Gabatarwa: Gudanar da Rauni Bisa Hadari A Ƙarƙashin Dokar Juriya ta Yanar Gizo
Ƙungiyoyin zamani sun riga sun san cewa gyara kowace rauni ba zai yiwu ba. Abin da ke da mahimmanci shi ne gyara waɗanda suka dace. Shi ya sa Gudanar da raunin da ya dogara da haɗari ya zama hanyar da ƙungiyoyin DevSecOps suka fi so. Duk da haka, a Tarayyar Turai, wannan ba kawai hanya ce mafi kyau ba. Dokar Resilience Cyber yana gabatar da takamaiman wajibai na doka, musamman lokacin da software ya haɗa da batutuwan da aka lissafa a cikin CISSanannen Kasida game da Rauni da Aka Yi Amfani da Shi.
A cikin wannan sabon yanayi, fifikon raunin yana canzawa daga zaɓin tsaro zuwa buƙatar bin ƙa'ida. Dole ne ƙungiyoyi su tabbatar sun fahimci waɗanne raunin ne ake amfani da su da kuma yadda suke yanke shawara kan abin da za su gyara da farko.
Gudanar da Rauni Bisa Hadari da Sanannun Rauni da aka Yi Amfani da su
Gudanar da raunin da ya danganci haɗari yana mai da hankali kan fallasa ga ainihin abin da ya faru maimakon tsananin da ba a saba gani ba. Maimakon yin la'akari da dukkan CVEs daidai gwargwado, ƙungiyoyi suna ba da fifiko bisa ga cin zarafi, isa ga abin da za a iya cimmawa, da kuma tasirin da zai yi.
Wannan shi ne inda raunin da aka sani da amfani da shi taka muhimmiyar rawa. Lokacin da CVE ya bayyana a cikin CISSanannen Kasida game da Rauni da Aka Yi Amfani da Shi, yana tabbatar da cewa maharan sun riga sun yi amfani da shi a cikin yanayi na gaske. Wannan siginar tana ɗauke da nauyi fiye da maki na ka'ida.
Idan kuna son ƙarin bayani game da menene KEVs da yadda ake gane su, zaku iya karanta rubutunmu na baya Sanannun Rauni da Aka Yi Amfani da su: Abin da Za a Gyara Da FarkoA cikin wannan labarin, za mu mayar da hankali kan yadda KEVs suka dace da tsarin bin ƙa'idodi da fifiko a ƙarƙashin Dokar Resilience Cyber.
Abin da Dokar Juriyar Yanar Gizo ke Bukata da Gaske
The Dokar Resilience Cyber Ya sanya wajibcin tsaron yanar gizo na tilas ga samfuran da ke da abubuwan dijital da ake sayarwa a cikin EU. A cewar takardun hukuma na EU:
- https://www.european-cyber-resilience-act.com/
- https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act
Dole ne masana'antun su:
- Gano da kuma magance raunin da ke tattare da shi a duk tsawon rayuwar samfurin
- Hana jigilar software tare da raunin da aka sani da amfani da shi
- Yi amfani da maganin hana haihuwa a kan lokaci bayan an gano cewa amfani da shi ya yi yawa
- Kiyaye shaidar rashin ƙarfi na sarrafacisions
A wata ma'anar, da zarar wani rauni ya bayyana a cikin CISSanannen Kasida game da Rauni da Aka Yi Amfani da Shi, yin watsi da shi yana haifar da duka haɗarin tsaro da na ƙa'ida.
Menene Dokar Juriyar Yanar Gizo (CRA)
The Dokar Resilience Cyber wata doka ce ta Tarayyar Turai wadda ta fayyace buƙatun tsaro na intanet na dole ga software da kayayyakin dijital da ake sayarwa a Turai. Yana buƙatar masu siyarwa su sarrafa raunin da ke tattare da shi a duk tsawon lokacin da samfurin ke rayuwa kuma su guji sakin software tare da raunin da aka sani da amfani da shi.
