يُعدّ تقييم نقاط الضعف والثغرات الأمنية (CVE) وتأمينها أمرًا بالغ الأهمية لحماية تطبيقات البرامج الحديثة من التهديدات السيبرانية الناشئة. يتيح تحديد نقاط الضعف وتحديد أولوياتها بفعالية للمؤسسات معالجة المخاطر الأكثر خطورة أولًا. يوفر تقييم نقاط الضعف والثغرات الأمنية (CVE) standardطريقة موحدة لتصنيف الثغرات الأمنية حسب شدتها، بينما تضمن ممارسات أمان CVE إدارة هذه المخاطر وتخفيفها بشكل صحيح.
في 2025، تم نشر 48,185 ثغرة أمنية متعلقة بالجرائم الإلكترونية. شهدت الثغرات الأمنية زيادة بنسبة 20.6% مقارنةً بعام 2024 الذي بلغ فيه عددها 39,962 ثغرة، وصُنّفت 38% منها ضمن فئتي الخطورة العالية أو الحرجة. ومع هذا النمو السريع في حجم الثغرات، لم يعد امتلاك نظام قوي لتقييم الثغرات الأمنية واستراتيجية أمنية فعّالة خيارًا، بل أصبح ضرورة حتمية.
لا تكمن المشكلة الأكبر في حجم البيانات فحسب، بل في عجز التحليلات التقليدية عن مواكبة هذا الحجم. فقد أضافت قاعدة بيانات الثغرات الأمنية الوطنية (NVD) التابعة للمعهد الوطني للمعايير والتكنولوجيا (NIST) معلوماتٍ عن ما يقارب 42,000 ثغرة أمنية (CVE) في عام 2025، بزيادة قدرها 45% عن أي عام سابق، إلا أن ذلك لم يكن كافيًا لمواكبة تزايد عدد الثغرات المُبلغ عنها. ونتيجةً لذلك، لم تحصل سوى 28% من الثغرات الأمنية المُعلنة حديثًا في عام 2025 على معلوماتٍ كاملة من قاعدة بيانات الثغرات الأمنية الوطنية (درجة CVSS، وتصنيف CWE، وبيانات CPE)، بانخفاضٍ حاد عن نسبة 46.2% في عام 2024. تُبرز هذه الأرقام الحاجة المُلحة للمؤسسات إلى وضع تدابير أمنية خاصة بها لحماية بيانات الثغرات الأمنية، بدلًا من الاعتماد فقط على بيانات قاعدة بيانات الثغرات الأمنية الوطنية التي تصل في الوقت المناسب.
ما هو تسجيل نقاط CVE ولماذا هو مهم لأمن CVE؟
CVE هي اختصار لـ Common Vulnerabilities and Exposures (نقاط الضعف والتعرضات الشائعة)، وهي قائمة بنقاط ضعف الأمن السيبراني المُعلنة علنًا. لكل مُدخل في قائمة CVE مُعرّف فريد يُسمى CVE ID، والذي يُشير تحديدًا إلى ثغرة أمنية. تُدير شركة MITRE هذا النظام. standardتحديد كيفية تحديد الثغرات الأمنية وفهرستها. هذا يضمن استخدام جميع العاملين في مجال الأمن السيبراني للمرجع نفسه عند مناقشة تهديدات محددة.
يتضمن تسجيل نقاط مكافحة التطرف العنيف تقييم كل إدخال من عناصر مكافحة التطرف العنيف وتعيين درجة رقمية بناءً على مدى خطورته. تساعد هذه النتيجة المؤسسات على تحديد مستوى الأولوية لمعالجة الثغرة الأمنية.
يُمكّنهم هذا من تخصيص الموارد بفعالية والحد من المخاطر المحتملة. يُقيّم نظام تقييم CVE عوامل مثل سهولة الاستغلال. كما يُراعي تأثيره على السرية والنزاهة والتوافر (يُشار إليه غالبًا باسم "ثالوث وكالة المخابرات المركزية"). بالإضافة إلى ذلك، يُقيّم النظام إمكانية المعالجة.
