የተጋላጭነት ቅድሚያ መስጠት፡ የከባድነት ነጥብ ለምን አይሳካም

አንድ ቡድን ስፕሪንት ሲቪኤስኤስ 9.8ን በመጠገን በቤተ መፃህፍት ውስጥ ምንም አይነት የምርት ውጤት አያስገኝም። ይህ በእንዲህ እንዳለ፣ ሊደረስበት በሚችል፣ በይነመረብን በሚመለከት የመጨረሻ ነጥብ ላይ የተቀመጠ CVSS 6.5 ለሌላ ወር ክፍት ሆኖ ይቆያል፣ ምክንያቱም በዝርዝሩ አናት ላይ አልደረሰም። ይህ መላምት አይደለም፣ ሙሉ በሙሉ በክብደት ነጥብ ላይ የተገነባ የተጋላጭነት ቅድሚያ መስጠት ነባሪ ውጤት ነው፣ እና አብዛኛዎቹ የደህንነት ፕሮግራሞች ለመቀበል ፈቃደኛ ከሆኑ ይልቅ የተለመደ ውድቀት ነው።

የተጋላጭነት ቅድሚያ መስጠት በእርግጥ ምን ማድረግ እንዳለበት ታሳቢ ተደርጓል

የተጋላጭነት ቅድሚያ መስጠት ማለት የትኞቹ ግኝቶች መጀመሪያ እንደሚስተካከሉ የመወሰን ሂደት ሲሆን ሙሉ በሙሉ ለማጽዳት በጣም ረጅም ከሆነው ዝርዝር ውስጥ ነው። በጥሩ ሁኔታ ከተሰራ፣ “ይህ ተጋላጭነት በንድፈ ሀሳብ ምን ያህል መጥፎ ነው” ከሚለው ይልቅ ጠባብ እና ከባድ ጥያቄን ይመልሳል፡ “ይህንን አሁን ማስተካከል በእውነቱ ለዚህ የተወሰነ ስርዓት አደጋን የሚቀንስ ምን ያህል ነው?” ሲል ይመልሳል። እነዚህ ተመሳሳይ ጥያቄ አይደሉም፣ እና እነሱን ማዋሃድ አብዛኛዎቹ የተጋላጭነት ቅድሚያ የሚሰጣቸው ጥረቶች የሚሳሳቱበት ነው።

የከባድነት ነጥብ ብቻውን የማይሳካው ለምንድን ነው?

CVSS በራሱ ሙሉ ቅድሚያ የሚሰጥ ስርዓት እንዲሆን ፈጽሞ የተነደፈ አልነበረም፤ የክብደት ነጥብ፣ አንድ ተጋላጭነት በንድፈ ሀሳብ በአጠቃላይ አውድ ውስጥ ምን ያህል መጥፎ ሊሆን እንደሚችል የሚያሳይ መግለጫ ነው። ስለሚከተሉት ምንም አይናገርም፦

ተደራሽ መሆን። ተጋላጭ የሆነው የኮድ ዱካ በመተግበሪያው ውስጥ በየትኛውም ቦታ ቢጠራ ወይም ምንም ነገር በሱስ ውስጥ ቢቆይ ምንም ነገር አይጠቅምም።
ብዝበዛ። በዱር ውስጥ የሚሰራ ብዝበዛ መኖሩ ወይም ተጋላጭነቱ ከላብራቶሪ ዝግጅት ውጭ በንድፈ ሀሳብ የሚገለጽ ነው።
ተጋላጭነት ፡፡ የተጎዳው አካል ወደ ኢንተርኔት ይመለከት ወይም ውጫዊ መዳረሻ ከሌለው ውስጣዊ አገልግሎት ጀርባ ሶስት እርከኖች ያሉት መሆኑን።
የንግድ አውድ። የተጎዳው ስርዓት የደንበኛን መረጃ ወይም የክፍያ ፍሰቶችን የሚነካ ይሁን ወይም ማንም ሰው በእሱ ላይ የተመሰረተ ዝቅተኛ ዋጋ ያለው ውስጣዊ መሳሪያ ነው።

በሲቪኤስኤስ ብቻ ደረጃ የተሰጠው የተጋላጭነት ቅድሚያ አሰጣጥ አካሄድ 9.8 በማይደረስበት ኮድ ውስጥ ከሚገኝ 6.5 ነጥብ ይልቅ በሚታወቅ ብዝበዛ ከተቀመጠ 6.5 ነጥብ የበለጠ አጣዳፊ እንደሆነ አድርጎ ይቆጥረዋል። ያ ቅደም ተከተል ወደኋላ የተመለሰ ሲሆን ትክክለኛ አደጋን የሚወስን ሌላ ማንኛውንም ነገር ችላ በማለት የውጤት ክብደትን በቀጥታ ያስከትላል።

