مقدمة: إدارة الثغرات الأمنية القائمة على المخاطر بموجب قانون المرونة السيبرانية
تُدرك الفرق الحديثة بالفعل أن إصلاح جميع الثغرات الأمنية أمرٌ مستحيل. المهم حقًا هو إصلاح الثغرات المناسبة. لهذا السبب إدارة الثغرات الأمنية القائمة على المخاطر أصبح هذا النهج هو المفضل لدى فرق DevSecOps. ومع ذلك، في الاتحاد الأوروبي، لم يعد هذا مجرد أفضل الممارسات. قانون المرونة السيبرانية يفرض ذلك التزامات قانونية ملموسة، خاصة عندما تتضمن البرامج مشكلات مدرجة في CISكتالوج الثغرات الأمنية المستغلة المعروفة.
في هذا السياق الجديد، يتحول تحديد أولويات الثغرات الأمنية من خيار أمني إلى متطلب امتثال. يجب على الفرق إثبات فهمها للثغرات الأمنية التي يتم استغلالها بنشاط وكيفية تحديد أولويات الإصلاح.
إدارة الثغرات الأمنية القائمة على المخاطر والثغرات الأمنية المستغلة المعروفة
يركز نظام إدارة الثغرات الأمنية القائم على المخاطر على مدى التعرض الفعلي بدلاً من مجرد خطورته. وبدلاً من التعامل مع جميع الثغرات الأمنية المصنفة (CVEs) على قدم المساواة، تُعطي الفرق الأولوية بناءً على الاستغلال، وسهولة الوصول، والتأثير.
هذا هو المكان نقاط الضعف المستغلة المعروفة يلعب دورًا محوريًا. عندما يظهر ثغرة أمنية (CVE) في CISكتالوج الثغرات الأمنية المستغلة المعروفةوهذا يؤكد أن المهاجمين يستخدمونه بالفعل في بيئات حقيقية. وهذه الإشارة تحمل وزناً أكبر بكثير من مجرد نتيجة نظرية.
إذا كنت ترغب في شرح أعمق لماهية المركبات الكهربائية ذات الطاقة المنخفضة وكيفية التعرف عليها، يمكنك قراءة منشورنا السابق. الثغرات الأمنية المعروفة المستغلة: ما الذي يجب إصلاحه أولاًفي هذه المقالة، نركز على كيفية ملاءمة المركبات الكهربائية ذات الطاقة العالية لنماذج الامتثال وتحديد الأولويات في ظل قانون المرونة السيبرانية.
ما يتطلبه قانون المرونة السيبرانية فعلاً
استخدم قانون المرونة السيبرانية يفرض الاتحاد الأوروبي التزامات إلزامية في مجال الأمن السيبراني على المنتجات التي تحتوي على عناصر رقمية والمباعة فيه. وذلك وفقاً للوثائق الرسمية للاتحاد الأوروبي:
- https://www.european-cyber-resilience-act.com/
- https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act
يجب على المصنّعين:
- تحديد ومعالجة الثغرات الأمنية طوال دورة حياة المنتج
- منع شحن البرامج باستخدام نقاط الضعف المستغلة المعروفة
- قم بتطبيق إجراءات المعالجة في الوقت المناسب بمجرد معرفة الاستغلال.
- الاحتفاظ بأدلة على معالجة الثغرات الأمنيةcisأيونات (+H)
بمعنى آخر، بمجرد ظهور ثغرة أمنية في CISكتالوج الثغرات الأمنية المستغلة المعروفةإن تجاهل ذلك يخلق كل من المخاطر الأمنية والتنظيمية.
ما هو قانون المرونة السيبرانية (CRA)؟
استخدم قانون المرونة السيبرانية هو تنظيم أوروبي يحدد متطلبات الأمن السيبراني الإلزامية للبرمجيات والمنتجات الرقمية المباعة في أوروبا. ويُلزم البائعين بإدارة الثغرات الأمنية طوال دورة حياة المنتج وتجنب إصدار برامج تحتوي على ثغرات أمنية. نقاط الضعف المستغلة المعروفة.