كيف تعمل NVD وقائمة MITRE CVE وتسجيل نقاط CVE معًا
فهم العلاقة بين قاعدة بيانات الضعف الوطنية (NVD)، و قائمة ميتريويعد أمن CVE ضروريًا لفهم كيفية إدارة الثغرات الأمنية في نظام الأمن السيبراني.
تبدأ قائمة MITRE CVE بتحديد نقاط الضعف وتعيين معرف CVE لها. ومع ذلك، توفر هذه القائمة المعلومات الأساسية فقط حول كل ثغرة أمنية. NVD، التي تديرها المعهد الوطني لل Standardالمعهد الوطني للمعايير والتكنولوجيا (NIST)، يثري هذه البيانات من خلال توفير الأوصاف التفصيلية والمراجع، والأهم من ذلك، تسجيل نقاط مكافحة التطرف العنيف من خلال نظام تسجيل نقاط الضعف المشتركة (CVSS).
يعد NVD موردًا رئيسيًا لأنه بمثابة مستودع لـ standardبيانات الثغرات الأمنية القائمة على S، والتي تساعد المؤسسات على فهم تأثير الثغرة الأمنية بشكل أشمل. لا يقتصر NVD على درجات CVSS فحسب، بل يتضمن أيضًا معلومات متعمقة مثل:
- أوصاف مفصلة لكل ثغرة أمنية، بما في ذلك التفاصيل الفنية والسياق الذي يمكن من خلاله استغلال الثغرة الأمنية.
- مقاييس التأثير والتي توضح كيف يمكن أن تؤثر الثغرة الأمنية على أجزاء مختلفة من نظام المؤسسة.
- معلومات العلاج مثل الروابط إلى التصحيحات والنصائح وعمليات التخفيف.
نظرًا لطبيعته الشاملة، يعد NVD المصدر الذي تلجأ إليه المؤسسات عندما تحتاج إلى تقييم التأثير الواقعي لثغرة أمنية وفهم كيفية معالجتها بفعالية.
CVSS: نظام تسجيل نقاط CVE الأكثر شيوعًا في مجال الأمن السيبراني
الطريقة الأكثر استخدامًا على نطاق واسع لتسجيل نقاط CVE هي نظام تسجيل نقاط الضعف المشتركة (CVSS)، يتم صيانتها وتطويرها بواسطة منتدى فرق الاستجابة للحوادث والأمن (FIRST). يوفر CVSS standardطريقة أكثر دقة لقياس شدة الثغرات الأمنية، مما يجعل من الأسهل على المؤسسات تحديد أولويات الثغرات التي يجب معالجتها أولاً.
على وجه التحديد، يُقيّم نظام CVSS نقاط الضعف على مقياس من 0 إلى 10. هنا، يُمثل 0 انعدام المخاطر، بينما يُمثل 10 أعلى مستوى خطورة. علاوة على ذلك، يعتمد التقييم على أربع مجموعات مقاييس رئيسية:
النتيجة الأساسية:
ويعكس هذا الخصائص الجوهرية للثغرة الأمنية التي تظل ثابتة بمرور الوقت وعبر بيئات المستخدم. تأخذ النتيجة الأساسية في الاعتبار عوامل مثل قابلية الاستغلال. يشير هذا إلى مدى سهولة استغلال الثغرة الأمنية. كما يقوم بتقييم التأثير على السرية والنزاهة والتوافر.
النتيجة الزمنية:
يؤدي هذا إلى ضبط النتيجة الأساسية بناءً على العوامل التي تتغير بمرور الوقت، مثل ما إذا كان الإصلاح متاحًا أو ما إذا كان استغلال الثغرات قيد الاستخدام بشكل نشط. تتضمن المقاييس الزمنية نضج كود الاستغلال ومستوى المعالجة وثقة التقرير.
