Введение в BOD 26-04
10 июня 2026 года CISA выпустило обязательную операционную директиву 26-04 «Приоритизация обновлений безопасности на основе рисков». Если отбросить регуляторную терминологию, суть сводится к одному операционному факту: для уязвимости, которая активно эксплуатируется, доступна из публичной сети и предоставляет злоумышленнику полный контроль, у вас теперь есть три календарных дня на устранение — и вы должны параллельно провести криминалистическое расследование, чтобы определить, не был ли взлом уже совершен.
В отчете Verizon Data Breach Investigations Report за 2026 год указано, что среднее время полного устранения уязвимостей в отрасли составляет 43 дня. Также отмечается, что в 2025 году было полностью устранено лишь 26% известных эксплуатируемых уязвимостей (Known Exploited Vulnerabilities), по сравнению с 38% годом ранее. Это 43-дневная реальность против 3-дневного мандата; разрыв, который невозможно просто закрыть наймом дополнительных сотрудников.
Цель этого блога — разобрать, что на самом деле требует BOD 26-04, сопоставив каждый пункт с возможностями Rapid7, которые помогают сделать соблюдение требований операционно достижимым для всех.
Что именно изменило CISA?
BOD 26-04 заменяет и отменяет две предыдущие директивы: BOD 19-02 (2019), которая приоритизировала уязвимости, доступные из интернета, на основе статической оценки CVSS, и BOD 22-01 (2021), которая создала каталог известных эксплуатируемых уязвимостей (KEV), но установила 14-дневный срок для исправления каждой записи независимо от контекста.
Обратите внимание на этот фиксированный график: согласно BOD 22-01, активно эксплуатируемая ошибка на изолированном внутреннем сервере требовала такого же 14-дневного реагирования, как и ошибка на публичном веб-сервере, предоставляющая полный административный контроль. Команды тратили ресурсы на исправление систем с низким уровнем риска, чтобы просто заполнить чек-лист. BOD 26-04 заменяет это динамической моделью: приоритизируйте то, что злоумышленники действительно эксплуатируют, и официально откладывайте то, что они не трогают.
Четыре переменные BOD 26-04
BOD 26-04 отказывается от CVSS как единственного триггера и оценивает каждую уязвимость по четырем бинарным переменным, полученным из системы принятия решений SSVC (CMU CERT/CC и CISA):
- Доступность актива (Asset Exposure): доступен ли актив недоверенным лицам через публичную сеть?
Доступность актива (Asset Exposure): доступен ли актив недоверенным лицам через публичную сеть?
- Статус KEV: находится ли CVE в каталоге известных эксплуатируемых уязвимостей CISA?
Статус KEV: находится ли CVE в каталоге известных эксплуатируемых уязвимостей CISA?
- Автоматизация эксплойта: может ли злоумышленник автоматизировать всю цепочку эксплойта, обеспечивая массовую эксплуатацию?
Автоматизация эксплойта: может ли злоумышленник автоматизировать всю цепочку эксплойта, обеспечивая массовую эксплуатацию?
- Техническое воздействие: предоставляет ли успешная эксплуатация полный контроль (выполнение произвольного кода, полные/административные привилегии) или только частичный контроль (ограниченный доступ, раскрытие информации, отказ в обслуживании)?
Техническое воздействие: предоставляет ли успешная эксплуатация полный контроль (выполнение произвольного кода, полные/административные привилегии) или только частичный контроль (ограниченный доступ, раскрытие информации, отказ в обслуживании)?
Доступность актива — это переменная с наибольшим влиянием. Если вы убираете актив из публичного доступа, вы меняете переменную доступности с «Да» на «Нет», и требуемый график соответственно увеличивается. Данные Rapid7 Labs подчеркивают, почему доступность имеет решающее значение: половина уязвимостей, активно эксплуатируемых в дикой природе в первом квартале 2026 года, были проблемами типа «zero-click», доступными из сети и не требующими аутентификации, а ко второму кварталу 2026 года почти две трети вообще не требовали взаимодействия с пользователем. Злоумышленники атакуют напрямую открытые, неаутентифицированные поверхности.
