Is ann ainneamh a bhios sgiobaidhean tèarainteachd a’ fàiligeadh air sgàth dìth dàta. Nas trice, bidh iad a’ fàiligeadh leis gu bheil iad a’ càradh nan cùisean ceàrr an toiseach. Sin dìreach carson a tha Fiosrachadh mu Dh’Eucoir Aithnichte, riaghladh so-leòntachd stèidhichte air cunnart, Achd Seasmhachd an t-Saibhre, agus an CISTha Catalog de Sho-leòntachd a chaidh a Shaothrachadh Aithnichte a-nis a’ tighinn còmhla ann an sruthan-obrach AppSec an latha an-diugh.
Gach seachdain, bidh sganairean ag aithris ceudan de laigsean. Ach, chan eil luchd-ionnsaigh a’ cleachdadh ach fo-sheata bheag dhiubh. Mar thoradh air an sin, bidh sgiobaidhean a bhios a’ toirt prìomhachas às aonais co-theacsa brath-bhuaidh a’ caitheamh ùine fhad ‘s a bhios fìor bhagairtean a’ teicheadh troimhe. Bidh Fiosrachadh mu Bhreith-bhuaidh Aithnichte a’ dùnadh a’ bheàirn sin le bhith a’ nochdadh nan laigsean a bhios luchd-ionnsaigh a’ cleachdadh, chan e dìreach an fheadhainn a tha a’ coimhead dona air pàipear.
Dè a tha aithnichte - Cleachd fiosrachadh
Bidh fiosrachadh mu dhroch chleachdaidhean aithnichte a’ comharrachadh so-leòntachdan a bhios luchd-ionnsaigh a’ cleachdadh gu gnìomhach ann an àrainneachdan fìor. Ann am faclan eile, bidh e a’ sgaradh cunnart teòiridheach bho ghiùlan ionnsaigh dearbhte.
An àite faighneachd a bheil so-leòntachd ann Could ma thèid an cleachdadh, faodaidh sgiobaidhean faighneachd mu dheireadh:
A bheil seo ga chleachdadh mu thràth, agus a bheil e a’ toirt buaidh air an toradh agam?
Tha an t-eadar-dhealachadh sin cudromach gu obrachaidh agus, barrachd is barrachd, gu laghail.
Carson a bhriseas prìomhachas traidiseanta sìos
Tha a’ mhòr-chuid de sgiobaidhean fhathast an urra ri comharran statach gus prìomhachas a thoirt do chunnart.
Mar as trice, bidh iad a’ seòrsachadh so-leòntachd a rèir:
- Dèinead CVSS
- Misneachd sganair
- Mòr-chòrdte pasgan
Ged a chuidicheas na comharran seo le bhith a’ lughdachadh fuaim, tha iad ag ionndrainn aon fheart chudromach: giùlan an ionnsaighiche. Mar thoradh air an sin, bidh sgiobaidhean gu tric a’ dèanamh cabhag gus cùisean àrd-chinne a chàradh nach tèid a chleachdadh a-riamh fhad ‘s a tha iad a’ ionndrainn lochdan nas ìsle a bhios ionnsaighiche ag amas orra gu gnìomhach.
Tha am beàrn seo a’ mìneachadh carson nach eil prìomhachas statach a’ sgèileadh tuilleadh.
Carson a tha Achd Seasmhachd an t-Saibhre ag atharrachadh nan Riaghailtean
fon Achd Cybersilience, bidh bathar-bog a lìbhrigeadh le so-leòntachdan aithnichte a ghabhas brath a ghabhail orra na chùis gèillidh, chan e dìreach dragh tèarainteachd.
Tha an riaghailt ag iarraidh:
- Chan fhaod bathar le eileamaidean didseatach a dhol a-steach do mhargaidh an EU le so-leòntachdan aithnichte a ghabhas an cleachdadh.
- Bidh luchd-saothrachaidh a’ cur an gnìomh geataichean làimhseachaidh is fuasglaidh so-leòntachd
- Tha barrachd cuideam aig brath-chleachdaidh ann an àrainneachdan fìor na tha aig dèinead teòiridheach
Mar thoradh air an sin, bidh prìomhachas ag atharrachadh bho chleachdadh as fheàrr gu dleastanas laghail.