قائمة التحقق من جاهزية CRA لتحديد أولويات الثغرات الأمنية
| متطلبات | ما تتوقعه وكالة الإيرادات الكندية | أفضل الممارسات للفرق |
|---|---|---|
| استغلال الوعي | منع شحن البرامج التي تحتوي على ثغرات أمنية معروفة ومستغلة | مطابقة النتائج تلقائيًا مع CISكتالوج الثغرات الأمنية المستغلة المعروفة |
| تحديد الأولويات بناءً على المخاطر | ركز على نقاط الضعف التي تشكل خطراً أمنياً حقيقياً | اجمع بين المركبات الكهربائية الأساسية، ونظام دعم القرار الإلكتروني، وإمكانية الوصول، والتعرض للأصول |
| المعالجة في الوقت المناسب | قم بتطبيق الإصلاحات دون تأخير غير مبرر بمجرد معرفة الثغرة الأمنية. | حدد اتفاقيات مستوى الخدمة (SLA) الخاصة بالإصلاح الفوري للمركبات الرئيسية القابلة للوصول، وقم بتطبيقها في CI/CD |
| المراقبة المستمرة | معالجة الثغرات الأمنية طوال دورة حياة المنتج | قم بإجراء عمليات مسح مستمرة على التعليمات البرمجية والتبعيات و pipelines |
| ضوابط الإصدار | تجنب طرح منتجات تحتوي على ثغرات يتم استغلالها بشكل فعال | امنع عمليات الدمج أو النشر عندما تؤثر قيم المفاتيح الرئيسية على التعليمات البرمجية التي يمكن الوصول إليها |
| Decisإمكانية تتبع الأيونات | أثبت كيف يمكن أن يؤدي الضعف إلىcisتم إنتاج الأيونات | احتفظ بسجلات التدقيق للكشف عن المشكلات وتحديد أولوياتها واتخاذ الإجراءات التصحيحية. |
| تكامل المطورين | يجب ألا تؤدي الإجراءات الأمنية إلى تعطيل سير العمل التطويري | تحديد أولويات السطح مباشرة في pull requests و CI pipelines |
| مسؤولية دورة الحياة | الحفاظ على الأمن بعد الإصدار | تتبع تغييرات KEVs و EPSS للإصدارات المشحونة |
لماذا تُعدّ المركبات الكهربائية ذات المفتاح أساسية للامتثال لقانون الإيرادات الكندية؟
استخدم CISكتالوج الثغرات الأمنية المستغلة المعروفة تُدرج هذه القائمة الثغرات الأمنية التي يستغلها المهاجمون بالفعل في بيئات حقيقية. بعبارة أخرى، تُزيل هذه القائمة الغموض عن تحديد الأولويات.
بدلاً من السؤال "هل يمكن استغلال هذا؟"، يجب على الفرق الآن طرح سؤال أكثر مباشرة:
"هل يتم استغلال هذا الأمر بالفعل، وهل نقوم بشحنه على أي حال؟"
بموجب قانون الأمن السيبراني، يُعدّ هذا التمييز ذا أهمية قانونية. ونتيجةً لذلك، تُصبح الثغرات الأمنية الرئيسية (KEVs) أقوى مُحفّز لاتفاقيات مستوى الخدمة (SLAs) الخاصة بالمعالجة ومنع إصدار البرامج. وفي هذا السياق، تتوافق إدارة الثغرات الأمنية القائمة على المخاطر بشكل طبيعي مع المتطلبات التنظيمية.
تخدم أنظمة CVSS وEPSS وKEVs أغراضًا مختلفة.
لكي تتمكن الفرق من تحديد الأولويات بشكل صحيح، يجب عليها أولاً أن تفهم ما تمثله كل إشارة في الواقع.
- CVSS يُظهر التأثير المحتمل
- إبس تقديرات احتمالية الاستغلال
- CISكتالوج الثغرات الأمنية المستغلة المعروفة يؤكد حدوث الاستغلال بالفعل
قد تُضلل كل مقياس على حدة، ولكن عندما تستخدمها الفرق مجتمعة، فإنها تُوفر سياقًا أوضح بكثير. ولهذا السبب، يُشكل دمج هذه المؤشرات أساسًا لإدارة فعّالة للثغرات الأمنية القائمة على المخاطر.
إدارة الثغرات الأمنية القائمة على المخاطر في الممارسة العملية
من الناحية العملية، يتبع نموذج تحديد الأولويات القائم على المخاطر تدفقًا واضحًا وقابلًا للتكرار.
- اكتشاف الثغرات الأمنية في التعليمات البرمجية والتبعيات
- تحقق من المطابقات ضد CISكتالوج الثغرات الأمنية المستغلة المعروفة
- تقييم احتمالية الاستغلال باستخدام EPSS
- تحقق من إمكانية الوصول في تطبيقك أو pipeline
- تطبيق قواعد المعالجة بناءً على التعرض ودور المنتج
ونتيجة لذلك، تتوقف الفرق عن التعامل مع قوائم الثغرات الأمنية كقوائم مهام ثابتة وتبدأ في التعامل معها كعناصر أمنية ملموسةcis أيونات (+H₃O).
نماذج تحديد الأولويات المختلفة التي تستخدمها الفرق اليوم
لا تعطي جميع الفرق الأولوية للمخاطر بنفس الطريقة. بشكل عامنرى ثلاثة نماذج شائعة في البيئات الحقيقية.
1. نموذج الأولوية للشدة
تقوم الفرق بإصلاح المشكلات بناءً على نظام CVSS فقط.
هذا النموذج سهل التطبيق. ومع ذلك، فإنه يُحدث ضوضاء ولا يفي بمتطلبات قانون المرونة السيبرانية.