Jerin Abubuwan da Suka Fi Muhimmanci Game da Raunin CRA
| da ake bukata | Abin da CRA ke tsammani | Mafi kyawun Aiki ga Ƙungiyoyi |
|---|---|---|
| Sanin amfani da ƙarfi | Hana jigilar software tare da sanannun raunin da aka yi amfani da shi | Daidaita sakamakon ta atomatik da CISSanannen Kasida game da Rauni da Aka Yi Amfani da Shi |
| Fifiko bisa ga haɗari | Mayar da hankali kan raunin da ke haifar da haɗarin tsaro na gaske | Haɗa KEVs, EPSS, sauƙin isa, da kuma fallasa kadarori |
| Gyaran lokaci | Aiwatar da gyare-gyare ba tare da ɓata lokaci ba da zarar an san amfani da shi | Fahimtar gyara SLAs yanzu don KEVs masu iya isa kuma a aiwatar da su a cikin CI/CD |
| Ci gaba da sanya ido | Kula da raunin da ke tattare da shi a duk tsawon rayuwar samfurin | Gudanar da ci gaba da bincike kan lambar, abubuwan da suka dogara, da pipelines |
| Sarrafa fitarwa | Guji sakin samfuran da ke da lahani masu aiki waɗanda aka yi amfani da su | Haɗawa ko tura abubuwa zuwa ga toshewa lokacin da KEVs suka shafi lambar da za a iya isa gare ta |
| Decisbin diddigin ion | Tabbatar da yadda raunin ya kasancecisan yi ions | Ajiye rajistar binciken kuɗi don ganowa, fifita su, da kuma ayyukan gyarawa |
| Haɗin kai tsakanin masu haɓakawa | Matakan tsaro ba za su karya hanyoyin ci gaba ba | Fifikon saman kai tsaye a cikin pull requests da kuma CI pipelines |
| Nauyin zagayowar rayuwa | Kula da tsaro bayan an sake shi | Bibiyar canje-canjen KEVs da EPSS don nau'ikan da aka aika |
Dalilin da yasa KEVs suke da mahimmanci ga bin ƙa'idodin CRA
The CISSanannen Kasida game da Rauni da Aka Yi Amfani da Shi yana lissafa CVEs da maharan suka riga suka yi amfani da su a daji. A wata ma'anar, yana kawar da rashin tabbas daga fifiko.
Maimakon yin tambaya "Za a iya amfani da wannan?", ƙungiyoyi dole ne su yi tambaya kai tsaye:
"Shin an riga an yi amfani da wannan, kuma shin muna jigilar shi ko ta yaya?"
A ƙarƙashin Dokar Juriyar Yanar Gizo, wannan bambanci yana da mahimmanci a shari'a. Sakamakon haka, KEVs sun zama mafi ƙarfin abin da ke haifar da gyara SLAs da toshewar sakin. A cikin wannan mahallin, kula da raunin da ya dogara da haɗari ya dace da tsammanin ƙa'idoji.
CVSS, EPSS, da KEVs suna aiki da manufofi daban-daban
Domin a ba da fifiko daidai, dole ne ƙungiyoyi su fara fahimtar abin da kowace sigina ke wakilta a zahiri.
- CVSS yana nuna tasirin da zai iya haifarwa
- EPS kimanta yiwuwar amfani da shi
- CISSanannen Kasida game da Rauni da Aka Yi Amfani da Shi ya tabbatar da cewa amfani da kayan aiki ya riga ya faru
Idan aka yi la'akari da su kaɗai, kowace ma'auni na iya ɓatarwa. Duk da haka, idan ƙungiyoyi suka yi amfani da su tare, suna samun fahimtar mahallin. Saboda wannan dalili, haɗa waɗannan sigina shine ginshiƙin ingantaccen tsarin kula da rauni bisa ga haɗari.
Gudanar da Rauni Bisa Hadari a Aiki
A aikace, tsarin fifikon da ke haifar da haɗari yana bin tsari mai bayyananne kuma mai maimaitawa.
- Gano raunin da ke tattare da lambar da abubuwan da suka dogara da su
- Duba wasannin da suka dace da CISSanannen Kasida game da Rauni da Aka Yi Amfani da Shi
- Kimanta yuwuwar amfani da EPSS
- Tabbatar da isa ga aikace-aikacenku ko pipeline
- Aiwatar da ƙa'idodin gyara dangane da fallasa da rawar da samfura ke takawa
Sakamakon haka, ƙungiyoyi sun daina ɗaukar jerin raunin da ke tattare da su a matsayin koma-baya kuma suka fara ɗaukar su a matsayin tsaro na gaske.cisions.
Tsarin Fifiko Daban-daban da Ƙungiyoyi Ke Amfani da Su A Yau
Ba duk ƙungiyoyi ne ke fifita haɗari ta hanya ɗaya ba. a general, mun ga samfura guda uku da aka saba gani a cikin yanayi na gaske.
1. Tsarin Farko Mai Tsanani
Ƙungiyoyi suna gyara matsaloli bisa ga CVSS kawai.
Wannan tsarin yana da sauƙin ɗauka. Duk da haka, yana haifar da hayaniya kuma bai cika tsammanin Dokar Juriyar Yanar Gizo ba.
2. Tsarin da ke da Sauƙin Yin Amfani da Shi
Ƙungiyoyi suna dogara da EPSS don yin hasashen abin da maharan za su iya amfani da shi a gaba.
