Нечеткая логика в ИБ: сокращаю очередь уязвимостей в 7,5 раза, сравниваю с CVSS, EPSS и методикой ФСТЭК

В сообществе информационной безопасности продолжается дискуссия о том, как правильно расставлять приоритеты при устранении уязвимостей. Классические подходы — оценки CVSS, вероятность эксплуатации EPSS и рекомендации регуляторов вроде методики ФСТЭК — не всегда дают однозначный ответ на вопрос, что чинить в первую очередь. Автор публикации на Хабре предлагает взглянуть на проблему через призму нечеткой логики и демонстрирует, как такой подход сокращает очередь уязвимостей в 7,5 раза. Работа начинается с философского отступления. Автор вспоминает парадоксы кучи и корабля Тесея, которые исследуют проблему изменения границ понятий и идентичности при постепенном удалении или замене элементов. В материале подробно разбирается только первый пример: есть куча песка, уберем одну песчинку — куча останется кучей, уберем еще — снова куча, но если продолжать, рано или поздно кучу нельзя будет назвать таковой. Границы определения оказываются размытыми, и любая попытка задать жесткий порог — например, «куча начинается от трех песчинок» — выглядит произвольной.

Подробности

Именно эта размытость, по мнению автора, роднит философский парадокс с реальной задачей приоритизации уязвимостей. Оценки вроде CVSS и EPSS оперируют числами, но границы между «критично» и «не критично» остаются условными. Методика ФСТЭК задает свои правила, однако и они не устраняют неопределенности: уязвимость с высоким баллом не обязательно эксплуатируется в реальных атаках, а низкий балл не гарантирует безопасности. Нечеткая логика позволяет работать с такими пограничными случаями, не сводя решение к бинарному «чинить или не чинить». Вместо жестких порогов используются функции принадлежности, которые описывают степень уверенности в том, что уязвимость действительно требует немедленного внимания. Автор утверждает, что применение такого подхода на практике сокращает очередь уязвимостей в 7,5 раза по сравнению с традиционными методами, при этом не увеличивая риски. В публикации приводится сравнение предложенного подхода с CVSS, EPSS и методикой ФСТЭК. Автор показывает, где классические методики дают избыточный приоритет, а где, наоборот, недооценивают угрозу. Отдельно подчеркивается, что речь идет о студенческой работе, то есть материал носит исследовательский характер и приглашает к обсуждению.

Что делать

Специалистам по ИБ, отвечающим за управление уязвимостями, имеет смысл ознакомиться с материалом и оценить применимость нечеткой логики в собственных процессах. Практические шаги могут выглядеть так: - сравнить текущую очередь патчей с результатами, которые дает подход на основе нечеткой логики; - проверить, не откладываются ли уязвимости с высоким реальным риском из-за формально низких оценок CVSS; - изучить методику ФСТЭК и определить, где ее правила пересекаются с предлагаемой логикой; - рассматривать EPSS и CVSS как входные данные, а не как окончательный вердикт. Важно помнить, что любая приоритизация — это компромисс между ограниченными ресурсами команды и потенциальным ущербом. Нечеткая логика в этом смысле не отменяет существующие методики, а дополняет их, помогая работать с пограничными случаями. Итог: подход на основе нечеткой логики показывает, что проблема приоритизации уязвимостей ближе к философским парадоксам, чем кажется, а гибкие границы могут дать более практичный результат, чем жесткие пороги. Материал стоит рассматривать как приглашение к дискуссии, а не как готовую замену CVSS, EPSS или методике ФСТЭК.

Источник: Хабр — Информационная безопасность