የሚታወቁ የተበዘበዙ ተጋላጭነቶች (KEVs) ምንድናቸው?

የሚታወቁ የተበዘበዙ ተጋላጭነቶች (KEVs) በCVE የተዘረዘሩ የደህንነት ጉድለቶች ሲሆኑ በዱር ውስጥ ጥቅም ላይ እንደዋሉ ተረጋግጠዋል። CISA ኦፊሴላዊውን የKEV ካታሎግ ይይዛል እና በBinding Operational Guideline 22-01 በኩል የጊዜ ገደቦችን ያወጣል።

ኬኢቪዎች ከሲቪኢዎች እና ከኢፒኤስኤስ የሚለዩት እንዴት ነው?

ሲቪኢዎች (CVEs) ለተገለጹ ተጋላጭነቶች ልዩ መለያዎች ናቸው፣ ሲቪኤስኤስ (CVSS) ያላቸውን አቅም የሚለካ ሲሆን EPSS ደግሞ የብዝበዛ እድልን ይተነብያል። ኬኢቪዎች ንቁ ብዝበዛን በማረጋገጥ የበለጠ ይሄዳሉ፣ ይህም ለመጠገን ከፍተኛ ቅድሚያ የሚሰጣቸው ተጋላጭነቶች ያደርጋቸዋል።

የታወቁ የተበዘበዙ ተጋላጭነቶች ለገንቢዎች እና CISኦስ?

ኬኢቪዎች እውነተኛ የአጥቂ ባህሪን የሚያንፀባርቁ ሲሆን ብዙውን ጊዜ የሶስተኛ ወገን ክፍሎችን እና CI/CD ጥገኝነቶች። ችላ ማለት ወዲያውኑ ወደ ስምምነት ሊያመራ ይችላል። የ KEVs ቅድሚያ መስጠት የደህንነት ቡድኖች በንቃት ኢላማ በሚደረጉ ተጋላጭነቶች ላይ እንዲያተኩሩ ይረዳል።

ቡድኖች የታወቁ የተበደሉ ተጋላጭነቶችን እንዴት መከታተል እና ቅድሚያ መስጠት አለባቸው?

ቡድኖች በየቀኑ ከዚህ ጋር መመሳሰል አለባቸው CISየA's KEV ካታሎግ፣ የሚዛመዱ እና ከEPSS እና ተደራሽነት ትንተና ጋር የሚያዛምዱ መለያዎችን ያስገቡ። ከኢንተርኔት ጋር የሚገናኙ KEVዎችን በ1-3 ቀናት ውስጥ ያስተካክሉ፣ ውስጣዊዎቹን በሳምንት ውስጥ ያስተካክሉ እና ጥቅም ላይ ያልዋለ ኮድን ያለማቋረጥ ይከታተሉ።

Xygeni የKEV ምርመራን እና ማስተካከያን በራስ-ሰር የሚያደርገው እንዴት ነው?

Xygeni የተገኙትን CVEዎች ከሚከተሉት ጋር ያዛምዳል CISየKEV ዝርዝር፣ ተፈጻሚ ይሆናል guardrails አደገኛ ውህዶችን ለማገድ እና ደህንነቱ የተጠበቀ በራስ-ሰር ያመነጫል pull requests ለጥገናዎች። እንዲሁም የተበላሹ ለውጦችን ይፈትሻል እና ወቅታዊ እና ሊከታተል የሚችል እርማት ለማረጋገጥ የኦዲት መዝገቦችን ያቆያል።

የታወቀ የብዝበዛ ተጋላጭነት ምሳሌ ምንድን ነው?

