Замечаете, что в этом году привычные методы проверки и исправления уязвимостей стали как-то иначе работать? У меня появилась мысль, что дело не только в новых типаках багов, но и в том, как теперь все реагируют на них.

Например, многие старые скрипты для сканирования частично теряют эффективность — либо слишком много ложных срабатываний, либо пропускают новые цепочки уязвимостей, связанных с обновлениями популярных CMS и библиотек. Отсюда второй момент: стало важным еще глубже смотреть на зависимости и версии внешних модулей, потому что именно они теперь вызывают основную головную боль.

Проверять проще всего через комбинацию нескольких инструментов — типа базового сканера + ручной аудит конфигураций и логов. Никогда не верил полностью автоматике, и сейчас особенно: если не залезть самому в код и не разобраться, что где именно ломается, защититься толком не получится.

Что касается исправления — стало больше внимания на профилактику. Например, обязательное внедрение Content Security Policy и других заголовков безопасности, чтобы даже если есть баг, он не превращается в дырку. Также активно используют автоматические тесты на CI, чтобы в момент релиза сразу отбраковывать потенциально опасные изменения.

В целом сложность выросла, потому что уязвимости «подросли» вместе с софтом, а классические методы уже не всегда позволяют быстро понять «что сломалось». Кому как удается подстраиваться под эти изменения?

P.S. Хотелось бы услышать, какие приемы у вас сейчас работают лучше всего.