Ua wehewehe ʻia ka helu ʻana o CVE: CVSS, EPSS & Prioritization

He mea nui ka helu ʻana o CVE a me ka palekana CVE no ka pale ʻana i nā polokalamu polokalamu hou mai nā hoʻoweliweli cyber e kū mai ana. ʻO ka ʻike ʻana a me ka hoʻonohonoho ʻana i nā nāwaliwali e hiki ai i nā hui ke hoʻoponopono mua i nā pilikia koʻikoʻi loa. Hāʻawi ka helu ʻana o CVE i kahi standardala i hoʻonohonoho ʻia e hoʻonohonoho i nā nāwaliwali ma o ke koʻikoʻi, ʻoiai nā hana palekana CVE e hōʻoiaʻiʻo ana ua hoʻokele pono ʻia a hoʻēmi ʻia kēlā mau pilikia.

I 2025, Ua paʻi ʻia he 48,185 CVEs, he piʻi ʻana o 20.6% mai 39,962 o 2024, a ua helu ʻia he 38% ke koʻikoʻi kiʻekiʻe a koʻikoʻi paha. Me ka ulu wikiwiki ʻana o ka nui, ʻaʻole koho hou ka loaʻa ʻana o kahi helu CVE ikaika a me ka hoʻolālā palekana; he mea pono ia. 

ʻAʻole wale ka nui o ka nui o ka ʻikepili, ʻo ia ka hiki ʻole i ka loiloi kuʻuna ke hoʻomau me ia. Ua hoʻonui ka NVD o NIST i kahi kokoke i 42,000 CVEs i ka makahiki 2025, 45% ʻoi aku ma mua o nā makahiki i hala, akā ʻaʻole lawa ia e hoʻomau i nā hoʻouna e piʻi nei. Ma muli o ka hopena pololei, he 28% wale nō o nā CVE i hōʻike hou ʻia i ka makahiki 2025 i loaʻa ka hoʻonui piha ʻana o ka NVD (helu CVSS, hoʻokaʻawale CWE, ʻikepili CPE), i lalo loa mai 46.2% i ka makahiki 2024. Hōʻike kēia mau helu i ka wikiwiki e ulu nei no nā hui e loaʻa i kā lākou mau hana palekana CVE ponoʻī, ma mua o ka hilinaʻi wale ʻana i ka ʻikepili NVD e hiki mai ana i ka manawa kūpono.

He aha ka helu ʻana o CVE a no ke aha he mea nui ia no ka palekana CVE?

ʻO CVE ke kū nei no Common Vulnerabilities and Exposures, kahi papa inoa o nā nāwaliwali a me nā hōʻike ʻana o ka cybersecurity i hōʻike ʻia e ka lehulehu. Loaʻa i kēlā me kēia komo ma ka papa inoa CVE kahi hōʻailona kū hoʻokahi i kapa ʻia ʻo CVE ID, kahi e kuhikuhi pono ana i kahi nāwaliwali. Hoʻokele ka MITRE Corporation i kēia ʻōnaehana, standardke nānā ʻana pehea e ʻike ʻia ai a hoʻopaʻa inoa ʻia ai nā nāwaliwali. Hōʻoia kēia e hoʻohana nā mea āpau i ka cybersecurity i ka ʻōlelo kuhikuhi like i ka wā e kūkākūkā ai i nā hoʻoweliweli kikoʻī.

ʻO ka helu ʻana o CVE e pili ana i ka loiloi ʻana i kēlā me kēia komo CVE a me ka hāʻawi ʻana i kahi helu helu ma muli o kona koʻikoʻi. Kōkua kēia helu i nā hui e hoʻoholo i ka pae koʻikoʻi no ka hoʻoponopono ʻana i ka nāwaliwali.

Hāʻawi ia iā lākou e hoʻokaʻawale pono i nā kumuwaiwai a hōʻemi i nā pilikia hiki. Loiloi ka ʻōnaehana helu CVE i nā mea e like me ka maʻalahi o ka hoʻohana ʻana. Noʻonoʻo pū ia i ka hopena ma ka pilikino, ka pono, a me ka loaʻa (i kapa pinepine ʻia ʻo ka "CIA triad"). Eia kekahi, loiloi ia i ka hiki ke hoʻoponopono.