النتيجة البيئية:
يتيح ذلك للمؤسسات تخصيص درجة CVSS لتعكس تأثير الثغرة الأمنية داخل بيئتها المحددة. ويأخذ في الاعتبار عوامل مثل أهمية النظام المتأثر والأضرار الجانبية المحتملة.
مجموعة المقاييس التكميلية:
تم تقديمه في إصدار CVSS 4.0، ويوفر سياقًا إضافيًا يمكن أن يؤثر على تقييم المخاطر الإجمالي. يشمل ذلك اعتبارات مثل متطلبات السلامة، والمقاييس القابلة للأتمتة (التي تقيس مدى تأثير الأتمتة على الاستغلال)، والخصائص الفريدة التي قد لا تندرج ضمن مجموعات المقاييس الأخرى. على الرغم من أن النتيجة الإجمالية لـ CVSS لا تشمل هذه المقاييس، إلا أنها توفر رؤى قيّمة. ونتيجة لذلك، فهي تساعد المؤسسات على اتخاذ قرارات أكثر استنارة.cisأيونات حول إدارة الثغرات الأمنية.
الاصدار الاخير، سي في إس إس v4.0، يُقدّم هذا الإصدار هذه التحسينات لتحسين دقة وسهولة استخدام تقييم الثغرات الأمنية. من خلال تحسين المقاييس، يُمكّن CVSS v4.0 من رصد تعقيد الثغرات الأمنية وسياقها بفعالية أكبر. هذا يضمن أن تُقدّم الدرجات تحليلًا أكثر دقة.cisانعكاس المخاطر الفعلية.
مثال من العالم الحقيقي: CVE-2021-44228 (Log4Shell)
لتوضيح كيفية عمل نقاط CVE عمليًا، دعنا نلقي نظرة على CVE-2021-44228، المعروف باسم Log4Shell. هذا ثغرة أمنية في مكتبة Apache Log4j 2 يسمح بتنفيذ التعليمات البرمجية عن بعد (RCE). ونتيجة لذلك، يمكن للمهاجم السيطرة على النظام المتأثر.
- معرف مكافحة التطرف العنيف: CVE-2021-44228
- النتيجة الأساسية لـ CVSS: 10.0 (حرج)
- ناقل الهجوم: الشبكة (N) – قابلة للاستغلال عن بعد.
- تعقيد الهجوم: منخفض (L) - سهل الاستغلال.
- الامتيازات المطلوبة: لا شيء (N) - لا توجد امتيازات مطلوبة.
- تفاعل المستخدم: لا شيء (N) – لا يلزم تدخل المستخدم.
- مجال العمل تم التغيير (C) – يؤثر على الموارد خارج نطاقه الأصلي.
- تأثير السرية والنزاهة والتوافر: عالي (H) - تنازل كامل عن السرية والنزاهة والتوافر.
قدمت NVD درجة CVSS تبلغ 10.0، مما يشير إلى أعلى مستوى من الخطورة. إن الطبيعة الواسعة النطاق لهذه الثغرة الأمنية، بالإضافة إلى سهولة استغلالها، جعلت منها أولوية قصوى للمعالجة في جميع أنحاء العالم.
التحديات في تقييم CVE وتأثيرها على أمن CVE
وعلى الرغم من أنه تم تأسيس ما يخص نقاط الضعف والتعرضات الشائعة (CVE) يقدم النظام standardعلى الرغم من أن نظم المعلومات ليست وسيلة فعالة لتحديد نقاط الضعف وتتبعها، إلا أن العديد من القيود تؤثر على فعاليتها في إدارة المخاطر.
CVE-2021-44228 (Log4Shell) يوضح هذه التحديات:
- تفاصيل محدودة عن الاستغلال: CVE-2021-44228 يوفر معرفًا فريدًا ولكنه يفتقر إلى تفاصيل شاملة حول كيفية استغلال المهاجمين له. على الرغم من أن الخبراء يعتبرونه أمرًا بالغ الأهمية، إلا أن إدخال CVE لا يشرح بشكل كامل الأساليب الدقيقة التي يستخدمها المهاجمون أو التكوينات المحددة التي تزيد من نقاط الضعف. وتترك هذه الفجوة المنظمات غير متأكدة بشأن المخاطر الواقعية.
