Τι είναι το CWE;

Κατανόηση της απαρίθμησης κοινών αδυναμιών για το DevSecOps #

Αν αφιερώσετε αρκετό χρόνο στην εξέταση των ευρημάτων ασφαλείας, τελικά θα δείτε τα ίδια μοτίβα να εμφανίζονται ξανά και ξανά: SQL injection εδώ, μια ανασφαλής αποσειριοποίηση εκεί, μια ξεχασμένη επικύρωση εισόδου κάπου που δεν περιμένατε. Μετά από λίγο, κάθε μηχανικός AppSec και κάθε ομάδα DevSecOps παλεύει με το ίδιο υποκείμενο ερώτημα που προκύπτει μόλις προσπαθήσετε να βάλετε τάξη στο χάος: τι κατηγοριοποιεί στην πραγματικότητα το CWE και γιατί έχει τόσο μεγάλη σημασία όταν προσπαθείτε να κάνετε τις ομάδες μηχανικών και ασφάλειας να μιλούν την ίδια γλώσσα; Αυτό το γλωσσάρι παρουσιάζει τι είναι ένα CWE, όχι από θεωρητική άποψη αλλά από την οπτική γωνία κάποιου που έχει δει εκατοντάδες... pipelines, δεκάδες βάσεις κώδικα και μια μακρά παρέλαση επαναλαμβανόμενων λαθών. Σκεφτείτε το περισσότερο σαν το επόμενο επεισόδιο μιας σειράς: αφού κατανοήσετε τα κακόβουλα πακέτα, τα τυφλά σημεία της αλυσίδας εφοδιασμού και τον θόρυβο ευπάθειας, ήρθε η ώρα να αναλύσουμε το πλαίσιο που συνδέει πολλά από αυτά τα ζητήματα.

Τα Βασικά #

Ας ξεκινήσουμε απλά: Το CWE σημαίνει Αριθμός Κοινής Αδυναμίας, ένας κατάλογος που αναπτύχθηκε από την κοινότητα και περιλαμβάνει κοινές αδυναμίες λογισμικού και υλικού. Όταν οι άνθρωποι ρωτούν τι είναι το CWE στην κυβερνοασφάλεια, στην πραγματικότητα ρωτούν για το κοινόχρηστο λεξικό που χρησιμοποιείται από αναλυτές, προγραμματιστές και εργαλεία ασφαλείας για να περιγράψουν το τις βαθύτερες αιτίες πίσω από τα τρωτά σημεία. Όπου περιγράφουν τα CVEs συγκεκριμένες περιπτώσεις των τρωτών σημείων στα προϊόντα, περιγράφουν το υποκείμενο λάθος που τα προκάλεσε. Τι είναι λοιπόν; Δεν είναι ένα ίδιο το τρωτό σημείο, αλλά ένα επαναλαμβανόμενο μοτίβο ελαττωμάτων, μια κλάση αδυναμιών. Και τι είναι ένα τρωτό σημείο CWE; Αναφέρεται σε τρωτά σημεία που συνδέονται άμεσα με μία από αυτές τις αδυναμίες που ορίζονται από το CWE. Όταν ένας σαρωτής επισημαίνει "CWE-79" ή "CWE-89", υποδεικνύει το δομικό πρόβλημα που ευθύνεται για την εκμετάλλευση. Η κατανόηση του τι είναι ένα CWE δίνει στις ομάδες μια πολύ πιο στρατηγική άποψη για τον κίνδυνο, επειδή η διόρθωση της αδυναμίας αποτρέπει ολόκληρες οικογένειες τρωτών σημείων, όχι μόνο μία περίπτωση.

