Wywiad o zagrożeniach i zarządzanie podatnościami
Dowiedzą się Państwo, jak śledzić podatności, ustalać ich priorytety za pomocą CVSS i wywiadu o zagrożeniach oraz prowadzić ciągły cykl usuwania problemów w potoku DevSecOps.
Wywiad o zagrożeniach i zarządzanie podatnościami to bezpłatna lekcja Secure Coding & OWASP Top 10 for Backend na CoddyKit. To lekcja 4 z 4. Możesz przeczytać całą lekcję poniżej za darmo — a potem ćwiczyć ją interaktywnie w przeglądarce z wbudowanym edytorem kodu i tutorem AI dostępnym 24/7. To część ścieżki edukacyjnej Secure Coding & OWASP Top 10 for Backend, a Twój postęp synchronizuje się między webem a aplikacją CoddyKit. Kurs Secure Coding & OWASP Top 10 for Backend zawiera 4 lekcji w sumie.
Części tej lekcji nie zostały jeszcze przetłumaczone i są wyświetlane po angielsku.
Why Vulnerability Management?
New vulnerabilities appear daily. Vulnerability management is the ongoing process of discovering, prioritizing, and remediating weaknesses before attackers exploit them. It is a continuous loop, not a one-time scan.
The Management Lifecycle
The lifecycle has clear stages:
- Discover: find vulnerabilities via scans and feeds
- Prioritize: rank by risk
- Remediate: patch, mitigate, or accept
- Verify: confirm the fix
- Report: track metrics over time
CVE and CVSS
A CVE is a unique identifier for a known vulnerability. CVSS is a 0-10 score describing severity based on factors like attack vector and impact. CVSS gives a baseline, but it is not the whole story.
Reading a CVSS Score
CVSS bands roughly map to urgency. Use them to triage, but always combine with context.
def severity(score):
if score >= 9.0:
return 'Critical'
if score >= 7.0:
return 'High'
if score >= 4.0:
return 'Medium'
if score > 0.0:
return 'Low'
return 'None'
for s in [9.8, 7.5, 4.3, 2.1]:
print(s, severity(s))Threat Intelligence
Threat intelligence adds real-world context: Is this CVE being actively exploited? Is there public exploit code? Feeds like CISA KEV and EPSS help you focus on what attackers are actually using right now.
Risk-Based Prioritization
Severity alone is misleading. A medium-CVSS bug under active exploitation on an internet-facing system may outrank a critical bug on an isolated internal tool. Combine severity, exploitability, and asset exposure.
def priority(cvss, exploited, internet_facing):
score = cvss
if exploited:
score += 3
if internet_facing:
score += 2
return round(min(score, 15), 1)
print(priority(5.0, True, True)) # medium CVE but urgent
print(priority(9.0, False, False)) # critical but isolatedSoftware Bill of Materials
An SBOM lists every component and version in your software. When a new CVE drops, an SBOM lets you instantly answer: are we affected, and where?
Integrating into CI/CD
In DevSecOps, vulnerability scanning runs automatically on every build: dependency scanning, container image scanning, and IaC scanning. Builds can fail when a new critical issue is found, shifting detection left.
Remediation Options
Remediation is not always a patch. Your options are:
- Patch or upgrade the component
- Mitigate with a workaround or compensating control
- Accept the risk formally if impact is low
Track each decision with an owner and a deadline.
SLAs and Metrics
Define remediation SLAs by severity (for example, critical within days, high within weeks). Track metrics like mean time to remediate so the program improves measurably over time.
Feeding Incident Response
Vulnerability data and threat intel inform incident response: knowing which CVEs are exploited helps responders recognize attacks faster and patch the right systems first during an incident.
Quick Check
Test your understanding of vulnerability management.
Recap
You learned the vulnerability management lifecycle, how to read CVSS, and how threat intelligence and SBOMs enable risk-based prioritization. Integrating scanning into CI/CD, setting remediation SLAs, and feeding incident response close the loop in a mature DevSecOps program.
Często zadawane pytania
Czy lekcja „Wywiad o zagrożeniach i zarządzanie podatnościami” jest bezpłatna?
Tak — pełny tekst „Wywiad o zagrożeniach i zarządzanie podatnościami” jest dostępny za darmo tutaj w sieci. Aby ćwiczyć ją interaktywnie (wbudowany edytor kodu i tutor AI dostępny 24/7) i odblokować resztę kursu Secure Coding & OWASP Top 10 for Backend, przejdź na CoddyKit PRO. Kurs Secure Coding & OWASP Top 10 for Backend zawiera 4 lekcji w sumie.
Co nauczysz się w „Wywiad o zagrożeniach i zarządzanie podatnościami”?
Dowiedzą się Państwo, jak śledzić podatności, ustalać ich priorytety za pomocą CVSS i wywiadu o zagrożeniach oraz prowadzić ciągły cykl usuwania problemów w potoku DevSecOps. Ćwiczysz Secure Coding & OWASP Top 10 for Backend z praktycznym kodem, który uruchamiasz bezpośrednio w przeglądarce, a tutor AI dostępny 24/7 odpowiada na Twoje pytania podczas pracy nad lekcją.
Czy potrzebuję doświadczenia, aby zacząć Secure Coding & OWASP Top 10 for Backend?
Nie wymagamy żadnego doświadczenia. Secure Coding & OWASP Top 10 for Backend w CoddyKit jest strukturyzowany dla początkujących i zaawansowanych użytkowników, więc możesz zacząć tutaj lub od początku i uczyć się w swoim tempie. To lekcja 4 z 4.
Ile czasu zajmuje lekcja „Wywiad o zagrożeniach i zarządzanie podatnościami”?
Większość lekcji CoddyKit trwa około 5–10 minut. Każda lekcja to mały, interaktywny krok, dzięki czemu robisz systematyczne postępy i zawsze wracasz dokładnie do tego samego miejsca — na webie i w aplikacji.
Czy mogę pisać i uruchamiać kod w tej lekcji Secure Coding & OWASP Top 10 for Backend?
Tak. Każda lekcja Secure Coding & OWASP Top 10 for Backend zawiera wbudowany edytor kodu, więc piszesz i uruchamiasz prawdziwy kod bezpośrednio w przeglądarce i od razu otrzymujesz sprzężenie zwrotne od AI — bez konfiguracji na komputerze.
Wszystkie lekcje w tym kursie
- Integracja bezpieczeństwa z CI/CD (DevSecOps)
- Testowanie bezpieczeństwa (SAST, DAST, IAST)
- Reagowanie na incydenty i odtwarzanie po awarii
- Wywiad o zagrożeniach i zarządzanie podatnościami