Is ann an seo dìreach a tha fiosrachadh brathaidh riatanach.
Achd Cybersilience
Tha Achd Cybersilience na riaghailt bhon Aonadh Eòrpach a tha a’ suidheachadh riatanasan èigneachail cibear-thèarainteachd airson toraidhean le eileamaidean didseatach a thèid a reic san EU.
Ann am faclan sìmplidh, tha e ag iarraidh air luchd-saothrachaidh bathar-bog a dhealbhadh, a leasachadh agus a chumail suas nach eil so-leòntachdan aithnichte a ghabhas saothrachadh aig àm an fhoillseachaidh. A bharrachd air an sin, tha e ag iarraidh air companaidhean sùil a chumail air so-leòntachdan às deidh an fhoillseachaidh agus cùisean a chaidh a shaothrachadh gu gnìomhach aithris taobh a-staigh clàran-ama teann.
Thàinig an riaghailt gu buil san Dùbhlachd 2024. Ach, tòisichidh làn-bhuileachadh san Dùbhlachd 2027. A’ tòiseachadh ann an 2026, feumaidh companaidhean innse do dh’ùghdarrasan an EU mu laigsean a chaidh an cleachdadh gu gnìomhach taobh a-staigh 24 uairean bho chaidh an lorg.
Ann am faclan eile, bidh Achd Ath-sheasmhachd Saidhbear ag atharrachadh riaghladh so-leòntachd bho bhith na chleachdadh as fheàrr gu bhith na riatanas ruigsinneachd margaidh.
Carson a tha KEVan aig cridhe gèilleadh CRA
Tha CISCatalog de sho-leòntachdan aithnichte a chaidh a chleachdadh a’ liostadh CVEan a bhios luchd-ionnsaigh a’ cleachdadh mu thràth. Tha an catalog seo a’ toirt air falbh mì-chinnt.
An àite a bhith a’ deasbad cunnart, faodaidh sgiobaidhean a bhith an urra ri dàta dearbhte mu dh’fhuasgladh. Mar thoradh air an sin, is e KEVan an adhbhar as làidire airson SLAn leigheis agus bacadh sgaoilidh.
Tha an dòigh-obrach seo a’ freagairt gu nàdarrach ri riaghladh so-leòntachd stèidhichte air cunnart, oir tha e a’ cur fòcas air oidhirp far a bheil fìor mhilleadh a’ tachairt.
Bidh CVSS, EPSS, agus KEVan a’ frithealadh diofar adhbharan
Feumaidh prìomhachas èifeachdach tuigse fhaighinn air mar a tha comharran eadar-dhealaichte.
- CVSS a’ sealltainn buaidh a dh’ fhaodadh a bhith ann
- EPSS a’ measadh coltachd ana-cleachdadh
- Tha CISTha Catalog So-leòntachd Aithnichte a’ dearbhadh gun deach brath a ghabhail orra gu gnìomhach
Nuair a thèid an cleachdadh leotha fhèin, bidh gach comharra a’ mealladh. Nuair a thèid an cleachdadh còmhla, bheir iad co-theacsa. Tha an cothlamadh sin a’ cruthachadh bunait riaghladh so-leòntachd stèidhichte air cunnart an latha an-diugh.
Mar a tha Fiosrachadh Aithnichte ag Obrachadh ann an Cleachdadh
Bidh modail prìomhachaidh practaigeach a’ leantainn sreath shoilleir:
- Lorg so-leòntachdan thar còd agus eisimeileachdan
- Co-dhùnaidhean maidsidh an aghaidh CISCatalog de sho-leòntachdan aithnichte a chaidh a chleachdadh
- Measadh a dhèanamh air coltachd brath-chleachdaidh le bhith a’ cleachdadh EPSS
- Dearbhaich ruigsinneachd san aplacaid no pipeline
- Cuir riaghailtean leigheis an sàs stèidhichte air nochdadh agus dreuchd toraidh
Mar thoradh air an sin, sguir sgiobaidhean de bhith a’ làimhseachadh liostaichean so-leòntachd mar chùl-stòran agus tòisichidh iad gan làimhseachadh mar…cisiain.