Γιατί οι ομάδες DevSecOps αντιμετωπίζουν συνεχώς προβλήματα CWE? #

Ένα από τα πρώτα σοκ για τις ομάδες που ωριμάζουν τα DevSecOps τους pipelines είναι αυτό σαρωτές, SAST εργαλεία, Εργαλεία DAST, SCA πλατφόρμεςκαι οι αναλυτές κοντέινερ χρησιμοποιούν όλα τα αναγνωριστικά CWE σαν να τα γνωρίζουν όλοι απέξω. Ξαφνικά, ένα pipeline σπάει επειδή μια πύλη κατασκευής βρήκε το "CWE-22" ή το "CWE-502" και οι προγραμματιστές ρωτούν, «Εντάξει... αλλά τι είναι το CWE από άποψη κυβερνοασφάλειας με το οποίο μπορούμε πραγματικά να εργαστούμε;» Αυτό το κενό υπάρχει παντού:

• Η ασφάλεια μιλάει με κώδικες CWE.
• Οι προγραμματιστές μιλούν σε πλαίσια, συναρτήσεις και βιβλιοθήκες.
• Οι ομάδες προϊόντων σκέφτονται τα χαρακτηριστικά και τις προθεσμίες.

Η απαρίθμηση των κοινών αδυναμιών υπάρχει για να γεφυρώσει αυτό το κενό. Όταν κατανοήσετε τι είναι ένα CWE, κατανοείτε την κατηγορία της βασικής αιτίας, όχι μόνο το σύμπτωμα. Όταν κατανοήσετε την απαρίθμηση των κοινών αδυναμιών, μπορείτε να κατανοήσετε πώς οι αδυναμίες αντιστοιχούν στην εκμετάλλευσή τους στον πραγματικό κόσμο.

Αναλύοντας τι πραγματικά καλύπτει #

Για να κατανοήσετε πραγματικά τι είναι, πρέπει να γνωρίζετε τη δομή πίσω από το έργο. Το CWE συντηρείται από ΜΗΤΡΑ ΔΕΣΠΟΤΗ ως μια ταξινόμηση τύπων αδυναμιών που καθοδηγείται από την κοινότητα. Αυτά περιλαμβάνουν:

• Σφάλματα επικύρωσης εισόδου (π.χ., ελαττώματα έγχυσης, υπερχείλιση buffer)
• Σφάλματα ελέγχου ταυτότητας και εξουσιοδότησης
• Κατάχρηση API
• Χειρισμός σφαλμάτων και προβλήματα λογικής εξαιρέσεων
• Αδυναμίες διαμόρφωσης και περιβάλλοντος
• Κίνδυνοι σειριοποίησης/αποσειριοποίησης
• Αδυναμίες στη διαχείριση πόρων και μνήμης

Αυτό απαντά σε ένα μεγάλο μέρος του τι είναι το CWE στην κυβερνοασφάλεια: δεν είναι ένας σαρωτής τρωτών σημείων, ούτε μια λίστα με γνωστά exploits, ούτε μια βάση δεδομένων με συγκεκριμένα CVE. Είναι μια ταξινόμηση, το λεξικό πίσω από τη γλώσσα των τρωτών σημείων.

Και αυτό το λεξικό χρησιμοποιείται παντού: σε καταχωρίσεις NVD, σε SAST ευρήματα, στην εκπαίδευση ασφαλούς κωδικοποίησης, σε πρότυπα μοντελοποίησης απειλών, σε πλαίσια συμμόρφωσης και σχεδόν σε κάθε εργαλείο DevSecOps.

Συνήθεις παρανοήσεις σχετικά με το αν είναι και αν δεν είναι #

Όπως έχουμε δει με κακόβουλα πακέτα ή κινδύνους εξάρτησης, οι ομάδες ασφαλείας συχνά παρερμηνεύουν τον ρόλο που έχουν οι τεχνολογίες. Το ίδιο συμβαίνει και με το CWE, επομένως αξίζει να διερευνήσουμε κοινές παρανοήσεις σχετικά με το τι είναι ένα CWE και γιατί αυτές οι παρανοήσεις είναι σημαντικές.

