На какие вопросы должен ответить Vul­ner­a­bil­i­ty Intel­li­gence. Допустим у нас есть трендовая уязвимость, о которой все пишут. Вот я посмотрел в свой автоматический канал с новостями @avleonovnews, сегодня пишут про code injec­tion в Cit­rix NetScaler ADC и RCE в Apache Open­Meet­ings. От Vul­ner­a­bil­i­ty Intel­li­gence решения хочется ответы на следующее:

1. У нас этот уязвимый продукт вообще используется? А где именно? И не только в проде, не только в HQ, во всех дочерних компаниях и т.д.
2. Можем мы получить полный список потенциально уязвимых активов? Что нужно сделать, чтобы его получить?
3. Все эти потенциально уязвимые активы покрыты VM-ом? Что нужно сделать, чтобы были покрыты все?
4. Наш VM умеет детектировать уязвимости для таких продуктов и детектируется ли эта конкретная уязвимость? Как будем детектить эту уязвимость, если нет (альтернативные утилиты, вручную и т.д.)?

Иными словами, делать все те базовые вещи, обеспечивающие адекватность VM‑а.