Новые уровни устранения уязвимостей от CISA
Четыре переменные объединяются в дифференцированный график (CISA BOD 26-04, Приложение A, Таблица 1). Уровни в упрощенном виде:
Уровень
Сроки
Основные критерии
1 (Критический)
3 дня + криминалистическая сортировка
В KEV и полный контроль
2 (Высокий)
3 дня (без сортировки)
Публично доступен + автоматизируемый + полный контроль, еще не в KEV
3 (Ускоренный)
14 дней
В списке KEV без полного контроля; или доступен + частичный контроль
4 (Стандартный)
60 дней
Внутренний, автоматизируемый, частичный контроль
5 (Отложенный)
Исправление при следующем обновлении системы
Внутренний + не в KEV + не автоматизируемый + частичный контроль
Обратите внимание, что эти сроки динамичны. Если спящая уязвимость добавляется в KEV, срок может сократиться с 60 дней до 3 за одну ночь. И наоборот, если вы изолируете доступный актив, срок увеличивается. CISA прямо признает изоляцию, смягчение последствий и удаление уязвимого программного обеспечения как допустимые способы устранения; таким образом, компенсирующий контроль — это законный и соответствующий требованиям способ выиграть время для безопасного исправления.
Мандат на криминалистическую сортировку
Это первое из требований, не имеющее прецедентов в предыдущих директивах. Для уязвимостей 1-го уровня (KEV + полный контроль) вы должны не только исправить их в течение трех дней, но и провести параллельное криминалистическое расследование, чтобы определить, не был ли актив уже скомпрометирован. Почему? Когда злоумышленник эксплуатирует доступное пограничное устройство, он закрепляется в системе за считанные часы; таким образом, исправление через три дня закрывает дверь, когда злоумышленник уже внутри.
Руководство по внедрению CISA устанавливает шестиэтапный 72-часовой протокол:
Фаза
Окно
Что происходит
1. Определение области (Scoping)
0–2 часа
Идентификация устройств в области действия; активация группы реагирования; открытие внеполосных каналов связи
2. Сохранение доказательств
2–24 часа
Сбор волатильных данных (RAM, кэш, реестры) до любых изменений
3. Исправление и стабилизация
2–24 часа
Применение патчей только после сбора доказательств
4. Локализация
6–24 часа
Изоляция инфраструктуры без предупреждения злоумышленника
5. Анализ сортировки
24–48 часов
Поиск индикаторов компрометации (IOC); поиск признаков латерального движения и подготовки данных
6. Решение об эскалации
48–72 часа
Официальный отчет; в случае компрометации — отчет в CISA и переход к полноценному реагированию на инциденты (IR)
Обратите внимание на встроенное противоречие между этапом 2 и этапом 3: исправление перезагружает системы и перезаписывает именно ту волатильную память, которая доказывает или опровергает компрометацию. Вы должны собрать криминалистические доказательства до того, как примените патч — быстро, на каждом затронутом конечном устройстве. Делать это вручную в течение 72 часов не всегда реалистично.
На кого распространяется BOD 26-04 от CISA
BOD 26-04 является обязательной для всех гражданских исполнительных органов федерального правительства. Она исключает системы национальной безопасности и системы Министерства обороны/разведывательного сообщества.
Она косвенно, но твердо затрагивает частный сектор. Агентства должны пересматривать контракты и навязывать соблюдение требований партнерам по цепочке поставок. Для FedRAMP и облачных предложений агентства остаются ответственными за соответствие своих размещенных систем, что вынуждает поставщиков облачных услуг (CSP), работающих с федеральными данными, принимать тот же 3-дневный стандарт сортировки. Если вы являетесь подрядчиком или CSP, работающим с федеральными данными, относитесь к этому как к своему стандарту.
Сопоставление Rapid7 с директивой
Соблюдение 3-дневного графика с обязательной криминалистикой невозможно при ручном процессе. Вот как платформа Rapid7 Command Platform соотносится с каждым требованием.