Λανθασμένη αντίληψη #1: Ως βάση δεδομένων ευπάθειας #

Αυτό είναι το πιο συνηθισμένο λάθος που κάνουν οι ομάδες όταν ρωτούν τι είναι το CWE στην κυβερνοασφάλεια. Το CVE είναι μια λίστα με πραγματικά τρωτά σημεία. Είναι μια λίστα με... κατηγορίες αδυναμιώνΑν κάποιος ρωτήσει τι είναι μια κοινή ευπάθεια απαρίθμησης αδυναμιών, η απάντηση είναι: «ένα CVE στο οποίο έχει αντιστοιχιστεί μια ριζική αιτία CWE».

Λανθασμένη αντίληψη #2: Έχουν σημασία μόνο για τις ομάδες AppSec #

Στην πράξη, το CWE έχει σημασία για κάθε μέρος ενός DevSecOps. pipeline:

• SAST χάρτης ευρημάτων στο CWE
• SCA Τα εργαλεία αντιστοιχίζονται στο CWE όταν τα τρωτά σημεία περιλαμβάνουν αυτές τις ετικέτες
• Οι προγραμματιστές διαβάζουν τις εξηγήσεις του CWE κατά την επιδιόρθωση προβλημάτων
• Τα μοντέλα απειλών τα χρησιμοποιούν ως δομικά στοιχεία
• Ασφαλής κωδικοποίηση standards map σε κατηγορίες CWE

Αν δημιουργείτε λογισμικό, η απαρίθμηση κοινών αδυναμιών σας επηρεάζει, είτε το συνειδητοποιείτε είτε όχι.

Λανθασμένη αντίληψη #3: Είναι πολύ αφηρημένοι για να είναι χρήσιμοι #

Ορισμένες περιγραφές φαίνονται αφηρημένες με την πρώτη ματιά, αλλά η πραγματική αξία έγκειται στη συνέπεια. Αν δεν καταλαβαίνετε τι είναι ένα CWE, θα μοιάζει με έναν κρυπτικό κώδικα. Μόλις μάθετε τη δομή, μπορείτε γρήγορα να ομαδοποιήσετε, να ιεραρχήσετε και να σχεδιάσετε στρατηγικά τις διορθώσεις σας.

Πώς βελτιώνει το CWE τη διαχείριση ευπαθειών και τα DevSecOps; #

Η κατανόηση του τι είναι το CWE στην κυβερνοασφάλεια μεταμορφώνει τον τρόπο με τον οποίο οι ομάδες διαλογήνουν και διορθώνουν προβλήματα. Αντί να καταπολεμούν κάθε CVE ξεχωριστά, η απαρίθμηση κοινών αδυναμιών επιτρέπει στις ομάδες να βλέπουν μοτίβα:

• Γιατί συνεχίζουμε να βλέπουμε προβλήματα έγχυσης σε όλες τις υπηρεσίες;
• Γιατί επανεμφανίζονται συνεχώς λάθη ελέγχου ταυτότητας;
• Γιατί ορισμένες διαμορφώσεις είναι σταθερά επικίνδυνες;

Αυτό είναι το σημείο κατανόησης του τι είναι ένα CWE: η πρόληψη ολόκληρων κατηγοριών ευπαθειών, όχι απλώς η αντίδραση σε αυτές. Όταν pipelineΌταν επισημάνουν μια ευπάθεια αυτού του τύπου, οι ομάδες μπορούν να την αντιστοιχίσουν σε ασφαλείς οδηγίες κωδικοποίησης, υπάρχουσες γνώσεις και αυτοματοποιημένες πολιτικές.

Πώς συνδέεται με πραγματικές ευπάθειες (η σχέση CVE → CWE) #

Κάθε ευπάθεια ξεκινά ως καταχώρηση CVEΚαθώς οι αναλυτές εμπλουτίζουν αυτά τα CVE, αντιστοιχίζουν ένα CWE που περιγράφει την αιτία. Αυτή η χαρτογράφηση είναι θεμελιώδης για τα εργαλεία, τη βαθμολόγηση κινδύνου, dashboards και ροές εργασίας αποκατάστασης. Με απλά λόγια:

• Το CVE σας λέει... τι συνέβη.
• Το CWE σας λέει. γιατί συνέβη.

