Is annamh a theipeann ar fhoirne slándála mar gheall ar easpa sonraí. Is minic a theipeann orthu mar go réitíonn siad na fadhbanna míchearta ar dtús. Sin é an fáth go díreach go bhfuil Faisnéis faoi Leasuithe Aitheanta, bainistíocht leochaileachta bunaithe ar riosca, an tAcht um Athléimneacht Chibearshaoil, agus an CISTagann Catalóg Leochaileachtaí Aitheanta a ndearnadh Saothrú orthu le chéile anois i sreafaí oibre nua-aimseartha AppSec.
Gach seachtain, tuairiscíonn scanóirí na céadta leochaileacht. Mar sin féin, ní dhéanann ionsaitheoirí ach fo-thacar beag díobh a shaothrú. Dá bhrí sin, cuireann foirne a thugann tosaíocht gan chomhthéacs leasa am amú agus sleamhnaíonn fíorbhagairtí tríd. Dúnann Faisnéis faoi Leas Aitheanta an bhearna sin trí na leochaileachtaí a úsáideann ionsaitheoirí i ndáiríre a thabhairt chun solais, ní hamháin na cinn a bhfuil cuma thromchúiseach orthu ar pháipéar.
Cad is Eol - Saothrú Faisnéise
Aithníonn faisnéis faoi leasuithe aitheanta leochaileachtaí a mbaintear leas astu go gníomhach ag ionsaitheoirí i dtimpeallachtaí fíor. Is é sin le rá, scarann sí riosca teoiriciúil ó iompar ionsaithe deimhnithe.
In ionad a fhiafraí an bhfuil leochaileacht ann D'fhéadfadh má dhéantar leas a bhaint astu, is féidir le foirne a iarraidh faoi dheireadh:
An bhfuil sé seo á shaothrú cheana féin, agus an mbíonn tionchar aige ar mo tháirge?
Tá tábhacht leis an idirdhealú sin ó thaobh oibríochta de agus, níos mó agus níos mó, ó thaobh an dlí de.
Cén fáth a mbriseann tosaíocht thraidisiúnta síos
Braitheann formhór na bhfoirne fós ar chomharthaí statach chun tosaíocht a thabhairt do riosca.
De ghnáth, déanann siad leochaileachtaí a shórtáil de réir:
- Déine CVSS
- Muinín scanóra
- Tóir an phacáiste
Cé go gcabhraíonn na comharthaí seo le torann a laghdú, cailleann siad fachtóir ríthábhachtach amháin: iompar an ionsaitheora. Mar thoradh air sin, is minic a dhéanann foirne deifir chun fadhbanna ard-déine a phaisteáil nach ndéantar leas a bhaint astu riamh agus lochtanna níos ísle déine a ndíríonn ionsaitheoirí orthu go gníomhach á gcailliúint.
Míníonn an bhearna seo cén fáth nach bhfuil tosaíocht statach ag scálaiú a thuilleadh.
Cén fáth a n-athraíonn an tAcht um Chibearsheasmhacht na Rialacha
faoin An tAcht um Chibear-Athléimneacht, bíonn sé ina cheist chomhlíontachta, ní hamháin imní slándála, bogearraí a sheoladh a bhfuil leochaileachtaí inúsáidte aitheanta iontu.
Éilíonn an rialachán:
- Ní féidir táirgí a bhfuil eilimintí digiteacha iontu dul isteach i margadh an AE a bhfuil leochaileachtaí inúsáidte aitheanta iontu
- Cuireann monaróirí geataí láimhseála leochaileachta agus imréitigh i bhfeidhm
- Tá níos mó meáchain ag baint le saothrú i dtimpeallachtaí fíor ná le déine theoiriciúil
Mar thoradh air sin, aistríonn an tosaíocht ó dea-chleachtas go hoibleagáid dhlíthiúil.
Seo go díreach an áit a bhfuil faisnéis leasa riachtanaí.
An tAcht um Chibear-Athléimneacht
An An tAcht um Chibear-Athléimneacht rialachán de chuid an Aontais Eorpaigh is ea é a leagann síos ceanglais éigeantacha cibearshlándála do tháirgí ina bhfuil eilimintí digiteacha a dhíoltar san AE.
I dtéarmaí simplí, ceanglaítear leis ar mhonaróirí bogearraí a dhearadh, a fhorbairt agus a chothabháil nach bhfuil leochaileachtaí inúsáidte aitheanta iontu tráth a scaoilte. Ina theannta sin, ceanglaítear leis ar chuideachtaí monatóireacht a dhéanamh ar leochaileachtaí tar éis a scaoilte agus saincheisteanna a bhfuiltear ag baint leasa astu go gníomhach a thuairisciú laistigh de thréimhse ama dhian.
Tháinig an rialachán i bhfeidhm i mí na Nollag 2024. Mar sin féin, cuirfear tús le forfheidhmiú iomlán i mí na Nollag 2027. Ag tosú in 2026, ní mór do chuideachtaí leochaileachtaí a shaothraítear go gníomhach a thuairisciú d’údaráis an AE laistigh de 24 uair an chloig óna bhfionnachtain.
Is é sin le rá, leis an Acht um Chibear-Athléimneacht, athraítear bainistíocht leochaileachta ó dhea-chleachtas go ceanglas rochtana margaidh.
Cén fáth a bhfuil KEVanna i gcroílár chomhlíonadh CRAanna
An CISCatalóg Leochaileachtaí Saothraithe Aitheanta liostaítear CVEanna a bhfuil ionsaitheoirí ag baint leasa astu cheana féin sa fiáin. Baintear débhríocht as an gcatalóg seo.
