Svake godine, stručnjaci za bezbednost otkriju na desetine hiljada novih softverskih mana. Čuvena CVE baza (Common Vulnerabilities and Exposures) trenutno broji preko 350.000 evidentiranih ranjivosti. Samo u 2025. godini, pojavilo se gotovo 50.000 novih zapisa, od kojih je oko 4.000 označeno kao kritično. Ove pretnje nisu birale metu. Pogađale su sve, od gigantskih operativnih sistema poput Windows-a, Linux-a i macOS-a, pa do mobilnog Androida i platforme Adobe Experience Manager.

Brojke nezaustavljivo rastu još od 2016. godine, uz ozbiljan skok koji je krenuo 2021. Organizacija FIRST je iznela prilično sumornu prognozu u februaru 2026. godine: očekivalo se da broj novih ranjivosti dogura do skoro 60.000. I zaista, do juna 2026, samo projekat CVE Database je zabeležio više od 41.000 novih propusta. Malo je reći da će se svaki IT tim pošteno namučiti da isprati ovakvu lavinu upozorenja, posebno kada na nju dodate ogromno nasleđe starih problema.

Dobra vest? Većina ovih propusta uopšte nije vaš gorući prioritet, niti postoji velika šansa da će vas direktno ugroziti. Ipak, ignorisanje nije opcija. Prava muka zapravo leži u nečemu drugom: kako pametno odrediti prioritete. Upravljanje ranjivostima uzima taj haotični, zamršeni čvor prijavljenih pretnji i raspliće ga u jasnu, prioritetnu listu zadataka. Cilj je doći do sređenih sistema koji zadovoljavaju stroge regulatore, dok kompaniju, podatke i klijente drže van opasnosti.

Upravljanje ranjivostima: pravo značenje i ključne razlike

Upravljanje ranjivostima je aktivan, neprekidan proces pronalaženja, procene, rangiranja i rešavanja slabosti u IT i OT infrastrukturi. Zaboravite na pristup „odradi i zaboravi”. Pravi timovi ovo posmatraju kao živi, proaktivni ciklus kojim se drastično smanjuje šansa za uspešan sajber napad.

Hajde da raščistimo čestu konfuziju oko sličnih pojmova. Mnoge bezbednosne platforme, uključujući ESET PROTECT, nude takozvano skeniranje ranjivosti. To su automatizovane, taktičke provere koje upoređuju vaše resurse sa bazama poznatih rupa, dajući vam brz pregled najhitnijih problema u tom trenutku. S druge strane, procena ranjivosti je obimniji, strateški poduhvat. Često je diktiraju zakonski zahtevi, sprovodi se povremeno, zahteva ljudsku analizu i obuhvata čitave mreže. Dok su skeniranje i procena povremeni, upravljanje ranjivostima je ono što se dešava konstantno.

A gde je tu upravljanje zakrpama (Patch Management)? Iako neprocenjivo, ono je samo jedan deo slagalice. Cilj mu je da održava softver i hardver ažurnim po unapred dogovorenom rasporedu. Međutim, krpljenje je po svojoj prirodi isključivo reaktivno – zavisite od toga kada će i da li će proizvođač izbaciti kvalitetnu popravku.

Zašto sve ovo mora da se rešava baš sada? Sistemi postaju luđe kompleksni, obim pretnji raste, a gubici od hakerskih incidenata su sve razorniji. Zakonodavci su reagovali. Standardi kao što su američki FedRAMP, ili evropski NIS2, DORA i CRA, sada od firmi doslovno zahtevaju da dokažu efikasne prakse kroz neprekidnu identifikaciju, procenu i sanaciju ranjivosti

Meta napada i životni ciklus odbrane

Da bismo se odbranili, moramo znati šta nas ugrožava. Upravljanje ranjivostima bavi se sa četiri ključne kategorije. Softverske i sistemske mane obuhvataju čekanje da se instalira ažuriranje, ostavljanje fabričkih lozinki na serverima i prastaru opremu poput mrežnih svičeva i IoT uređaja. Mrežne rupe uključuju loše zaštićen Wi-Fi, zaboravljene rutere, pogrešno podešene firewall sisteme, pa čak i aktivne mrežne utičnice u hodnicima zgrada. Tu je i ljudski faktor; ljudi prosto greše, klikću na phishing linkove i gube telefone po prevozu. Na kraju, procesne greške i loša pravila drastično pogoršavaju problem ako nemate jasnu politiku preuzimanja softvera.