Εάν μια ομάδα δεν κατανοεί τι είναι ένα CWE, χάνει το «γιατί». Αυτό οδηγεί στην αντιμετώπιση των τρωτών σημείων ως μεμονωμένων περιστατικών αντί για συμπτώματα δομικών αδυναμιών. Εξετάστε τις βασικές διαφορές μεταξύ CWE και CVE.

Καταμέτρηση κοινών αδυναμιών στην ασφαλή κωδικοποίηση, SASTκαι Pipeline Αυτοματοποίηση #

ΜΟΝΤΕΡΝΑ pipelines δημιουργούν τεράστιους όγκους ευρημάτων. Η απαρίθμηση κοινών αδυναμιών δίνει δομή σε αυτόν τον όγκο. Η κατανόηση του τι είναι το CWE στην κυβερνοασφάλεια βοηθά τους μηχανικούς DevSecOps:

• Κατασκευάστε αυτόματες πύλες γύρω από κατηγορίες υψηλού κινδύνου
• Δώστε προτεραιότητα στις αδυναμίες που αξιοποιούνται περισσότερο στον πραγματικό κόσμο
• Ευθυγραμμίστε την εκπαίδευση προγραμματιστών με πραγματικά πρότυπα
• Ενσωμάτωση κανόνων που βασίζονται σε CWE σε SAST και δοκιμές μονάδας
• Μειώστε τον θόρυβο εστιάζοντας σε επαναλαμβανόμενα προβλήματα

Και όταν ένα εργαλείο επισημαίνει τι αποτελεί ευπάθεια CWE, δημιουργεί μια κοινή γλώσσα μεταξύ των προγραμματιστών και των κριτών ασφαλείας κατά τη διάρκεια των κριτικών κώδικα.

Γιατί έχει σημασία για Software Supply Chain Security και Ξυγένη #

Παρόλο που εστιάζει σε αδυναμίες στο λογισμικό και όχι στην ανίχνευση κακόβουλων πακέτων, η κατανόηση της έννοιας του CWE είναι θεμελιώδης για τον εντοπισμό δομικών αδυναμίες σε στοιχεία ανοιχτού κώδικα ή σενάρια δημιουργίαςΤο CWE δεν εντοπίζει κακόβουλη συμπεριφορά, αλλά αποκαλύπτει τα εύθραυστα μοτίβα που καταχρώνται οι εισβολείς. Αυτό συνδέεται με ευρύτερους κίνδυνος στην εφοδιαστική αλυσίδα λογισμικού: εάν οι οργανισμοί αποτυγχάνουν επανειλημμένα στις ίδιες αδυναμίες, οι επιτιθέμενοι γνωρίζουν ακριβώς πού να χτυπήσουν.

Η πραγματική απάντηση στο «Τι είναι η απαρίθμηση κοινών αδυναμιών;» #

Για να συνοψίσουμε:

• Τι είναι το CWE στην κυβερνοασφάλεια; Το σύστημα ταξινόμησης που υποστηρίζει τον τρόπο με τον οποίο περιγράφονται, αναλύονται και διορθώνονται οι ευπάθειες.
• Τι είναι μια ευπάθεια CWE; Ένα είδος αδυναμίας, όχι μια ευπάθεια, αλλά το ελάττωμα που κρύβεται πίσω από αυτήν.
• Τι είναι η απαρίθμηση κοινών αδυναμιών; Μια ευπάθεια που συνδέεται με μια συγκεκριμένη αδυναμία.

Η εκμάθηση της απαρίθμησης κοινών αδυναμιών είναι σαν να μαθαίνεις τη γραμματική του κινδύνου λογισμικού. Μόλις κατανοήσεις τη γραμματική, ολόκληρο το τοπίο των ευπαθειών γίνεται πιο ξεκάθαρο. Και μόλις οι ομάδες DevSecOps μπορέσουν να αναγνωρίσουν μοτίβα αντί για μεμονωμένα προβλήματα, η ασφάλεια βελτιώνεται στη ρίζα της, όχι μόνο στην επιφάνειά της.