Переменная 1 (Доступность) → Surface Command
Невозможно рассчитать график, если вы не знаете, что именно открыто для доступа. Surface Command объединяет средства управления поверхностью атаки на киберактивы (CAASM) и внешнего управления поверхностью атаки (EASM), сопоставляя непрерывное внешнее сканирование с внутренней инвентаризацией активов, полученной из ваших существующих инструментов. В результате вы получаете единое представление о своей реальной внешней поверхности атаки, включая теневой ИТ-сектор, который видят злоумышленники, но не видит ваша команда. Когда система обнаруживает уязвимый актив с CVE из каталога KEV, вы можете устранить воздействие, чтобы изменить Переменную 1 и сократить график во время тестирования патча.
Переменные 2 и 3 (KEV + Автоматизация) → InsightVM и Active Risk
InsightVM отслеживает каталог KEV на уровне ядра в своей панели мониторинга ленты угроз (Threat Feed Dashboard), непрерывно обновляя информацию о том, какие активы содержат активно эксплуатируемые уязвимости. Его показатель Active Risk (по шкале от 0 до 1000) выходит за рамки статичного CVSS за счет интеграции разведывательных данных об эксплойтах из Metasploit, ExploitDB, списка CISA KEV и исследований Rapid7 Labs. Это отражает собственную логику директивы: уязвимость со степенью критичности CVSS 7.5 и готовым модулем Metasploit будет стоять выше в приоритете, чем ошибка со степенью CVSS 9.8 без известных эксплойтов, — именно этого требует приоритизация по BOD 26-04.
Пробел в оценке NVD → AI CVSS в Exposure Command
Национальная база данных уязвимостей (NVD) не успевает за объемами публикации данных, оставляя многие CVE без оценки. Это создает «слепую зону», когда появляется угроза нулевого дня и вам срочно нужен график устранения. Exposure Command устраняет этот пробел с помощью модели ИИ, обученной на исторических данных NVD. Сама по себе модель в 76% случаев выдает правильную классификацию степени серьезности; в сочетании с Active Risk этот показатель вырастает до 87%, причем любая ошибка никогда не превышает одного уровня классификации. Exposure Command также обогащает каждый актив данными о критичности для бизнеса и телеметрией угроз, а ее центр устранения уязвимостей (Remediation Hub) выводит на первый план исправления, которые снижают наибольшую часть рисков.
Требование по проведению фоновой экспертизы → Velociraptor
Velociraptor — проект по реагированию на инциденты и цифровой криминалистике (DFIR) с открытым исходным кодом, приобретенный Rapid7 в апреле 2021 года, — создан именно для того масштаба и скорости, которых требует мандат на сортировку уязвимостей. Он напрямую соотносится с протоколом: агенты захватывают энергозависимую память и данные о запущенных процессах на тысячах конечных точек одновременно (Шаг 2), а аналитики используют язык запросов Velociraptor Query Language для поиска предоставленных CISA индикаторов компрометации (IOC) по всему предприятию в режиме реального времени, возвращая только релевантные артефакты вместо того, чтобы пересылать по сети полные образы дисков (Шаг 5). Это позволяет выполнить требования к доказательной базе без задержки патча для Шага 3.
От степени серьезности к деньгам
BOD 26-04 разделяет ключевую идею современного управления рисками: техническая серьезсть не равна влиянию на бизнес. Высокий балл CVSS не отвечает на вопрос руководства: «Какова вероятность того, что это обойдется нам в копеечку?»
Фреймворк FAIR устраняет этот разрыв, выражая риск в виде ожидаемых годовых потерь: Ожидаемые ежегодные потери = Частота реализации инцидента потерь × Масштаб потерь
BOD 26-04 по сути является механизмом определения частоты реализации инцидента потерь: изолируя уязвимости, которые эксплуатируются (KEV), доступны для достижения (экспонирование) и масштабируемы (автоматизация), он определяет те из них, которые статистически наиболее склонны стать инцидентом с потерями. Передайте данные Active Risk на сторону частоты, а FAIR — на сторону затрат, и вы сможете информировать руководство на языке капитала, а не идентификаторов CVE.
