በአደጋ ላይ የተመሰረተ የተጋላጭነት ቅድሚያ መስጠት ምንድን ነው?

በአደጋ ላይ የተመሰረተ የተጋላጭነት ቅድሚያ መስጠት የደህንነት ግኝቶችን በመተግበሪያዎ ላይ በሚፈጥሩት አደጋ ደረጃ መስጠት ነው፣ ከነሱ ጋር በተያያዘው የክብደት ነጥብ ሳይሆን። ልዩነቱ አስፈላጊ የሆነው ከባድነት በአጭሩ የተጋላጭነት ባህሪ ስለሆነ፣ አደጋ ደግሞ በኮድዎ ውስጥ የተጋላጭነት ባህሪ ነው፡ ተጋላጭ ተግባር መቼም ቢሆን መጠራቱ፣ ማንም ሰው በዱር ውስጥ ቢጠቀምበት፣ የተጎዳው አገልግሎት ምን ያህል እንደተጋለጠ እና መፍትሄው ምን ያህል ከባድ እንደሚሆን። ማመልከቻዎ በጭራሽ የማይጠራው በጥገኝነት ውስጥ ያለ CVSS 9.8 ከሕዝብ ብዝበዛ ጋር በኢንተርኔት ላይ ካለ 6.1 ዝቅተኛ ቅድሚያ የሚሰጠው ጉዳይ ነው። ከባድነት ይህንን ሊነግርዎት አይችልም። በአደጋ ላይ የተመሰረተ ቅድሚያ መስጠት የሚቻሉ የምልክቶች ስብስብ ነው።

በአደጋ ላይ የተመሰረተ የተጋላጭነት ቅድሚያ መስጠት ምንድን ነው? የሚሰራ ፍቺ #

የምታስኬዳቸው እያንዳንዱ ስካነር ቡድንህ ሊያስተካክለው ከሚችለው በላይ ግኝቶችን ያመነጫል። ይህ የመሳሪያ ውድቀት አይደለም፣ የሂሳብ ስሌት ነው፡ ሽፋን በየዓመቱ ይጨምራል፣ የሰው ብዛት ግን አይጨምርም። ጥያቄው ከረጅም ጊዜ በፊት "ምን አገኘን" ማለት አቆመ። "ሰኞ ምን እናደርጋለን" የሚለው ነው።

በከባድነት ላይ የተመሰረተው ትራዬጅ ለዚህ መጥፎ ምላሽ ይሰጣል። ስለ ስርዓትዎ ምንም ሳያውቅ በተሰላ ቁጥር ይደረደራል፣ ይህም ማለት ከተግባራዊው ጥፋት በላይ የቲዎሬቲካል ጥፋትን ያስቀምጠዋል ማለት ነው። ቡድኖች ይህንን በፍጥነት ይማራሉ እና ዝርዝሩን ችላ በማለት ምላሽ ይሰጣሉ፣ ይህም ሦስቱ አስፈላጊ ግኝቶች በውስጡ ስለነበሩ በጣም መጥፎው ውጤት ነው።

ስለዚህ የሥራው ትርጉም፡ በአደጋ ላይ የተመሰረተ የተጋላጭነት ቅድሚያ መስጠት ማለት ስለ ብዝበዛ፣ ተደራሽነት፣ ተጋላጭነት እና የማስተካከያ ወጪ አውዳዊ ምልክቶችን በመጠቀም ግኝቶችን የማዘዝ ልምምድ ሲሆን ይህም የወረፋው አናት አንድ አጥቂ በዚህ ስርዓት ላይ ምን ሊያደርግ እንደሚችል ከማንፀባረቅ ይልቅ ውጤቱን የሚያንፀባርቅ ነው።

ሽግግሩ የተጋላጭነት ባህሪን ከማሳየት ወደ የተጋላጭነት ባህሪ እና እንዲሁም መተግበሪያዎን ያካትታል። ተመሳሳይ CVE፣ እንደ መኖሪያ ቦታው ይለያያል።

በአደጋ ላይ የተመሰረተ የተጋላጭነት ቅድሚያ መስጠት ትርጉም፣ በአራት ምልክቶች #

ለአደጋ ላይ የተመሰረተ የተጋላጭነት ቅድሚያ መስጠት ትርጉም በጣም ግልፅ የሆነው መንገድ ወደ ከባድነት የሚጨመረውን መመልከት ነው፣ ምክንያቱም ከባድነት ራሱ አይጠፋም። ከብዙዎች መካከል አንድ ግብዓት ይሆናል።

