मी चालवलेल्या vulnerability scans मध्ये — एका client कडे 100+ endpoints, दुसऱ्याकडे 60+ — सर्वात common finding, मोठ्या फरकाने, outdated software असतं: unpatched Windows systems, network devices वरचं जुनं firmware, आणि publicly known vulnerabilities असलेल्या versions चालणारी applications. Exotic zero-days नाही — ज्यांचा fix already उपलब्ध आहे असे publicly known issues.
हे सतत का होत राहतं
- Patching काम केलं की invisible असतं, आणि काही चुकलं की disruptive — म्हणून ते postpone होत राहतं
- "तुटलं नाहीये तर हात लावू नकोस" — बहुतांश गोष्टींसाठी reasonable instinct, पण security patches साठी risky
- याची जबाबदारी explicitly कुणाकडेच नसते, म्हणून ते चुपचाप राहून जातं
Reasonable routine कशी दिसते
- Windows/Linux servers आणि workstations — monthly patch cycle, office मोठं असेल तर आधी छोट्या group वर test करून, मग roll out
- Network devices (firewall, switches, access points) — firmware updates quarterly check करावेत, security-related update आला की apply करावा, फक्त नवीन features साठी नाही
- Applications — internet-facing किंवा sensitive data handle करणाऱ्या गोष्टींना priority; बाकी software OS च्या patch cycle बरोबर जातं
यामुळे actually काय टळलं
एका wealth advisory client साठी Nmap आणि Nessus assessment दरम्यान, flag झालेल्या issues मधला सर्वात मोठा भाग patch-related findings चा होता — known, published exploits असलेल्या outdated software versions. एका सरळ update cycle ने ते gaps बंद केल्याने, कोणतंही नवीन tool किंवा budget न लागता बहुतांश risk निघून गेला.
आज routine नसेल तर कुठून सुरुवात करावी
एक vulnerability scan चालव — अंदाज नाही, real baseline मिळवण्यासाठी — actually काय outdated आहे ते बघण्यासाठी. सर्वात जास्त severity असलेले findings आधी fix कर, मग एक recurring monthly reminder सेट कर. एवढं केलं तरी बहुतांश small offices त्यांच्या आधीच्या स्थितीपेक्षा खूप पुढे जातात.