የተጋላጭነት ቅድሚያ የማግኘት ድብቅ ወጪ የተሳሳተ ነው

ወጪው የምህንድስና ሰዓቶችን ብቻ የሚያባክን አይደለም፣ ግን ያ እውነት ነው፡ ቡድኖች ተግባራዊ አደጋ የማያስከትሉ ከፍተኛ ክብደት ባላቸው ግኝቶች ላይ በመደበኛነት ዑደቶችን ያሳልፋሉ፣ በእውነት ጥቅም ላይ ሊውሉ የሚችሉ ጉዳዮች ግን ክፍት ናቸው። ረቂቅ ወጪው እምነት ነው። ገንቢዎች ሊደረስባቸው የማይችሉ ወይም ቀድሞውኑ በሌላ ቦታ የተቀነሰባቸው ተጋላጭነቶችን ለማስተካከል በተደጋጋሚ ከእውነተኛ ስራ ሲታቀቡ፣ የሚቀጥለውን ማስጠንቀቂያ ችላ ማለት ይጀምራሉ፣ እና የተጋላጭነት ቅድሚያ የሚሰጠው ዋና ነጥብ፣ ትክክለኛዎቹን ነገሮች መጀመሪያ ማስተካከል፣ ዝርዝሩ በቴክኒካዊ ሁኔታ እየተሰራ ቢሆንም በጸጥታ መከሰቱን ያቆማል።

ለጥሩ ተጋላጭነት ቅድሚያ መስጠት በእርግጥ ምን ያህል ይፈልጋል

ውጤታማ የሆነ የተጋላጭነት ቅድሚያ መስጠት በቀጥታ ከመተካት ይልቅ በርካታ ምልክቶችን ከክብደቱ በላይ ይሸፍናል፡

የተደራሽነት ትንተና. ተጋላጭ የሆነው ተግባር በጥገኛ ዛፍ ውስጥ ብቻ ሳይሆን ከመተግበሪያ ኮድ የተጠራ መሆኑን ያረጋግጡ።
የብዝበዛ ተገኝነት። የሕዝብ ብዝበዛ ወይም ንቁ ዘመቻ የCVE ቤተሰብን ብቻ ሳይሆን የተወሰነውን ተጋላጭነት ኢላማ ያደረገ መሆኑን ያረጋግጡ።
በመቃኛዎች ላይ መባዛት። በሦስት የተለያዩ መሳሪያዎች የተዘገበው ተመሳሳይ መሰረታዊ ችግር ትኩረትን ለመሳብ የሚፎካከሩ ሶስት የተለያዩ የመስመር እቃዎች ተደርጎ ሊቆጠር አይገባም።
የንግድ እና የተጋላጭነት አውድ። የክብደት ግኝቶች በተጎዳው ንብረት ላይ በሚነካው ነገር እንጂ በCVE አጠቃላይ ውጤት ብቻ አይደለም።
የሚታይ ፈንጣጣ፣ ጠፍጣፋ ዝርዝር አይደለም። ከእያንዳንዱ ችግር ጀምሮ እስከ እውነተኛ ጥቅም ላይ ሊውል የሚችል ነገር ድረስ እያንዳንዱን ማጣሪያ ምን ያህል ግኝቶች እንደሚተርፉ ማየት መቻል፣ ከጥቁር ሳጥን ይልቅ ቅድሚያ መስጠትን መከላከልን ቀላል ያደርገዋል።

የመጨረሻው ነጥብ ከሚሰማው በላይ አስፈላጊ ነው። ጠፍጣፋ፣ በክብደት የተደረደረ ዝርዝር ለቡድኑ ምንም ዓይነት ሚዛን አይሰጥም፡- 40% የሚሆነው የተጠራቀመው ነገር እውነተኛ ነው ወይስ 2%? የፈንጋይ እይታ፣ ሁሉም ግኝቶች፣ ከዚያም ሊስተካከሉ የሚችሉ፣ ከዚያም ሊደረስባቸው የሚችሉ፣ ከዚያም የታወቀ ብዝበዛ ያላቸው፣ ከዚያም በዚህ አካባቢ በእውነት ጥቅም ላይ ሊውሉ የሚችሉ፣ አንድን ዝርዝር ወደ አጭር እና ሊከላከል የሚችል ይለውጠዋል።

በተጋላጭነት ቅድሚያ በሚሰጡ መሳሪያዎች ውስጥ ምን መፈለግ እንዳለበት

በተጋላጭነት ቅድሚያ አሰጣጥ ዙሪያ የተገበያዩ ሁሉም መድረኮች ከላይ የተገለጸውን ስራ በትክክል አያከናውኑም። የተጋላጭነት ቅድሚያ አሰጣጥ መሳሪያዎችን ሲገመግሙ፣ ጥቂት ጥያቄዎች ግብይትን በፍጥነት ያልፋሉ፡