• ዳግም-ተደራሽነት. ተጋላጭ ተግባር በእርግጥ ከኮድዎ የተጠራ ነው? ተጋላጭ የሆነ ፓኬጅ ተጋላጭ የሆነ መተግበሪያ አይደለም። ተደራሽ የሆነ ትንተና የጥሪ መንገዱን ይከታተላል እና ያሳየዋል፣ ይህም “400 ወሳኝ የጥገኝነት ግኝቶች አሉን” የሚለውን ወደ በጣም አጭር የሚፈጽሙ ዝርዝር ይቀይረዋል።
• ብዝበዛ. በእውነተኛው ዓለም ይህንን የሚጠቀም ሰው አለ? EPSS በሚቀጥሉት 30 ቀናት ውስጥ የብዝበዛ እድልን ይገምታል፣ CISየሚታወቅ የብዝበዛ ተጋላጭነት ካታሎግ በዱር ውስጥ ቀድሞውኑ ጥቅም ላይ የዋለውን ይመዘግባል፣ እና የህዝብ ብዝበዛ ተገኝነት አንድ አጥቂ ምን ያህል ስራ መስራት እንዳለበት ይነግርዎታል። እነዚህ የአጥቂው እይታ ናቸው፣ እና በየቀኑ ይንቀሳቀሳሉ ሲቪኤስኤስ ውጤቱ ከተመደበበት ቀን ጀምሮ ቋሚ ሆኖ ይቆያል።
• የንግድ አውድ። የተጎዳው ንብረት ምን ያህል ተጋላጭ ነው፣ እና ምን ያደርጋል? ኢንተርኔትን የሚመለከት የክፍያ አገልግሎት እና ተመሳሳይ ግኝት ያለው ውስጣዊ የሪፖርት ማድረጊያ መሳሪያ ተመሳሳይ አደጋ አይኖራቸውም፣ እና የትኛው የትኛው እንደሆነ የሚያውቀው ድርጅትዎ ብቻ ነው።
• የማካካሻ ወጪ። ጥገናው ምን ያህል ከባድ ነው፣ እና ከተተገበረ ምን ይሰበራል? ቀላል የሆነ የመጠምዘዝ እብጠቶች እና ማጠናቀርን የሚሰብር ዋና የስሪት ማሻሻያ የተለያዩ ናቸውcisቅድሚያ የሚሰጠው ነገር ጥረትን ችላ የሚል ማንም ሰው ሩጫውን ሊያቅድ የማይችል ወረፋ ይፈጥራል።

በአጠቃላይ ሲታይ፣ በአደጋ ላይ የተመሰረተ የተጋላጭነት ቅድሚያ መስጠት ማለት አብዛኛዎቹ ቡድኖች የሚገናኙበት ማለት ነው፡ ይህ ምን ያህል መጥፎ ሊሆን እንደሚችል መጠየቅ አቁም፣ እዚህ ምን ያህል መጥፎ እንደሆነ እና ለማቆም ምን ያህል ወጪ እንደሚጠይቅ መጠየቅ ጀምር።

በደህንነት እና በኢንጂነሪንግ መካከል ባለው ውይይት ውስጥ ተግባራዊ ልዩነቱ ይታያል። በከባድ ሁኔታ የተደረደረ ትኬት "ይህ ወሳኝ ነው፣ አስተካክለው" ይላል። አደጋ ላይ የወደቀ ትኬት "ይህ ከቼክ መውጫ መቆጣጠሪያዎ ሊደረስበት ይችላል፣ የህዝብ ብዝበዛ አለ፣ እና ጥገናው የመጠገን እክል ነው" ይላል። ከእነዚህ ውስጥ አንዱ ብቻ ያለ ክርክር እርምጃ ይወሰዳል።

ይህ አሁን ኦፊሴላዊ አቋም ነው፣ ጥሩ ልምምድ ብቻ ሳይሆን #

በአደጋ ላይ የተመሰረተ የተጋላጭነት ቅድሚያ መስጠት በክብደት ከመስተካከል ይልቅ ውስብስብ አማራጭ ነበር። ይህ መሰረታዊ እየሆነ መጥቷል።

ኤስኤስቪሲበካርኔጊ ሜሎን የሶፍትዌር ኢንጂነሪንግ ተቋም የተዘጋጀ እና በ... CISA፣ ውጤቱን በ de ይተካዋልcisበብዝበዛ ሁኔታ፣ በራስ-ሰርነት፣ በቴክኒክ ተጽዕኖ እና በተልዕኮ ስርጭት ላይ በመመስረት ከቁጥር ይልቅ እርምጃን የሚያወጣ የአዮን ዛፍ። እና በሰኔ 2026 ዓ.ም. CISየተሰጠ ኤ አስገዳጅ የአሠራር መመሪያ 26-04, BOD 22-01ን የሚተካ ሲሆን ይህም የፌዴራል ኤጀንሲዎች ለዝማኔዎች ቅድሚያ እንዲሰጡ የሚያዝዘው በንብረት መጋለጥ፣ የKEV ሁኔታ፣ የብዝበዛ አውቶሜሽን እና የቴክኒክ ተጽእኖን ብቻ ሳይሆን ክብደትን በመጠቀም ነው።

ለሌሎች ሰዎች የሚሰጠው ምልክት ግልጽ ነው። የተበደሉ ተጋላጭነቶችን ስልጣን ያለው ካታሎግ የሚያቆየው ኤጀንሲ የራሱን ኤጀንሲዎች በሲቪኤስኤስ እንዲደረደሩ አይናገርም። አሁንም ይህን እያደረጉ ከሆነ፣ የራሱ ጠባቂዎች ያለፈበትን ዘዴ እየተጠቀሙ ነው።