ለምሳሌ CVE-2024-1086 (ሊኑክስ nf_tables)፣ በራንሰምዌር ቡድኖች ጥቅም ላይ የዋሉ እና CVE-2023-4966 (CitrixBleed) ዓለም አቀፍ የአደጋ ጊዜ ጥገናዎችን ያስከተለ ናቸው። ሁለቱም ወደ CISፈጣን ማስተካከያዎችን ለማስፈጸም የKEV ካታሎግ።

የሚታወቁ የተበዘበዙ ተጋላጭነቶች፡ መጀመሪያ ምን ማስተካከል እንዳለበት

TL; DR

አብዛኛዎቹ የተጋላጭነት ዝርዝሮች ምን ችግር ሊፈጠር እንደሚችል ይነግሩዎታል። CISየKEV ካታሎግ አሁን ምን ችግር እንዳለ ይነግርዎታል። የሚታወቁት የተበዘበዙ ተጋላጭነቶች (KEVs) በዱር ውስጥ በንቃት ጥቅም ላይ እንደሚውሉ የተረጋገጡ CVEዎች ናቸው። CISሀ ኦፊሴላዊውን ካታሎግ ይይዛል እና በቢንዲንግ ኦፕሬሽናል መመሪያ 22-01 በኩል ለፌዴራል ኤጀንሲዎች የማስተካከያ የጊዜ ሰሌዳዎችን ያዛል። አብዛኛዎቹ የግል ድርጅቶች የማንቂያ ጫጫታዎችን ለመቀነስ እና በመጀመሪያ ምን መስተካከል እንዳለበት ለመለየት ተመሳሳይ ዝርዝር ይጠቀማሉ።

CVSS፣ EPSS እና KEV ሶስት የተለያዩ ጥያቄዎችን ይመልሳሉ። CVSS የቲዎሬቲካል ክብደትን ይለካል - ይህ ምን ያህል መጥፎ ሊሆን ይችላል? EPSS በ30 ቀናት ውስጥ የብዝበዛ እድልን ይተነብያል - ይህ ኢላማ የመሆን እድሉ ምን ያህል ነው? KEV ንቁ ብዝበዛን ያረጋግጣል - ይህ አሁን እየተጠቃ ነው? መካከለኛ የ CVSS ነጥብ፣ ከፍተኛ የ EPSS ነጥብ እና የ KEV መለያ ያለው ተጋላጭነት ምንም የብዝበዛ ማስረጃ ከሌለው ወሳኝ የ CVSS ነጥብ የበለጠ አጣዳፊ ነው። ሦስቱ ምልክቶች አብረው ይሰራሉ፣ በተለዋዋጭነት አይደሉም።

በእርስዎ ጥገኝነት ውስጥ ያለ KEV የቲዎሪ አደጋ አይደለም - የጊዜ ገደብ አለው። ኬኢቪዎች ብዙውን ጊዜ የሶስተኛ ወገን ክፍሎችን፣ ማዕቀፎችን፣ ኮንቴይነሮችን እና CI/CD ቡድኖች ደህንነታቸው የተጠበቀ ነው ብለው የሚያስቧቸው ጥገኞች። CVE-2023-4966 (CitrixBleed) ይፋ ከተደረገ ከጥቂት ቀናት በኋላ ጥቅም ላይ መዋሉን አረጋግጧል። CVE-2024-1086 የ KEV ካታሎግ ከገባ በኋላ ብዙም ሳይቆይ በራንሰምዌር ቡድኖች ተይዟል። standard ለኢንተርኔት የሚሄዱ KEVs fix-window ከ1-3 ቀናት ነው፣ የተለመደው የመጠገኛ ዑደት አይደለም።

ይህ ልጥፍ የሚሸፍነው፦ KEVs ምንድን ናቸው እና ከCVEs፣ CVSS እና EPSS እንዴት እንደሚለያዩ፤ ቅድሚያ የሚሰጣቸው የስራ ፍሰቶች ዙሪያ እንዴት መገንባት እንደሚቻል CISካታሎግ፤ እና እንዴት ዚጌኒ የKEV ትስስርን፣ የጥበቃ መንገድ ማስፈጸሚያን እና ማረምን በራስ-ሰር ያደርጋል CI/CD pipelineዎች — የሚሰራ የYAML የጥበቃ ፖሊሲን ጨምሮ።

የሚታወቁት የተበዘበዙ ተጋላጭነቶች (KEVs) ምንድናቸው?

