จัดลำดับความสำคัญของผลการตรวจช่องโหว่
อย่าเรียงงานแก้ตามจำนวน CVE
รายการช่องโหว่ที่ยาวไม่ได้แปลว่าโฮสต์นั้นเสี่ยงที่สุด Finding ที่คะแนนสูงบนบริการที่เปิดสู่สาธารณะ มักควรมาก่อน CVE จำนวนมากบนบริการที่ปิดไฟร์วอลล์แล้วหรือใช้ได้เฉพาะเครือข่ายบริหาร
NIST SP 800-40 Rev. 4 เน้นการจัดการแพตช์เป็นกระบวนการต่อเนื่อง มีการจัดลำดับตามความเสี่ยงของทรัพย์สิน ไม่ใช่การไล่ปิดทุกหมายเลข CVE ให้เหลือศูนย์ในวันเดียว
ปัจจัยที่ใช้จัดลำดับ
การเปิดเผยบริการ
พอร์ตที่เปิดจากอินเทอร์เน็ตมีความเร่งด่วนสูงกว่าบริการที่ฟังเฉพาะ localhost สแกนพอร์ตก่อน VA จึงช่วยให้รู้ว่า finding นั้นสัมผัสได้จากภายนอกหรือไม่
ความรุนแรงและรายการที่ถูกใช้จริง
คะแนน CVSS จาก NVD เป็นจุดตั้งต้น CISA Known Exploited Vulnerabilities Catalog รวบรวมช่องโหว่ที่มีหลักฐานว่าถูกใช้โจมตีแล้ว หากรหัส CVE อยู่ในรายการนี้ ควรดึงขึ้นคิวแม้คะแนนฐานจะไม่สูงสุดในรายงาน
ชั้นป้องกันที่มีอยู่แล้ว
ถ้าบริการถูกจำกัดต้นทางด้วยไฟร์วอลล์ บังคับ TLS ที่แข็งแรง หรือปิดโปรโตคอลมรดกแล้ว ความเร่งด่วนอาจลดลงเมื่อเทียบกับบริการเดียวกันที่เปิดกว้าง อย่าใช้ชั้นป้องกันเป็นข้ออ้างไม่แพตช์ระยะยาว
ความพร้อมของแพตช์
แก้ได้เมื่อผู้ผลิตออกอัปเดตหรือมีวิธีตั้งค่าทดแทนที่เอกสารรองรับ ถ้ายังไม่มีแพตช์ ให้ลดพื้นที่โจมตี เช่น ปิดบริการที่ไม่ใช้ จำกัดเครือข่าย และเฝ้าระวัง ตามแนวการจัดการช่องโหว่ใน NIST SP 800-40
วงจรหลังสแกน
1. คัด finding ที่เปิดสู่สาธารณะและระดับ Critical/High รวมรายการที่อยู่ใน KEV
2. ยืนยันเวอร์ชันจริงกับแพ็กเกจในเครื่อง ไม่ยึดแบนเนอร์อย่างเดียว
3. วางแผนแก้ (อัปเดต, ปิดพอร์ต, ปรับคอนฟิก) และบันทึกผู้รับผิดชอบ
4. สแกนซ้ำหลังแก้ เพื่อดูว่า finding หายหรือยังเหลือเพราะจับคู่เวอร์ชันคลาดเคลื่อน
5. เก็บรายการที่ยังเปิดไว้ในคิวงาน อย่าลบหลักฐานก่อนตรวจว่าแก้แล้ว
หมวด A06 ใน OWASP Top 10:2021 ตรงกับงานนี้โดยตรง: ส่วนประกอบที่เก่าและมีช่องโหว่ต้องมีกระบวนการติดตาม ไม่ใช่สแกนครั้งเดียวแล้วจบ
สรุป
จัดคิวจากบริบทของทรัพย์สินและการเปิดเผยบริการ แล้วค่อยใช้ CVSS กับรายการ KEV เป็นตัวช่วย ไม่ถือว่าคะแนนต่ำเท่ากับยอมรับความเสี่ยงได้เสมอไป โดยเฉพาะบริการที่หันเข้าอินเทอร์เน็ต