የቅድሚያ ፈንጋይ እንዴት ይሰራል? #

ምልክቶች በራሳቸው ምንም ነገር ቅድሚያ አይሰጡም። በሰንሰለት መታሰር አለባቸው፣ ስለዚህ እያንዳንዱ ቀጣዩ ግምት ውስጥ የሚገባውን ያጠባል። ያ ሰንሰለት ምንድን ነው? ዚጌኒ የቅድሚያ ፈንጣጣ ይጠራል።

ፈንጣጣ ግኝቶችን እስከ ስምንት የተደረደሩ ደረጃዎች ድረስ ያካሂዳል። አስቀድመው የተዋቀሩት ተደራሽ፣ ብዝበዛ፣ ሊስተካከሉ የሚችሉ፣ የAI ትሪጅ ውጤት እና የማስተካከያ አጣዳፊነት ናቸው፣ እና እንደ የንግድ ወሳኝነት ወይም ተጋላጭነት ያሉ የራስዎን ንብረቶች ማከል ይችላሉ። ከሳጥኑ ውጭ ያሉ ፈንጣጣዎች እያንዳንዱን የአደጋ ቤተሰብ ይሸፍናሉ፣ እና ከእያንዳንዱ ደረጃ ምን እንደተረፈ ለማየት ማንኛውንም ሰንጠረዥ በፈንጣጣ ደረጃ ማጣራት ይችላሉ። በርካታ መቶ ግኝቶች ወረፋ እውነተኛ፣ ሊደረስባቸው የሚችሉ፣ ሊበዘበዙ የሚችሉ እና ለዚህ ሩጫ ዋጋ ያላቸው ጥቂት ናቸው።

ከእነዚህ ደረጃዎች ውስጥ ሁለቱ የሚመጡት ከ የAI ትሪያጅበራስዎ ኮድ ውስጥ ላሉ ግኝቶች፣ AI Triage ግኝቱን በአውድ ውስጥ፣ ለስታቲክ ትንተና የኮድ ፍሰት ወይም ለDAST የHTTP ማስረጃን ያነባል፣ እና እውነተኛ አዎንታዊ፣ የውሸት አዎንታዊ ወይም የፍላጎት ግምገማ ፍርድን ይመልሳል፣ እንዲሁም ከአስቸኳይ ወደ ኋላ መዝገብ የማስተካከያ አጣዳፊነት እና ከቀላል ወደ ከባድ የማስተካከያ ውስብስብነት ይመልሳል። እያንዳንዱ ከበስተጀርባው ካለው ምክንያት ጋር ይመጣል፣ እያንዳንዱ ውጤት በAI የተፈጠረ ተብሎ ይሰየማል፣ እና ቡድንዎ ማንኛውንም ፍርድ ሊሽረው ይችላል። ለክፍት ምንጭ ግኝቶች ዲዛይኑ ሆን ተብሎ የተለየ ነው፡ የAI ፍርድ የለም፣ ምክንያቱም ተደራሽ መሆን ያንን ስራ በተሻለ ሁኔታ ይሰራል። የ AI Triage በምትኩ አጣዳፊነት እና ውስብስብነት አስተዋጽኦ ያደርጋል።

ነባር ቁልል ላላቸው ቡድኖች በጣም አስፈላጊው ክፍል፡ ተመሳሳይ ፈንጣጣዎች እና ተመሳሳይ መለያየት ከሌሎች ስካነሮች ለተወሰዱ ግኝቶች ተፈጻሚ ይሆናሉ፣ ለXygeni ብቻ አይደለም። ከ40 ወይም ከዚያ በላይ መሳሪያዎች እና ቅርጸቶች የተገኙ ግኝቶች፣ ማንኛውንም የSARIF ውጤትን ጨምሮ፣ በተመሳሳይ ወረፋ ውስጥ ተባዝተው ደረጃ ተሰጥቷቸዋል። የአሁኑ መሳሪያዎችዎ መስራታቸውን ይቀጥላሉ። ቅድሚያ የሚሰጠው በመሳሪያ መሆን ያቆማል።

ሊለካ የሚችል ውጤት፣ በቃላት ይህን ያደረጉት ደንበኞች፦ በባንኮ ሰርፊናንዛ የሚገኙ የደህንነት ግኝቶችን ከ100 በላይ በሆኑ ማከማቻዎች ላይ በተከታታይ ትንተና በማድረግ መለየት፣ ቅድሚያ መስጠት እና መመደብ በ90% ያነሰ ጊዜ እና በፊንቶኒክ ውስጥ የተጋላጭነት ቅድሚያ መስጠት ጊዜ በ90% ቀንሷል።

ማሳያ አሳይ እና የራስዎን የተረፈ ገንዘብ ይዘው ይምጡ።

ተደጋጋሚ ጥያቄዎች፡- በአደጋ ላይ የተመሰረተ የተጋላጭነት ቅድሚያ መስጠት፣ በአጭሩ መልሶች #