እያንዳንዱ የተጋላጭነት ስካነር በሲቪኤስኤስ ክብደት ደረጃ የተቀመጡ ግኝቶችን ያመነጫል። ችግሩ ሲቪኤስኤስ የሚለካው የቲዎሬቲካል ተጽእኖን እንጂ ንቁ ብዝበዛን አለመለካቱ ነው። CISየሚታወቅ የተበዘበዙ ተጋላጭነቶች (KEV) ካታሎግ የተለየና ይበልጥ አጣዳፊ ችግርን ይፈታል፤ አጥቂዎች በአሁኑ ጊዜ እየተጠቀሙባቸው ያሉትን CVEዎች ይዘረዝራል፣ የጊዜ ገደቦችን ያካትታል። መጀመሪያ ምን ማስተካከል እንዳለበት ለመወሰን ለሚሞክር ማንኛውም ቡድን፣ በጣም ተግባራዊ ሊሆን የሚችል ምልክት ነው።

የታወቁ የተበዘበዙ ተጋላጭነቶች (KEVs) ናቸው በCVE የተዘረዘሩ ተጋላጭነቶች በዱር ውስጥ ጥቅም ላይ መዋላቸውን አረጋግጠዋልየአሜሪካ የሳይበር ደህንነት እና የመሠረተ ልማት ደህንነት ኤጀንሲ (CISA) ኦፊሴላዊውን ይጠብቃል KEV ካታሎግ እና የማስተካከያ የጊዜ ሰሌዳዎችን በ አስገዳጅ የአሠራር መመሪያ 22-01. ብዙ የግል ድርጅቶች አሁን ይህንን ዝርዝር ለማሻሻያ ቅድሚያ ለመስጠት ይጠቀማሉ።

ምንም እንኳ ሲቪኤስኤስ የውጤቶች መለኪያ ችሎታ ተጽዕኖ፣ ኬኢቪዎችን ይወክላል ገቢር ብዝበዛ። በሌላ አነጋገር፣ “ምናልባት ሊበዘበዙ የሚችሉ” ወደ “ብዝበዛ” ይለውጣሉ፣ ይህም ፈጣን SLAs እና አውቶማቲክ ያስፈልጋቸዋል። guardrails.

ኬኢቪዎች ከሲቪኢዎች እና ኢፒኤስኤስ ጋር

የደህንነት ቡድኖች ብዙውን ጊዜ እነዚህን ተዛማጅ ቃላት ግራ ያጋባሉ። ልዩነቱን መረዳት ለትክክለኛ ስጋት ወሳኝ ነው።

ምህጻረ	ምንጭ	ዓላማ
CVE	ኤን.ቪ.ዲ.	ለተገለጠ ተጋላጭነት ልዩ መለያ።
ሲቪኤስኤስ	ኤንቪዲ / ፈርስት	የቲዎሬቲካል ክብደትን ይለካል (ተፅዕኖ + ብዝበዛ)።
EPSS	FIRST.org	በ30 ቀናት ውስጥ የብዝበዛ እድልን ይተነብያል።
ኬቪ	CISA	የእውነተኛውን ዓለም ብዝበዛ ያረጋግጣል እና የጊዜ ገደቦችን ያስቀምጣል።

እነዚህ ስርዓቶች አንድ ላይ ሆነው የአደጋ ተዋረድ ይፈጥራሉ፡ CVSS ምን ያህል መጥፎ ሊሆን እንደሚችል ያሳያል፣ EPSS ምን ያህል ሊሆን እንደሚችል ያሳያል፣ እና የታወቁ የተበላሹ ተጋላጭነቶች በእውነቱ ምን እየተከሰተ እንዳለ ያሳያሉ።

ተጨማሪ ንባብ: የሲቪኤስኤስ ውጤት፡ የሲቪኤስኤስ ውጤት እንዴት እንደሚሰራ ና EPSS ከ CVSS ጋር፡ ልዩነቱ ምንድን ነው?