- التباين في التقارير: CVE تختلف السجلات بشكل كبير في المحتوى والجودة. بعض، مثل CVE-2021-44228، تقدم أوصافًا تفصيلية ومعلومات فنية، بينما يظل البعض الآخر موجزًا أو غير كامل. يمثل هذا التناقض تحديًا للمؤسسات عندما تحاول تقييم مخاطر الثغرة الأمنية استنادًا فقط إلى دخولها في مجال مكافحة التطرف العنيف.
- عدم وجود صلة بالسياق: CVE تستخدم الإدخالات standardتنسيق مُعدّل قد لا يعكس السياق المُحدد للبيئات المختلفة. على سبيل المثال، CVE-2021-44228 يؤثر على الأنظمة بشكل مختلف اعتمادًا على البنية التحتية للشركة. ويؤدي هذا الاختلال إلى تقييمات غير دقيقة للمخاطر إذا كانت تفاصيل مكافحة التطرف العنيف لا تتطابق مع البيئة المحددة.
- التأخير في الإفصاح: غالبًا ما تكون هناك فجوة بين اكتشاف الثغرة الأمنية وإضافتها إلى قاعدة بيانات CVE. خلال هذه الفجوة، قد يستغل المهاجمون نقاط الضعف مثل CVE-2021-44228 قبل أن تصبح علنية، مما يزيد من المخاطر بسبب التأخير في الوعي والعلاج.
- التركيز على نقاط الضعف المعروفة: CVE تغطي الإدخالات فقط الثغرات الأمنية التي تم الكشف عنها علنًا، مما يترك ثغرات اليوم الأول والتهديدات غير المكشوف عنها في عداد المفقودين. الاعتماد فقط على CVE يعرض المؤسسات لمخاطر ناشئة لم تقم قاعدة البيانات بفهرستها بعد.
- جودة الإدخالات غير متناسقة: جودة CVE تختلف الإدخالات حسب المصدر. بعض، مثل CVE-2021-44228، وتلقي تحديثات منتظمة بتفاصيل جديدة، بينما يظل البعض الآخر ثابتًا، مما يؤدي إلى عدم الاتساق والفجوات المحتملة في البيانات.
- قائمة مهام إثراء بيانات الرؤية الليلية: حتى بعد نشر ثغرة أمنية، لا يوجد ما يضمن تقييمها فورًا. لا تزال 54,914 ثغرة أمنية من عامي 2024 و2025 في قائمة انتظار قاعدة بيانات الثغرات الأمنية الوطنية (NVD) بانتظار التحليل الكامل. في أبريل 2026، أعلن المعهد الوطني للمعايير والتكنولوجيا (NIST) أنه سيعطي الأولوية الآن فقط للتقييم الفوري للثغرات الأمنية في CISكتالوج الثغرات الأمنية المعروفة والمستغلة (KEV) الخاص بشركة A، والبرامج المستخدمة داخل الحكومة الفيدرالية، والبرامج الحيوية كما هو محدد في الأمر التنفيذي 14028. يتم إثراء كل شيء آخر على أساس بذل قصارى الجهد، مما يعني أن معظم المؤسسات لم تعد قادرة على افتراض أن درجة CVSS ستكون متاحة عندما تكون في أمس الحاجة إليها.
EPSS: تعزيز أمان مكافحة التطرف العنيف لإدارة الثغرات الأمنية بشكل شامل
CVE-2021-44228 يسلط الضوء أيضا على حيث نظام تسجيل نقاط الضعف المشتركة (CVSS)، رغم قوتها، إلا أنها تقصر. وهذا القصور يؤكد أهمية نظام تسجيل نقاط الاستغلال (EPSS).
