APAC में आधुनिक वल्नरेबिलिटी मैनेजमेंट और पैचिंग

बीस साल पहले patching monthly chore था: spreadsheet, maintenance window, change advisory board, और prayer कि कुछ break न हो। Cadence work करती थी क्योंकि attackers defenders से roughly उतने ही slow थे। वह दुनिया gone है।

आज vulnerability announce, weaponise, mass-exploit hours में हो सकती है। “Proof of concept” और “in the wild” के बीच window इतना collapse हो चुका है कि spreadsheet review करने वाला human already too late है। Vulnerability management process नहीं, pipeline बनना पड़ेगा।

AI accelerant #

दो trends AI को इस equation का dominant variable बना चुके हैं।

पहला, AI-assisted defence: static analysers, fuzzers और code review tools अब flaws surface करने में human auditors से faster हैं। Good news है, और इसीलिए security teams findings में drown होती हैं।

दूसरा, और more importantly, AI-assisted attacks. Researchers और attackers alike language models use करते हैं advisories triage करने के लिए, working exploits write करने के लिए, और known attack techniques mutate करके signatures bypass करने के लिए। Google के Project Zero ने और automated vulnerability discovery पर academic work ने दिखाया है कि once months की human effort अब dramatically compress हो सकती है।

Net effect: discovery-to-exploitation gap हर month shrink होता है, और manual patch queue keep up no longer कर सकती। Speculation नहीं है: CISA Known Exploited Vulnerabilities catalog में visible है, listed flaws का typical time-to-exploit disclosure relative continuously shrinking है।

Cattle, pets नहीं #

Phrase “cattle, not pets” early cloud era से आया: idea यह कि servers interchangeable, disposable resources हों hand-tuned machines names और personalities वाली नहीं। Patching पर perfectly applies होता है।

Server pet हो तो gently patch करते हो: log in, fix apply, restart, hope. Cattle हो तो patch नहीं करते। Replace करते हो। New patched image CI/CD में bake करते हो, old instance destroy, new deploy. Patch build artifact है, production touch होने से पहले reviewed और tested।

Immutable infrastructure patching को risky manual operation से routine deployment convert कर देती है। Modern exploitation speed scale करने वाला यही model है, और इसे automated testing और deployment pipelines require करती है जो many teams अभी build नहीं कर पाई।

Volume over prioritisation #

40,000 findings return करने वाला scanner programme नहीं; noise है। Skill triage में है: findings में से कौन actually reachable, actually exploitable, actually critical path पर?

CISA SSVC model right mindset capture करता है: prioritise by exploitation status, exposure, mission impact, CVSS score alone से नहीं। CVSS 9.8 internal-only non-routable service पर often less urgent CVSS 6.5 public endpoint पर known exploit wild में।

Layers, क्योंकि individual layers WILL fail #

Single control determined attacker survive नहीं करता। Defence depth हर layer के failure mode का acknowledgement:

• Patching attack surface reduce करता instant नहीं हो सकता।
• Network segmentation blast radius contains lagging patch के दौरान।
• Runtime detection catches slipped through patch cycle।
• Least privilege limits compromised asset reach।
• Backups tested recovery last line everything above fails।

Goal हर exploit prevent करना नहीं है। Goal है कि हर individual failure survivable बने। Patch pipeline किसी week miss कर दे, तो segmentation और detection catch up करने का time buy करते हैं। Segmentation fail हो जाए, तो least privilege damage limit करता है। Layering ही वह तरीका है जिससे आप उस timeline से ahead रहते हैं जिसे आप fully control नहीं कर सकते।

यह कहां land होता है #

हमारी Vulnerability Management service automated scanning और reporting side build करती है, जबकि Configuration & Architecture Assessment segmentation और identity boundaries test करता है जो patching gaps survivable बनाते हैं। Whole model चाहिए: pipeline, prioritisation, layers, तो Engineering & Scoping Session schedule करें।