Pehea e hana pū ai ʻo NVD, ka papa inoa MITRE CVE, a me ka helu ʻana o CVE

Ke hoʻomaopopo nei i ka pilina ma waena o ka National Vulnerability Database (NVD), ka Papa Inoa MITRE, a he mea nui ka palekana CVE no ka hoʻomaopopo ʻana pehea e mālama ʻia ai nā nāwaliwali i loko o ka ʻōnaehana palekana pūnaewele.

Hoʻomaka ka Papa Inoa MITRE CVE ma ka ʻike ʻana i nā nāwaliwali a me ka hāʻawi ʻana iā lākou i kahi CVE ID. Eia nō naʻe, hāʻawi wale kēia papa inoa i ka ʻike kumu e pili ana i kēlā me kēia nāwaliwali. ʻO ka NVD, i mālama ʻia e ka National Institute of Standarda me ka ʻenehana (NIST), hoʻonui i kēia ʻikepili ma ka hāʻawi ʻana i nā wehewehe kikoʻī, nā kuhikuhi, a ʻo ka mea nui loa, ka helu ʻana o CVE ma o ka Pūnaehana Mākaʻikaʻi Hoʻomāinoino maʻamau (CVSS).

He kumuwaiwai koʻikoʻi ʻo NVD no ka mea he waihona ia o standardʻikepili nāwaliwali e pili ana i ka s, e kōkua ana i nā hui e hoʻomaopopo i ka hopena o kahi nāwaliwali me ka ʻoi aku ka piha. ʻAʻole wale nā ​​​​​​helu CVSS a me ka ʻike hohonu e like me:

• Nā wehewehe kikoʻī o kēlā me kēia nāwaliwali, me nā kikoʻī loea a me ke kumu e hiki ai ke hoʻohana pono ʻia ka nāwaliwali.
• Nā ana hopena e hōʻike ana pehea e hiki ai i ka nāwaliwali ke hoʻopilikia i nā ʻāpana like ʻole o ka ʻōnaehana o kahi hui.
• ʻIke hoʻoponopono e like me nā loulou i nā ʻāpana hoʻopili, nā ʻōlelo aʻoaʻo, a me nā hoʻēmi ʻana.

Ma muli o kona ʻano piha, ʻo ka NVD ke kumu hele no nā hui i ka wā e pono ai lākou e loiloi i ka hopena maoli o kahi nāwaliwali a hoʻomaopopo pehea e hoʻoponopono pono ai iā ia.

CVSS: ʻO ka ʻōnaehana helu CVE maʻamau loa ma Cybersecurity

ʻO ke ʻano hana i hoʻohana nui ʻia no ka helu ʻana i ka CVE ʻo ia ka Pūnaehana Mākaʻikaʻi Hoʻomāinoino maʻamau (CVSS), mālama ʻia a hoʻomohala ʻia e ka Forum of Incident Response and Security Teams (FIRST). Hāʻawi ʻo CVSS i kahi standardala i hoʻākāka ʻia no ke ana ʻana i ke koʻikoʻi o nā nāwaliwali, e maʻalahi ai i nā hui ke hoʻonohonoho i nā mea e hoʻoponopono mua.

ʻO ke kikoʻī, helu ʻo CVSS i nā nāwaliwali ma kahi pālākiō mai 0 a 10. Maanei, hōʻike ka 0 i ka ʻole o ka pilikia a hōʻike ka 10 i ka pae koʻikoʻi kiʻekiʻe loa. Eia kekahi, ua hoʻokumu ʻia ka helu ʻana ma luna o ʻehā mau pūʻulu metric nui:

Helu kumu:

Hōʻike kēia i nā ʻano kūloko o kahi nāwaliwali e mau ana i ka hala ʻana o ka manawa a ma waena o nā wahi hoʻohana. Manaʻo ka helu kumu i nā mea e like me ka hiki ke hoʻohana. Pili kēia i ka maʻalahi o ka hoʻohana ʻana i ka nāwaliwali. Loiloi pū ia i ka hopena ma ka pilikino, ka pono, a me ka loaʻa.