ተደራሽ መሆኑን ያሳያል ወይስ ተጋላጭ የሆነ ፓኬጅ መኖሩን ብቻ ነው የሚዘግበው?
ቀደም ሲል ጥቅም ላይ የዋሉ የሶስተኛ ወገን መሳሪያዎችን ጨምሮ በስካነሮች ላይ ግኝቶችን ያባዛል ወይስ እያንዳንዱ ምንጭ የተለየ፣ ያልተያያዘ ዝርዝር ያክላል?
የደህንነት መሪ ፈንገሱን፣ ስንት ግኝቶች እንደተጣሩ እና ለምን እንደተጣሩ ማየት ይችላል? ወይስ ከበስተጀርባው ያለውን አመክንዮ በግልጽ የማይታይ የመጨረሻውን "ቅድሚያ የተሰጠው" ዝርዝር ብቻ ማየት ይችላል?
ከእውነተኛ ስጋት መረጃ የሚገኘውን ተገኝነት በአግባቡ መጠቀምን ያካትታል ወይስ ይፋ ሲደረግ የታተመውን የማይንቀሳቀስ CVSS ውጤት ብቻ?
ቅድሚያ መስጠት ከአካባቢው ስካነሮች እና ከተዋጡ የሶስተኛ ወገን መሳሪያዎች የተገኙ ግኝቶችን በእኩልነት ይመለከታል ወይስ ለሻጩው ውጤቶች ብቻ?

የመጨረሻው ጥያቄ ከሚመስለው በላይ አስፈላጊ ነው። ብዙ የተጋላጭነት ቅድሚያ የሚሰጣቸው መሳሪያዎች ራሳቸው ያገኙትን ብቻ ቅድሚያ ይሰጣሉ፣ ሁሉንም ነገር ከነሱ ይተዋሉ SAST, SCAወይም በተለየ፣ ደረጃ ባልተሰጠው ክምር ውስጥ የተቀመጡ የሶስተኛ ወገን ስካነሮች።

Xygeni ተጋላጭነትን ቅድሚያ እንዴት እንደሚይዝ

የዚጄኒ ASPM ባለአራት ደረጃ ፈንጣጣ ይተገበራል፡- ከተወላጅ ስካነሮች እና ከሶስተኛ ወገን መሳሪያዎች የተገኙ ግኝቶችን በተመሳሳይ መልኩ መውሰድ፣ በውጤቱ ክምችት ላይ የተዋሃደ ታይነትን መገንባት፣ ከዚያም ግኝቶች ወደ ገንቢ ወረፋ ከመድረሳቸው በፊት በዲባፕሊኬሽን፣ ተደራሽነት እና በAI-ተኮር አውድ በመጠቀም ማዛመድ እና ቅድሚያ መስጠት። በተግባር፣ ያ ፈንጣጣ ሊስተካከል በሚችለው፣ በመተግበሪያ ኮድ ውስጥ ሊደረስበት በሚችለው፣ በሚታወቅ ብዝበዛ ባለው እና በመጨረሻም በዚያ የተወሰነ አካባቢ ውስጥ በእውነት ሊበዘበዝ በሚችለው ሙሉ የግኝቶች ዝርዝር ውስጥ ያጥባል፣ ስለዚህ አንድ ቡድን በትክክል የሚሰራበት ዝርዝር ለዘላለም ለመፈተሽ ብቻ ሳይሆን ሙሉ በሙሉ ለመስራት የሚያስችል ትንሽ ነው።

ምክንያቱም ይህ የተጋላጭነት ቅድሚያ የሚሰጠው ንብርብር ከሶስተኛ ወገን ስካነሮች እንዲሁም ከሶስተኛ ወገን ስካነሮች የተገኙ ግኝቶችን ይመለከታል የXygeni የራሱ የሆነ የአገሬው ተወላጅ ስካነሮች፣ አንድ ቡድን መበታተን የለበትም አሁን ያለ መሳሪያ የተዋሃደ እና የተዛማጅ እይታ ለማግኘት። የቅድሚያ አሰጣጥ አመክንዮው ቀድሞውኑ ካለው ነገር በላይ ይሰራል፣ አብዛኛዎቹ የተጋላጭነት ቅድሚያ የሚሰጡ መሳሪያዎች የራሳቸውን ግኝቶች ብቻ ደረጃ ሲሰጡ ክፍት የሚተዉትን ክፍተት ይዘጋል።

የተጋላጭነት ቅድሚያ መስጠት የተበላሸው ለምንድን ነው? የከባድነት ነጥብ ብቻውን የተሳሳተውን ነገር መጀመሪያ እንዲያስተካክል የሚያደርገው ለምንድን ነው?

መነበብ ያለባቸው ልጥፎች