Wannan hanyar tana inganta mayar da hankali. Duk da haka, har yanzu tana rasa raunin da maharan suka riga suka yi amfani da shi.
3. Tsarin Sanin Cin Zarafi
Ƙungiyoyi suna haɗa EPSS da CISSanannen Kasida game da Rauni da aka Yi Amfani da su da kuma yanayin fasaha.
Sabanin haka, wannan tsarin ya fi tallafawa tsarin kula da rauni bisa ga haɗari kuma yana nuna kai tsaye ga wajibai na CRA.
Yadda Xygeni Ke Aiki da Fifikon Shirye-shiryen CRA
Xygeni yana taimaka wa ƙungiyoyi su mayar da tsari zuwa tsarin aiki na yau da kullun.
Maimakon haka dogara kawai akan dashboards, Xygeni ya tilasta decisions daidai inda canje-canjen lambar ke faruwa. Saboda, fifikon ya zama atomatik kuma daidaitacce.
Mabuɗin iyawa sun haɗa da:
- Daidaita ta atomatik tare da CISSanannen Kasida game da Rauni da Aka Yi Amfani da Shi
- Maki na EPSS bisa ga yiwuwar amfani
- Binciken isa ga abin da ake buƙata don tabbatar da ainihin fallasa
- Guardrails toshen yana haɗuwa ko kuma yana fitowa lokacin da KEVs suka shafi lambar da za a iya isa gare ta
- Sabuntawa ta atomatik ta hanyar tsaro pull requests
- Cikakken rajistar binciken kuɗi don nunawa Dokar Resilience Cyber yarda
A takaice dai, ƙungiyoyi ba wai kawai suna ganin haɗari ba ne. Suna yin aiki a kai ta hanyar da za a iya maimaitawa da kuma tantancewa.
Misali: Hana KEV Saki
Ka yi tunanin sabuntawar dogaro da kai ya gabatar da CVE.
- Rashin lafiyar ya bayyana a cikin CISSanannen Kasida game da Rauni da Aka Yi Amfani da Shi
- Xygeni yana gano shi a lokacin pull request
- Binciken isa ga mai amfani yana tabbatar da cewa hanyar lambar tana aiki
- Guardrails toshe haɗin ta atomatik
- Bot ɗin ya gabatar da haɓakawa mai aminci kuma yana gudanar da gwaje-gwaje
Mai haɓaka ya warware matsalar a cikin tsari ɗaya. Fitowar ta kasance mai bin ƙa'ida. Ba a buƙatar tarurruka.
A wata ma'anar, wannan tsarin kula da rauni ne bisa ga haɗari da aka yi amfani da shi daidai inda masu haɓaka suka riga suka yi aiki.
Dalilin da Ya Sa Wannan Yake Da Muhimmanci Fiye da Bin Dokoki
Ko da yake Dokar Resilience Cyber wannan sauyi ya haifar, fa'idodin sun ƙara yawa.
Ƙungiyoyin da ke ba da fifiko ga amfani da KEVs, EPSS, da mahallin:
- Rage gajiyar faɗakarwa
- Rage lokacin gyarawa
- Guji faci na gaggawa
- Kawo software mafi aminci da amincewa
Gabaɗaya, bin ƙa'ida ya zama sakamako na halitta na yin tsaro ta hanyar da ta dace.
Tunani na Ƙarshe: CRA Ta Sanya Gudanar da Dangane da Hadari Ya Zama Dole
The Dokar Resilience Cyber yana tsara abin da ƙungiyoyin tsaro suka riga suka koya ta hanya mai wahala. Ba dukkan raunin da ke tattare da shi ke da muhimmanci iri ɗaya ba.
The CISSanannen Kasida game da Rauni da Aka Yi Amfani da Shi yana bayyana abin da maharan ke amfani da shi a yau. EPSS yana annabta abin da za su yi amfani da shi a gaba. Mahalli yana nuna ko yana shafar ku.
Tare, suna samar da zamani Gudanar da raunin da ya dogara da haɗari.
Xygeni yana taimaka wa ƙungiyoyi su yi amfani da wannan samfurin akai-akai, ta atomatik, kuma ta hanyar da masu haɓakawa suka yarda da shi.
Game da Author
Written by Fatima Said, Manajan Tallan Abubuwan Ciki ƙwararre ne a fannin Tsaron Aikace-aikace a Tsaron Xygeni.
Fátima tana ƙirƙirar abun ciki mai dacewa da masu haɓakawa, wanda ya dogara da bincike akan AppSec, ASPM, da kuma DevSecOps. Tana fassara ra'ayoyin fasaha masu rikitarwa zuwa fahimta bayyanannu, masu aiki waɗanda ke haɗa kirkire-kirkire na tsaro ta yanar gizo da tasirin kasuwanci.