Примеры из практики Rapid7 «в поле»
Последние открытия специалистов Rapid7 Intelligence демонстрируют работу высшего уровня в действии:
Уязвимость
Влияние
Почему это Уровень 1
Действия Rapid7
Microsoft SharePoint (CVE-2026-55040 + CVE-2026-63520)
При объединении две уязвимости приводят к неаутентифицированному удаленному выполнению кода (RCE) через обход JWT, запуская команды от имени учетной записи службы SharePoint
Доступность из Интернета + полный контроль (через цепочку уязвимостей) + добавление в KEV после эксплуатации «в дикой природе»
Аутентифицированные проверки отправлены клиентам InsightVM / Exposure Command; показатель Active Risk эскалирован для запуска сортировки
Palo Alto PAN-OS (CVE-2026-0300)
Неаутентифицированное переполнение буфера на портале аутентификации User-ID; произвольное выполнение кода с правами root (CVSSv4 9.3)
Файрволы по определению открыты для доступа; максимальное влияние; добавлены в KEV 6 мая 2026 г.
Лента угроз мгновенно интегрировала статус KEV; Velociraptor зафиксировал энергозависимую оперативную память до выпуска патча
N-able N-central (CVE-2026-18577 + CVE-2026-18556)
Обход аутентификации, позволяющий полностью захватить конечные точки удаленного управления
Ценные управляющие активы; полный контроль; добавлены в KEV в августе 2026 г.
Проверки отправлены через релиз контента; Velociraptor провел поиск артефактов на конечных точках для соблюдения требований сортировки
Что ждет федеральные ведомства и подрядчиков?
Если вы являетесь ведомством FCEB, подрядчиком или поставщиком облачных услуг (CSP), обрабатывающим федеральные данные, следующие три шага имеют наибольшее значение:
- Настройте правильное обнаружение экспонирования. Все дальнейшие действия зависят от понимания того, что именно доступно из публичной сети. Обеспечьте непрерывную видимость внешних и внутренних активов прямо сейчас.
Настройте правильное обнаружение экспонирования. Все дальнейшие действия зависят от понимания того, что именно доступно из публичной сети. Обеспечьте непрерывную видимость внешних и внутренних активов прямо сейчас.
- Интегрируйте KEV в процесс приоритизации, а не в таблицы Excel. Отсчет времени начинается в момент обновления каталога CISA. Сбор данных должен быть автоматизированным и непрерывным.
Интегрируйте KEV в процесс приоритизации, а не в таблицы Excel. Отсчет времени начинается в момент обновления каталога CISA. Сбор данных должен быть автоматизированным и непрерывным.
- Подготовьте форензику заранее. Решите уже сегодня, как вы будете собирать летучие доказательства на конечных точках в течение 72 часов. Если это ручной регламент, он потерпит неудачу при реальном инциденте Уровня 1.
Подготовьте форензику заранее. Решите уже сегодня, как вы будете собирать летучие доказательства на конечных точках в течение 72 часов. Если это ручной регламент, он потерпит неудачу при реальном инциденте Уровня 1.
Главный вывод из CISA BOD 26-04
BOD 26-04 отказывается от принципа «патчить всё» в пользу операционной точности: устраняйте активно эксплуатируемые, открытые для доступа уязвимости с высоким уровнем влияния за 72 часа, доказывайте, был ли уже совершен взлом, и откладывайте все остальное на потом. Для выполнения этих требований необходимы непрерывное обнаружение активов, оперативная аналитика угроз, контекстно-зависимая приоритизация и масштабная форензика — именно в таком виде и создана платформа Rapid7. Для федеральных ведомств это мандат; для всех остальных — самая четкая на сегодняшний день схема управления уязвимостями на основе рисков.
Источники: CISA BOD 26-04 и руководство по ее внедрению; отчет Verizon DBIR за 2026 год; отчет Rapid7 Global Threat Landscape Report за 2026 год и данные об угрозах за Q1/Q2 2026 года; документация по продуктам Rapid7 для InsightVM, Active Risk, Surface Command, Exposure Command и Velociraptor.