ما هو EPSS؟
إبس يستخدم إطارًا يعتمد على البيانات للتنبؤ باحتمالية استغلال نقاط الضعف مثل CVE-2021-44228 خلال الثلاثين يومًا القادمة. على عكس CVSS، الذي يقيس التأثير المحتمل، إبس يقدر احتمالية الاستغلال بناءً على البيانات والاتجاهات التاريخية.
لماذا EPSS مهم؟
- تحسين الأولويات: إبس تمكن المؤسسات من تحديد أولويات نقاط الضعف على أساس ليس فقط مدى خطورتها ولكن أيضًا على احتمالية استغلالها. على سبيل المثال، عندما تعرف فرق الأمن ذلك CVE-2021-44228 لديهم احتمال كبير للاستغلال، فإنهم يركزون جهود الإصلاح حيث هم في أمس الحاجة إليها.
- الدفاع الاستباقي: إبس يسمح للفرق الأمنية باتخاذ إجراءات وقائية ضد نقاط الضعف التي يحتمل أن يتم استغلالها، مما يقلل من مخاطر الهجمات الناجحة.
- السياقية ديcisصنع الأيونات: إبس يوفر سياق إضافي ذلك CVSS قد يفشل المرء وحده في تحديد نقاط الضعف التي يستهدفها المهاجمون بنشاط. وهذا يؤدي إلى تصميم أكثر وعيًا واستراتيجية.cisصنع الأيونات.
- تحسين الموارد: بالنسبة للمنظمات ذات الموارد المحدودة، إبس يساعد على تخصيص الجهود بكفاءة لنقاط الضعف التي تشكل التهديد الأكبر، مما يضمن استراتيجية دفاعية أكثر فعالية.
حدود EPSS
على الرغم من مزاياه ، إبس لديه قيود. فهو يعتمد على البيانات التاريخية، والتي قد لا تعكس دائمًا مشهد التهديد الحالي. إن تركيزها على المدى القصير على التنبؤ بالاستغلال في غضون 30 يومًا قد يتجاهل التهديدات طويلة المدى.
إبس يوفر رؤى عامة دون مراعاة السياق المحدد للبيئات الفردية. وأخيرًا، يعتمد ذلك على أنماط الاستغلال السابقة، والتي قد لا تلتقط التغيرات السريعة في تقنيات الهجوم أو نقاط الضعف المكتشفة حديثًا.
الموازنة بين مكافحة التطرف العنيف وEPSS لإدارة الثغرات الأمنية بشكل مثالي
لإدارة نقاط الضعف بشكل فعال، يجب على المؤسسات فهم القيود المفروضة على كليهما ومعالجتها CVSS و إبسيتيح دمج هذه الأدوات رؤيةً أكثر شمولاً لمشهد الثغرات الأمنية. يوازن هذا النهج بين شدة الثغرات واحتمالية استغلالها، مما يؤدي إلى تحديد أفضل للأولويات، وتخطيط مدروس.cisصنع الأيونات وتحسين نتائج الأمن السيبراني.
يعالج التحدي المتمثل في تحديد أولويات نقاط الضعف الحرجة
خلال هذه المدونة، استكشفنا تعقيدات تسجيل نقاط الضعف والتهديدات الخطيرة، والدور الحاسم لقاعدة بيانات الثغرات الوطنية (NVD)، وكيف تضيف أدوات مثل نظام تسجيل نقاط الاستغلال (EPSS) عمقًا لإدارة الثغرات الأمنية من خلال التنبؤ باحتمالية الاستغلال. ومع ذلك، فإن إدارة الثغرات الأمنية بشكل فعال تتطلب أكثر من مجرد فهم هذه المفاهيم - فهي تتطلب نهجًا شاملاً يتكيف مع الاحتياجات الأمنية المحددة لمؤسستك.