Helu Manawa:

Hoʻoponopono kēia i ka helu kumu ma muli o nā mea e loli ana i ka hala ʻana o ka manawa, e like me ka loaʻa ʻana o kahi hoʻoponopono a i ʻole ke hoʻohana nui ʻia nei kahi exploit. ʻO nā ana manawa e pili ana i ka oʻo ʻana o ke code exploit, ka pae hoʻoponopono, a me ka hilinaʻi hōʻike.

Helu Kaiapuni:

ʻAe kēia i nā hui e hoʻopilikino i ka helu CVSS e hōʻike i ka hopena o ka nāwaliwali i loko o ko lākou wahi kikoʻī. Noʻonoʻo ia i nā mea e like me ke koʻikoʻi o ka ʻōnaehana i hoʻopilikia ʻia a me ka hiki ke hōʻino ʻia.

Pūʻulu Metric Hoʻohui:

Ua hoʻolauna ʻia ma CVSS v4.0 a hāʻawi i ka pōʻaiapili hou aʻe e hiki ke hoʻohuli i ka loiloi pilikia holoʻokoʻa. Hoʻokomo pū kēia i nā noʻonoʻo e like me nā koi palekana, nā metrics automatable (e ana i ke ʻano o ka hopena o ka automation i ka hoʻohana ʻana), a me nā ʻano kū hoʻokahi i kūpono ʻole i loko o nā hui metric ʻē aʻe. ʻOiai ʻaʻole i hoʻokomo ʻia kēia mau metrics i ka helu CVSS holoʻokoʻa, hāʻawi lākou i nā ʻike waiwai. ʻO ka hopena, kōkua lākou i nā hui e hana i nā de ʻike hou aku.cisnā nīnau e pili ana i ka hoʻokele ʻana i nā nāwaliwali.

ʻO ka mana hou loa, CVSS v4.0, hoʻolauna i kēia mau hoʻomaikaʻi e hoʻomaikaʻi i ka pololei a me ka hoʻohana ʻana o ka helu ʻana i ka nāwaliwali. Ma ka hoʻomaʻemaʻe ʻana i nā metrika, hopu ʻo CVSS v4.0 i ka paʻakikī a me ke ʻano o nā nāwaliwali me ka ʻoi aku ka maikaʻi. Hōʻoia kēia e hāʻawi nā helu i kahi ʻoi aku ka muaciska hōʻike ʻana o ka pilikia maoli.

Laʻana Honua Maoli: CVE-2021-44228 (Log4Shell)

No ka hoʻākāka ʻana pehea e hana ai ka helu ʻana o CVE i ka hana maoli, e nānā kākou iā CVE-2021-44228, i ʻike nui ʻia ʻo Log4Shell. ʻO kēia Ka nāwaliwali o ka waihona puke Apache Log4j 2 ʻae i ka hoʻokō ʻana o ke code mamao (RCE). ʻO ka hopena, hiki i kahi mea hoʻouka ke lawe i ka mana o kahi ʻōnaehana i hoʻopilikia ʻia.

• ʻIke CVE: CVE-2021-44228
• Helu Kumu CVSS: 10.0 (Koʻikoʻi)
• Hoʻouka Vector: Pūnaewele (N) - Hiki ke hoʻohana ʻia ma kahi mamao.
• Paʻakikī o ka hoʻouka kaua: Haʻahaʻa (L) - Maʻalahi e hoʻohana.
• Nā Pono e Pono ai: ʻAʻohe (N) - ʻAʻohe pono e pono ai.
• Ka pilina o ka mea hoʻohana: ʻAʻohe (N) - ʻAʻole koi ʻia ka launa pū ʻana o ka mea hoʻohana.
• Laulā: Ua Hoʻololi ʻia (C) - Hoʻopilikia i nā kumuwaiwai ma mua o kona laulā mua.
• Ka Maluhia, Ka Pono, Ka Hopena Loaʻa: Kiʻekiʻe (H) - Hoʻopaʻapaʻa piha ʻana i ka pilikino, ka pono, a me ka loaʻa.

Ua hāʻawi ʻo NVD i kahi helu CVSS o 10.0, e hōʻike ana i ke kiʻekiʻe loa o ke koʻikoʻi. ʻO ke ʻano ākea o kēia nāwaliwali, i hui pū ʻia me ka maʻalahi o ka hoʻohana ʻana, ua lilo ia i mea nui no ka hoʻoponopono ʻana ma ka honua holoʻokoʻa.