In ionad riosca a phlé, is féidir le foirne brath ar shonraí fíoraithe maidir le saothrú. Dá bhrí sin, is iad na KEVanna an spreagadh is láidre le haghaidh SLAnna feabhsúcháin agus blocáil scaoileadh.
Tá an cur chuige seo ag teacht go nádúrtha le bainistíocht leochaileachta bunaithe ar riosca, mar go ndíríonn sé an iarracht san áit a dtarlaíonn fíor-dhamáiste.
Freastalaíonn CVSS, EPSS, agus KEVanna ar Chuspóirí Difriúla
Éilíonn tosaíocht a thabhairt go héifeachtach tuiscint ar an gcaoi a bhfuil comharthaí difriúil.
- CVSS taispeánann tionchar féideartha
- EPSS meastachán ar an dóchúlacht go ndéanfar saothrú
- An CISDeimhníonn Catalóg Leochaileachtaí a ndearnadh Saothrú orthu go bhfuil saothrú gníomhach ann
Nuair a úsáidtear iad ina n-aonar, bíonn gach comhartha míthreorach. Le chéile, soláthraíonn siad comhthéacs. Is é an teaglaim sin bunús na bainistíochta leochaileachta nua-aimseartha atá bunaithe ar riosca.
Conas a Oibríonn Faisnéis Saothraithe Aitheanta i gCleachtas
Leanann samhail tosaíochta praiticiúil seicheamh soiléir:
- Braith leochaileachtaí ar fud cód agus spleáchais
- Torthaí cluiche i gcoinne an CISCatalóg Leochaileachtaí Saothraithe Aitheanta
- Meastóireacht a dhéanamh ar an dóchúlacht go n-úsáidtear EPSS chun leas a bhaint as
- Fíoraigh inrochtaineacht san fheidhmchlár nó pipeline
- Cuir rialacha leighis i bhfeidhm bunaithe ar nochtadh agus ról an táirge
Mar thoradh air sin, stopann foirne ag déileáil le liostaí leochaileachta mar riaráistí agus tosaíonn siad ag déileáil leo mar dhí-cisiain.
Conas a Thógamar Faisnéis Aithne-Saothraithe ag Xygeni
Thógamar an ghné seo tar éis dúinn a fheiceáil arís agus arís eile go raibh foirne ag socrú fadhbanna ard-CVSS agus leochaileachtaí aitheanta a ndearnadh saothrú orthu ag teacht chun cinn. Mhúnlaigh an taithí sin an chaoi ar dhearamar an córas.
Le v5.36, Comhtháthaíonn Xygeni faisnéis fíoraithe faoi shaothrú go díreach isteach san inneall tosaíochta.
Cad a tharlaíonn faoin gcochall
- Glacann Xygeni catalóga leasaithe iontaofa ar nós KEV agus foinsí leasaithe poiblí eile i gcónaí.
- Faigheann gach leochaileacht meiteashonraí láithreachta leasaithe
- Comhcheanglaíonn an funail tosaíochta:
- Stádas ionsaithe aitheanta
- dóchúlacht EPSS
- Comhthéacs inrochtaineachta
- Nochtadh cóid agus spleáchais
Ríomhann an t-ardán scór riosca ilchodach fíorshaoil
In ionad comharthaí atá ann cheana a athsholáthar, déanann an tsamhail seo iad a scagadh.
Brath → Meaitseáil Leasa → Inrochtaineacht → Deisigh
Tiomáineann an sreabhadh seo gach decisian:
Feiceann forbróirí comhthéacs an leasaithe go díreach i pull requests. PipelineNí chumasctar bloc s ach amháin nuair a bhíonn leochaileachtaí aitheanta sa chód inrochtana a bhfuiltear ag baint leasa astu. Molann leigheas uathoibrithe uasghráduithe sábháilte láithreach.
Gan chruinnithe. Gan buille faoi thuairim. Gan paistí scaoill.
Cén Fáth a bhfuil Tábhacht leis seo Thar Chomhlíonadh
Cé gur spreag an tAcht um Chibearshléimneacht an t-athrú seo, leathnaíonn na buntáistí níos faide fós.
Foirne a thugann tús áite d’úsáid faisnéise leasaithe:
- Laghdaigh tuirse airdeall
- Giorraigh an t-am leighis
- Seachain timthriallta paiste éigeandála
- Seol bogearraí níos sábháilte le muinín
Is fo-iarmhairt de shlándáil a dhéanamh i gceart comhlíonadh.
Smaointe Deiridh: Déanann an CRA Bainistíocht Riosca-bhunaithe Éigeantach
Déanann an tAcht um Athléimneacht Chibearshaoil foirmiúil ar a bhfuil foghlamtha ag foirne a bhfuil taithí acu cheana féin. Níl gach leochaileacht chomh tábhachtach céanna.
An CISTaispeánann Catalóg Leochaileachtaí Aitheanta a ndearnadh Saothrú orthu cad a úsáideann ionsaitheoirí inniu. Léiríonn comhthéacs agus inrochtaineacht an mbíonn tionchar aige ort. Le chéile, sainmhíníonn siad nua-aimseartha bainistíocht leochaileachta bunaithe ar riosca.
Cuireann Xygeni an tsamhail seo i bhfeidhm go leanúnach, go huathoibríoch, agus san áit a bhfuil forbróirí ag obair cheana féin.
Written by:
scríofa ag Fatima Said, Bainisteoir Margaíochta Ábhair atá speisialaithe i Slándáil Feidhmchlár ag Xygeni Security. Cruthaíonn sí ábhar atá dírithe ar fhorbróirí agus atá bunaithe ar thaighde ar AppSec, ASPM, agus DevSecOps, ag aistriú dúshláin slándála an tsaoil réadaigh ina dtreoir shoiléir, inghníomhaithe.