የKEV ዎች ለገንቢዎች እና ለምን አስፈላጊ ናቸው? CISOs

በመጀመሪያ፣ የKEVዎች ድምቀት የቀጥታ አጥቂ ባህሪበሁለተኛ ደረጃ፣ ብዙውን ጊዜ የሚከተሉትን ያካትታሉ የሶስተኛ ወገን ክፍሎች, ማዕቀፎች፣ ኮንቴይነሮች፣ ወይም CI/CD ቡድኖች ደህንነታቸው የተጠበቀ ነው ብለው የሚያስቧቸው ጥገኝነቶች። በዚህም ምክንያት, የዘገየ ጥገና በግንባታዎ እና በአቅርቦት መሠረተ ልማትዎ ውስጥ የጎን-እንቅስቃሴ መንገዶችን ሊከፍት ይችላል።

የቅርብ ጊዜ ምሳሌዎች፡-

CVE-2024-1086 (ሊኑክስ nf_tables): ወደ KEV ካታሎግ ተጨምሯል፤ በ2024 አጋማሽ ላይ በራንሰምዌር ቡድኖች ተበዝብዘዋል።
CVE-2023-4966 (CitrixBleed): ይፋ ከተደረገ በኋላ ባሉት ቀናት ውስጥ የተረጋገጠ ብዝበዛ፤ በዓለም ዙሪያ የግዳጅ የአደጋ ጊዜ ጥገና ዑደቶች።

ተይዞ መውሰድ: ኬኢቪዎች ሊሆኑ የሚችሉ አደጋዎች አይደሉም፤ እነሱ ገቢር ስለዚህ፣ የሚታወቁትን ሁሉንም የተበዘበዙ ተጋላጭነቶች እንደ "አሁን አስተካክል"ተደራሽነትን በተመለከተ የተደረገው ትንታኔ ሌላ ማስረጃ እስካልተገኘ ድረስ።

የታወቁ የተበደሉ ተጋላጭነቶችን እንዴት መከታተል እና ቅድሚያ መስጠት እንደሚቻል

ለመጀመር፣ ኦፊሴላዊውን ይመልከቱ CISየሚታወቅ የብዝበዛ ተጋላጭነቶች ካታሎግ እና በደህንነት ስካነርዎ ውስጥ ያሉ ማናቸውንም ተዛማጆች ምልክት ያድርጉባቸው። ከዚያም፣ የትኞቹ ጥገናዎች መጀመሪያ መደረግ እንዳለባቸው ለመወሰን ይህንን መረጃ ይጠቀሙ። በተጨማሪም፣ ያጣምሩ የታወቁ የተበዘበዙ ተጋላጭነቶች ጋር የEPSS ውጤቶች ጫጫታውን ለመቀነስ እና የሩጫ ኮድዎን በትክክል የሚነኩ ድክመቶችን ላይ ለማተኮር።

የደረጃ በደረጃ የስራ ሂደት፡-

ውሂብ ማመሳሰል፦ የቅርብ ጊዜ ዝመናዎችን ከ ይጎትቱ CISበየቀኑ ዝርዝር ያድርጉ እና ከሌሎች የተጋላጭነት ምግቦችዎ ጋር ያዋህዷቸው።
የመለያ ውጤቶች፡ መታወቂያው ሲዛመድ እያንዳንዱን ግኝት "የታወቀ ብዝበዛ" ብለው ይሰይሙ CISዝርዝር።
ተደራሽነቱን ያረጋግጡ፦ ተጋላጭ የሆነው ኮድ በመተግበሪያዎ ወይም በግንባታዎ ውስጥ በትክክል እየሰራ መሆኑን ይመልከቱ pipeline.
የብዝበዛ አቅምን መገምገም፡ ጥቅም EPSS የትኞቹ ሌሎች ጉዳዮች በቅርቡ ኢላማ ሊሆኑ እንደሚችሉ ለማወቅ።
የጊዜ ገደቦችን ይተግብሩ፦
- የኢንተርኔት ተጋላጭነቶች፡ ከ1-3 ቀናት ውስጥ ያስተካክሉ።
- ውስጣዊ፦ በሳምንት ውስጥ ያስተካክሉ።
- ኮዱ ጥቅም ላይ አልዋለም፦ ይከታተሉት እና ብዙ ጊዜ ያረጋግጡ።
ራስ-ሰር ምላሾች፦ ስርዓቱ ደህንነቱ ያልተጠበቀ ውህደትን ያግዳል፣ ደህንነቱ በተጠበቀ ሁኔታ ይከፈታል pull requests, እና ቡድኖች ምንም ነገር እንዳያመልጣቸው ለማድረግ ልዩ ሁኔታዎችን ይመዘግባል።

