвучать в ответе
Инвентаризация: SBOM для всех сервисов, lock-файлы
SCA в CI и автоматические PR обновлений
Приоритизация: достижимость, эксплуатация, экспозиция, сроки по критичности
Владельцы сервисов и SLA на исправление, исключения с обоснованием
Защита от вредоносных пакетов: прокси-реестр, политики, scope
Метрики: доля сервисов в SLA, время закрытия критических
Что могут спросить следом
- Что делать, если обновление ломает совместимость?
- Как действовать в день выхода следующего Log4Shell?
Разбор
Образцовый ответ: «Начну с инвентаризации: lock-файлы везде, SBOM генерируется в CI и складывается в общее хранилище. Подключаю SCA к пайплайнам и Renovate или Dependabot, чтобы обновления приходили маленькими PR с тестами. Задаю сроки по критичности, но приоритет считаю с учётом контекста: внешний сервис, достижимость, есть ли эксплуатация по KEV и EPSS. У каждого сервиса владелец, исключения оформляются с причиной и сроком. От вредоносных пакетов защищаю через прокси-реестр и scope внутренних пакетов. Слежу за метриками: время закрытия критических и долю сервисов в сроках. В день новой громкой CVE по SBOM за час получаю список затронутых сервисов».
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.