من أصل حوالي 176,000 نقطة ضعف معروفة، أكثر من 19,000 يحملون درجة CVSS من 9.0 إلى 10.0، مما يدل على المخاطر الحرجة. ومع ذلك، فإن الأغلبية – حوالي 77.5% – تقع ضمن درجة متوسطة المدى تتراوح بين 4.0 إلى 8.0. يسلط هذا التوزيع الواسع الضوء على التحدي المتمثل في تحديد أولويات نقاط الضعف التي يجب معالجتها أولاً وكيفية القيام بذلك بموارد محدودة مع الحفاظ على دفاع قوي.
تحليل تركيب البرمجيات في Xygeni (SCA) يعالج الحل هذا التحدي من خلال دمج نقاط CVE مع EPSS والأدوات السياقية الأخرى، مما يمنحك صورة كاملة عن مشهد الضعف لديك. يقوم حلنا بفحص قاعدة التعليمات البرمجية الخاصة بك بدقة عبر مصادر متعددة، بما في ذلك NPM وGitHub وOWD، مما يضمن عدم تفويت أي تهديدات أمنية محتملة.
كيف يعمل Xygeni SCA الحل يحول تقييم الثغرات الأمنية إلى إجراءات عملية
من بين 48,185 ثغرة أمنية منشورة في عام 2025، صُنّفت 38% منها على أنها عالية الخطورة أو حرجة، وكان متوسط درجة نظام تقييم الثغرات الأمنية (CVSS) لهذا العام 6.60. هذا يعني وجود عدد كبير من تصنيفات "حرجة" و"عالية" تتنافس على نفس موارد المعالجة المحدودة، وذلك قبل الأخذ في الاعتبار أن 28% فقط من الثغرات الأمنية المنشورة في عام 2025 تلقت في الأساس تقييمًا كاملاً لقاعدة بيانات الثغرات الأمنية الوطنية (NVD).
تحليل تركيب البرمجيات في Xygeni (SCA) يُعالج هذا الحل هذا التحدي من خلال دمج نظام تقييم الثغرات الأمنية (CVE) مع نظام EPSS وإشارات سياقية إضافية، مما يمنحك صورة شاملة لمواطن الضعف لديك، بغض النظر عما إذا كانت قاعدة بيانات الثغرات الأمنية الوطنية (NVD) قد أضافت معلومات عن ثغرة أمنية معينة أم لا. يقوم الحل بفحص قاعدة التعليمات البرمجية الخاصة بك عبر npm وGitHub وسجلات المصادر المفتوحة الأخرى، بحيث لا يفوتك أي شيء.
إليك كيف يُكمّل ذلك استراتيجية إدارة الثغرات الأمنية الخاصة بك:
- نظام تسجيل نقاط CVE + تكامل EPSS. إن الجمع بين درجة الخطورة (CVSS) واحتمالية الاستغلال (EPSS) يعني أن فريقك يقوم بإصلاح ما يتم استغلاله فعليًا في الواقع أولاً، وليس فقط ما يحصل على أعلى الدرجات على الورق.
- تحليل إمكانية الوصول. لا يتوقف Xygeni عند "هذه الثغرة الأمنية موجودة في شجرة التبعيات الخاصة بك". بل يحدد ما إذا كان مسار التعليمات البرمجية المعرض للخطر قابلاً للوصول إليه بالفعل في تطبيقك، مما يقلل الضوضاء بشكل كبير ويركز المعالجة على المخاطر القابلة للاستغلال.
- الوعي السياقي. من خلال الاستفادة من مصادر استشارية وأنظمة تقييم متعددة في آن واحد، تتكيف Xygeni مع البيئة الخاصة بمؤسستك بدلاً من تطبيق درجة خطورة واحدة تناسب الجميع.
- المراقبة المستمرة والتنبيهات في الوقت الفعلي. يتم نشر معلومات جديدة عن الثغرات الأمنية (CVEs) ودرجات EPSS الجديدة باستمرار. يراقب نظام Xygeni باستمرار، لذا فإن أي ثغرة أمنية كانت ذات أولوية منخفضة بالأمس، وأصبحت تُستغل بنشاط اليوم، لا تمر دون أن يلاحظها أحد.