ከግንዛቤ ወደ ተግባር፡ በXygeni አማካኝነት በራስ-ሰር መጠገን

በተግባር፣ ይህንን ሁሉ በእጅ ማስተናገድ ሚዛን የለውም። ስለዚህ፣ ዚጌኒ የሚታወቁ የተበዘበዙ ተጋላጭነቶችን በቀጥታ ከእርስዎ ጋር ያገናኛል CI/CD የስራ ፍሰቶች፣ ማንቂያዎችን ወደ እውነተኛ፣ የሚመሩ እርምጃዎች መለወጥ።

ብልህ ትስስር፦ ከCVEዎች ጋር ተዛማጆችን አግኝተዋል CISበውስጠኛው ውስጥ ያሉትን "አሁን ያስተካክሉ" ጉዳዮችን ዝርዝር እና ያጎላል pull requests.
ተደራሽነት + ጥቅም ላይ ማዋል፡ ተጋላጭ የሆነው የኮድ ዱካው እየሰራ መሆኑን እና አገናኞችን እንደሚያገናኝ ያረጋግጣል EPSS ለቅድመ-ዝግጅት ውሂብcisኢ ቅድሚያ መስጠት።
Guardrails: የተበዘበዘ ጉድለት ስሱ ፋይሎችን ወይም አገልግሎቶችን ሲጎዳ አደገኛ ውህዶችን ወይም ማሰማራትን ያቆማል።
ራስ-ማስተካከያ ደህንነቱ የተጠበቀ የህዝብ ግንኙነት (PRs) ይከፍታል፣ ሊከሰቱ የሚችሉ የመሰበር ለውጦችን ይፈትሻል፣ እና ከመዋሃድዎ በፊት ሙከራዎችን ያካሂዳል።
የኦዲት መዝገቦች፡ የውስጥ የደህንነት ግቦችን በመደገፍ ምን እንደተስተካከለ እና መቼ እንደተስተካከለ ግልጽ መዝገቦችን ይይዛል።

ባጭሩ፣ የስጋት መረጃ ምን እየተጠቃ እንዳለ ያሳያል፣ Xygeni በፍጥነት፣ ደህንነቱ በተጠበቀ ሁኔታ እና በራስ-ሰር እንዲስተካከል ያረጋግጣል።

የጥበቃ መመሪያ ምሳሌ (YAML)

				
					guardrail:
  id: "kev-protection"
  description: "Block merges if known exploited vulnerability detected"
  conditions:
    - match: vulnerability.kev == true
    - match: reachability == "reachable"
  actions:
    - block: merge
    - notify: ["slack:#security-alerts", "jira:SEC-OPS"]
    - create_pr: true
  sla:
    critical: 72h
    high: 7d

ይህ ደንብ ተፈጻሚ ይሆናል ውህደት የለም ለንቁ የታወቁ የተበታተኑ ተጋላጭነቶች፣ ተዛማጅ ቻናሎችን ያሳውቃል፣ እና በራስ-ሰር የማስተካከያ ግንኙነት ይፈጥራል፣ ሁሉም በእርስዎ ውስጥ CI/CD guardrails.

ሚኒ መያዣ፡ የ KEV ማሰማራትን መከላከል

ሳምንት 1: አዲስ የክፍት ምንጭ ቤተ-መጽሐፍት ማለፊያ SAST ግን CVE-2023-4966ን ያካትታል።
ሳምንት 2: የXygeni የKEV ትስስር በቅርብ ጊዜ ውስጥ ይገነዘባል CISዝማኔ።
ሳምንት 3: Guardrails ውህደቱን አቁም፤ ራስ-ሰር ማስተካከያ የተስተካከለ ስሪት ያቀርባል።

ውጤት: ቡድኑ ከመላክ ተቆጥቧል የሚታወቅ የተበደለ ተጋላጭነት ወደ ምርት እና ወደ ቀይ እድሳት pipeline በተመሳሳይ ፍጥነት ውስጥ ፍሰት።

የሚታወቁ የተበዘበዙ ተጋላጭነቶች፡ በመጀመሪያ ምን ማስተካከል እንዳለበት

መነበብ ያለባቸው ልጥፎች