Mar a thog sinn fiosrachadh aithnichte aig Xygeni
Thog sinn an goireas seo an dèidh dhuinn sgiobaidhean fhaicinn a’ càradh chùisean CVSS àrd-ìre a-rithist is a-rithist fhad ’s a bha so-leòntachdan aithnichte a chaidh an cleachdadh a’ ruighinn cinneasachadh. Thug an t-eòlas sin buaidh air mar a dhealbhaich sinn an siostam.
le v5.36, Bidh Xygeni ag amalachadh fiosrachadh dearbhte mu dhroch-chleachdadh gu dìreach a-steach don einnsean prìomhachaidh.
Dè thachras fon chochall
- Bidh Xygeni an-còmhnaidh a’ gabhail a-steach catalogan earbsach leithid KEV agus stòran poblach eile de dh’fhuasgladh.
- Gheibh gach so-leòntachd meata-dhàta mu làthaireachd brathaidh
- Tha an t-inneal prìomhachaidh a’ cothlamadh:
- Inbhe aithnichte airson an cleachdadh
- Cothrom EPSS
- Co-theacsa ruigsinneachd
- Còd agus nochdadh eisimeileachd
Bidh an àrd-ùrlar a’ tomhas sgòr cunnairt co-dhèanta san t-saoghal fhìor
An àite comharran a th’ ann mar-thà a chur nan àite, bidh am modail seo gan leasachadh.
Lorgaireachd → Maidseadh Cleachdaidh → Ruigsinneachd → Càradh
Bidh an sruth seo a’ stiùireadh gach decision:
Chì luchd-leasachaidh co-theacsa ana-cleachdadh gu dìreach ann an pull requests. PipelineChan eil bloc s a’ tighinn còmhla ach nuair a bhios so-leòntachdan aithnichte a chaidh an cleachdadh ann an còd a ghabhas ruigsinn. Tha leigheas fèin-ghluasadach a’ moladh ùrachaidhean sàbhailte sa bhad.
Gun choinneamhan. Gun tomhas. Gun phìosan clisgeadh.
Carson a tha seo cudromach nas fhaide na gèilleadh
Ged a bhrosnaich Achd Ath-sheasmhachd Sibear-shìde an t-atharrachadh seo, tha na buannachdan a’ leudachadh nas fhaide.
Sgiobaidhean a bheir prìomhachas do bhith a’ cleachdadh fiosrachadh mu dhroch-chleachdadh:
- Lùghdaich sgìths rabhaidh
- Giorraich an ùine leigheis
- Seachain cearcallan pasgain èiginn
- Cuir bathar-bog nas sàbhailte le misneachd
Bidh gèilleadh na bhuaidh taobh de bhith a’ dèanamh tèarainteachd ceart.
Beachdan Deireannach: Tha CRA a’ dèanamh Riaghladh Stèidhichte air Cunnart èigneachail
Tha Achd an Ath-fhilleadh Saibhre a’ cur an gnìomh na tha sgiobaidhean eòlach air ionnsachadh mu thràth. Chan eil a h-uile so-leòntachd cudromach san aon dòigh.
Tha CISTha Catalog nan So-leòntachdan Aithnichte a chaidh a Bhrùthadh a’ sealltainn dè a bhios luchd-ionnsaigh a’ cleachdadh an-diugh. Tha co-theacsa agus ruigsinneachd a’ sealltainn a bheil buaidh aige ort. Còmhla, tha iad a’ mìneachadh an latha an-diugh riaghladh so-leòntachd stèidhichte air cunnart.
Bidh Xygeni a’ cur a’ mhodail seo an sàs gu leantainneach, gu fèin-ghluasadach, agus far a bheil luchd-leasachaidh ag obair mu thràth.
Mun Author
sgrìobhte le Fátima Said, Manaidsear Margaidheachd Susbaint a tha speisealaichte ann an Tèarainteachd Iarrtasan aig Xygeni Security. Bidh i a’ cruthachadh susbaint a tha ag amas air luchd-leasachaidh agus air a stiùireadh le rannsachadh air AppSec, ASPM, agus DevSecOps, ag eadar-theangachadh dùbhlain tèarainteachd san t-saoghal fhìor gu stiùireadh soilleir, obrachail.