النتائج: مع تصنيف أكثر من ثلث الثغرات الأمنية الجديدة (CVEs) على أنها عالية الخطورة أو حرجة، وتراجع تحديث قاعدة بيانات الثغرات الأمنية الوطنية (NVD) عامًا بعد عام، فإن فرز كل ثغرة يدويًا ليس بالأمر الواقعي. يساعد Xygeni فريقك على التركيز على الجزء الصغير من الثغرات الخطيرة والقابلة للاستغلال فعليًا في بيئتك.
طلب عرض توضيحي or ابدأ مجاناً لمعرفة كيف تحوّل Xygeni تسجيل نقاط CVE إلى استراتيجية لإدارة الثغرات الأمنية ذات أولوية وقابلة للتنفيذ.
الأسئلة الشائعة
ما الفرق بين CVE و CVSS و NVD؟
CVE هو مُعرّف فريد لثغرة أمنية مُحددة. نظام CVSS (نظام تقييم الثغرات الأمنية الشائعة) هو إطار التقييم المُستخدم لتصنيف خطورة تلك الثغرة من 0 إلى 10. قاعدة بيانات الثغرات الأمنية الوطنية (NVD) هي المستودع الذي يُديره المعهد الوطني للمعايير والتكنولوجيا (NIST)، والذي يُثري كل CVE بدرجة CVSS الخاصة به، ووصفه، ومراجع المعالجة.
ما هو نظام EPSS، وكيف يختلف عن نظام CVSS؟
يُقدّر نظام EPSS (نظام تسجيل التنبؤ بالاستغلال) احتمالية استغلال ثغرة أمنية خلال الثلاثين يومًا القادمة، استنادًا إلى بيانات استغلال واقعية. بينما يقيس نظام CVSS احتمالية الاستغلال. خطورة في حال استغلالها؛ يقيس نظام EPSS أرجحية من الاستغلال. استخدام كليهما معًا يعطي إشارة تحديد أولويات أكثر دقة بكثير من استخدام أي منهما بمفرده.
لماذا لا يكون الارتفاع هل درجة CVSS كافية لتحديد أولوية الثغرة الأمنية؟
يعكس تصنيف CVSS الخطورة النظرية، وليس المخاطر الفعلية. قد تكون الثغرة الأمنية "الحرجة" المصنفة بـ 9.8، والتي لا يمكن الوصول إليها في قاعدة التعليمات البرمجية الخاصة بك، أو التي لا يوجد لها استغلال نشط معروف، أقل أولوية من الثغرة "المتوسطة" التي يستغلها المهاجمون حاليًا. لهذا السبب، يُعدّ الجمع بين CVSS وEPSS وتحليل إمكانية الوصول أمرًا بالغ الأهمية.
كم عدد الثغرات الأمنية التي يتم نشرها كل عام؟
ازداد حجم الثغرات الأمنية المُبلغ عنها (CVE) بشكل مطرد عامًا بعد عام، حيث يتم الكشف عن عشرات الآلاف من الثغرات الجديدة سنويًا. ونظرًا لهذا الحجم الهائل، فإن الفرز اليدوي غير عملي لمعظم المؤسسات، ولذلك أصبح تحديد الأولويات الآلي والمراعي للسياق (CVSS + EPSS + إمكانية الوصول) ضروريًا.
ما هو CVE-2021-44228 (Log4Shell)، ولماذا يتم استخدامه كمثال؟
تُعدّ Log4Shell ثغرة أمنية خطيرة تسمح بتنفيذ تعليمات برمجية عن بُعد في Apache Log4j 2، وقد حصلت على أعلى درجة (10.0) في نظام CVSS. وتُستخدم على نطاق واسع كمثال تعليمي لأنها تجمع بين إمكانية الاستغلال عبر الشبكة، وعدم الحاجة إلى صلاحيات خاصة، وعدم تفاعل المستخدم، مما يُوضح بدقة ما تعنيه كلمة "خطير" وفقًا لمعايير CVSS.