Kako se boriti protiv ovoga u praksi? Kroz dobro podmazan proces koji se neprestano ponavlja:

  1. Otkrivanje i popis: Napravite surov inventar svih resursa u firmi. Uključite računare, servere, cloud servise, pa i “shadow IT” (programe koje zaposleni koriste tajno).
  2. Skeniranje i procena: Skenirajte resurse redovno, kao i uvek kada uvodite novitete. Koristite CVE bazu i CIS standarde za upoređivanje.
  3. Kritična prioritizacija (RBVM): Goli CVSS skor vam neće reći koliko je neki softver bitan za vašu zaradu. Kombinujte ga sa EPSS procenom i CISA KEV listom da biste videli da li hakeri zaista koriste taj propust u praksi.
  4. Akcija (otklanjanje): Imate tri puta pred sobom. Možete primeniti zakrpu proizvođača, možete ublažiti problem izolovanjem resursa (kao kada su bolnice gasile mrežni pristup starim magnetnim rezonancama tokom WannaCry napada), ili možete dokumentovano prihvatiti rizik ako je šteta minimalna u poređenju sa cenom popravke.
  5. Provera i izveštavanje: Ponovo skenirajte i proverite metrike poput MTTR (prosečno vreme popravke). Ovo je vaš ključni alibi za dokazivanje usklađenosti pred revizorima.
  6. Novi krug: Vratite se na početak. Budući da sada imate bazu, naredne iteracije su fokusirane isključivo na nove probleme.

Da bi ovakav program saživeo, potrebna su jasna pravila igre. Korišćenje RACI modela će rešiti haos oko toga ko je za šta zadužen. Definišite ugovore o nivou usluge (SLA) prema ozbiljnosti problema i obezbedite povratnu spregu – svaka kašnjenja sa zakrpama iskoristite kao lekciju za sledeći krug.

Alati i najbolje prakse

Kada kupujete bezbednosni softver, obratite pažnju na sledeće stavke:

  • Jedinstvena konzola: Potrebna vam je totalna vidljivost preko svih sistema (Windows, Linux, macOS) na jednom mestu.
  • Automatizacija: Ne čekajte cikluse ručnog pregleda; tražite skeniranje i trenutno izveštavanje koje odmah rangira probleme.
  • Fleksibilni filteri: Vaš tim mora imati mogućnost da samostalno podešava prioritete na osnovu specifičnih poslovnih potreba.
  • CVE transparentnost: Alat je beskoristan ako nije jasno koje tačno baze i ranjivosti može da prepozna.
  • Sinhronizovane zakrpe: Sistem mora raditi automatski, ali uz opciju ručnog pokretanja kada situacija to zahteva.

Pored alata, održavanje sistema zahteva širu viziju. Održavajte popis resursa fanatično tačnim. Povežite svoj alat sa sistemima za tikete i SIEM rešenjima. Kada pišete izveštaje za direktore, uvek govorite jezikom poslovnog rizika, a oslanjajte se na proverene okvire poput NIST CSF 2 ili ISO 27001.

Šta je tačno upravljanje ranjivostima?

To je neprestana vrteška identifikovanja i rešavanja bezbednosnih slabosti pre nego što stvari pođu po zlu.

Koja je razlika u odnosu na skeniranje i krpljenje?

Skeniranje je slika u vremenu, a zakrpe su samo jedan, reaktivan način rešavanja problema. Upravljanje je daleko širi pojam koji obuhvata i strategiju i mitigaciju.

Kako ovo rešava zakon?

Dokumentovan, rigorozan proces je praktično jedini način da revizorima dokažete da vaša firma poštuje propise poput NIS2 i CRA

Tekst preuzet sa: What is vulnerability management? Process, lifecycle & best practices