2. نموذج قائم على الاحتمالية
تعتمد الفرق على نظام EPSS للتنبؤ بما قد يستغله المهاجمون لاحقًا.
يُحسّن هذا النهج التركيز. ومع ذلك، فإنه لا يزال يغفل عن الثغرات التي يستغلها المهاجمون بالفعل.
3. نموذج واعٍ للاستغلال
تجمع الفرق بين نظام EPSS و CISقائمة بالثغرات الأمنية المعروفة والمستغلة والسياق التقني.
في المقابل، يدعم هذا النموذج بشكل أفضل إدارة الثغرات الأمنية القائمة على المخاطر ويتوافق مباشرة مع التزامات قانون إعادة الاستثمار المجتمعي.
كيف تُفعّل شركة Xygeni عملية تحديد أولويات الجاهزية لقانون إعادة الاستثمار المجتمعي؟
تساعد شركة Xygeni الفرق على تحويل اللوائح إلى سير عمل يومي.
عوضا عن الاعتماد فقط على dashboards، Xygeni تفرض decisأيونات تحديداً حيث تحدث تغييرات الكود. نتيجة لتصبح عملية تحديد الأولويات تلقائية ومتسقة.
تشمل القدرات الرئيسية ما يلي:
- الارتباط التلقائي مع CISكتالوج الثغرات الأمنية المستغلة المعروفة
- تقييم احتمالية الاستغلال بناءً على نظام EPSS
- تحليل إمكانية الوصول لتأكيد التعرض الفعلي
- Guardrails يتم دمج هذا الجزء أو تحريره عندما تؤثر قيم المفاتيح الرئيسية على التعليمات البرمجية التي يمكن الوصول إليها
- المعالجة الآلية من خلال نظام آمن pull requests
- سجلات تدقيق كاملة لإثبات ذلك قانون المرونة السيبرانية الالتزام
باختصار، لا تكتفي الفرق برؤية المخاطر فحسب، بل تتصرف بناءً عليها بطريقة قابلة للتكرار والتدقيق.
مثال من مطور إلى مطور: كيف يعيق إصدارًا
تخيل أن تحديثًا للتبعيات يُدخل ثغرة أمنية (CVE).
- تظهر الثغرة الأمنية في CISكتالوج الثغرات الأمنية المستغلة المعروفة
- يكتشف جهاز Xygeni ذلك أثناء pull request
- يؤكد تحليل إمكانية الوصول أن مسار التعليمات البرمجية يتم تنفيذه.
- Guardrails حظر الدمج تلقائيًا
- يقترح البرنامج الآلي ترقية آمنة ويجري اختبارات.
يقوم المطور بحل المشكلة ضمن نفس سير العمل. ويبقى الإصدار متوافقاً مع المعايير. ولا حاجة لعقد اجتماعات.
بمعنى آخر، هذه إدارة الثغرات الأمنية القائمة على المخاطر والتي يتم تطبيقها بالضبط حيث يعمل المطورون بالفعل.
لماذا يُعد هذا الأمر مهمًا بما يتجاوز مجرد الامتثال؟
على الرغم من أن قانون المرونة السيبرانية أدى هذا التحول إلى فوائد تتجاوز ذلك.
الفرق التي تعطي الأولوية لاستخدام KEVs وEPSS والسياق:
- تقليل إجهاد التنبيه
- تقصير وقت المعالجة
- تجنب استخدام رقع الطوارئ
- قم بشحن برامج أكثر أمانًا بثقة
بشكل عام، يصبح الامتثال نتيجة طبيعية للقيام بالأمن بالطريقة الصحيحة.
أفكار ختامية: هيئة الإيرادات الكندية تجعل الإدارة القائمة على المخاطر إلزامية
استخدم قانون المرونة السيبرانية يُضفي هذا الطابع الرسمي على ما تعلمته فرق الأمن بالفعل من خلال التجربة والخطأ. فليست كل الثغرات الأمنية متساوية في الأهمية.
استخدم CISكتالوج الثغرات الأمنية المستغلة المعروفة يُحدد هذا النظام الأدوات التي يستخدمها المهاجمون اليوم، ويتنبأ بما سيستخدمونه لاحقًا. ويُبين السياق ما إذا كان ذلك يؤثر عليك.
يشكلون معاً العصر الحديث إدارة الثغرات الأمنية القائمة على المخاطر.
تساعد Xygeni الفرق على تطبيق هذا النموذج باستمرار وبشكل تلقائي وبطريقة يقبلها المطورون بالفعل.
عن المؤلف
كتب بواسطة فاطمة Said، مدير تسويق المحتوى المتخصص في أمن التطبيقات في زيجيني للأمن.
تقوم فاطمة بإنشاء محتوى بحثي صديق للمطورين حول AppSec، ASPMوDevSecOps. تُترجم المفاهيم التقنية المعقدة إلى رؤى واضحة وقابلة للتنفيذ، تربط ابتكارات الأمن السيبراني بتأثير الأعمال.
