A biztonsági csapatok ritkán vallanak kudarcot adathiány miatt. Gyakrabban azért vallanak kudarcot, mert először a rossz problémákat javítják ki. Pontosan ezért van az, hogy a Known-Exploit Intelligence, a kockázatalapú sebezhetőségkezelés, a Cyber Resilience Act és a... CISAz ismert kihasznált sebezhetőségek katalógusa mostantól a modern alkalmazásbiztonsági munkafolyamatokban is megtalálható.
A szkennerek minden héten több száz sebezhetőséget jelentenek. A támadók azonban ezeknek csak egy kis részét használják ki. Következésképpen azok a csapatok, amelyek a kihasználási kontextus ismerete nélkül rangsorolnak, időt pazarolnak, miközben a valódi fenyegetések átcsúsznak. Az ismert kihasználási intelligencia ezt a hiányosságot úgy szünteti meg, hogy felszínre hozza a támadók által ténylegesen használt sebezhetőségeket, nem csak azokat, amelyek papíron súlyosnak tűnnek.
Mi az ismert – kihasználható intelligencia
Az ismert sebezhetőségek kihasználására irányuló felderítés azonosítja azokat a sebezhetőségeket, amelyeket a támadók valós környezetben aktívan kihasználnak. Más szóval, elkülöníti az elméleti kockázatot a megerősített támadási viselkedéstől.
Ahelyett, hogy megkérdeznénk, hogy van-e sebezhetőség tudott kihasználható, a csapatok végre feltehetik a kérdést:
Ezt már kihasználják, és ez hatással van a termékemre?
Ez a megkülönböztetés operatív szempontból és egyre inkább jogilag is fontos.
Miért bukik meg a hagyományos priorizálás?
A legtöbb csapat továbbra is statikus jelekre támaszkodik a kockázatok rangsorolásakor.
A sebezhetőségeket jellemzően a következők szerint rendezik:
- CVSS súlyossága
- Szkenner magabiztosság
- Csomagok népszerűsége
Bár ezek a jelek segítenek csökkenteni a zajt, egy kritikus tényezőt figyelmen kívül hagynak: a támadók viselkedését. Ennek eredményeként a csapatok gyakran sietnek a súlyos, de soha ki nem aknázható hibák javításával, miközben a támadók által aktívan célba vett, kevésbé súlyos hibákat figyelmen kívül hagyják.
Ez a különbség magyarázza, hogy a statikus priorizálás miért nem skálázódik már.
Miért változtatja meg a kiberbiztonsági törvény a szabályokat?
Alatt Cyber Resilience ActAz ismert, kihasználható sebezhetőségeket tartalmazó szoftverek szállítása nem csupán biztonsági aggályt, hanem megfelelőségi problémát is jelent.
A rendelet előírja, hogy:
- Digitális elemeket tartalmazó termékek nem kerülhetnek be az EU piacára, ha ismert, kihasználható sebezhetőségeik vannak.
- A gyártók sebezhetőség-kezelést és engedélyezési kapukat alkalmaznak
- A valós környezetben történő kizsákmányolás nagyobb súllyal bír, mint az elméleti súlyosság
Ennek eredményeként a prioritások meghatározása a legjobb gyakorlatról a jogi kötelezettségre helyeződik át.
Pontosan itt válik elengedhetetlenné az exploit intelligencia.
Cyber Resilience Act
Az Cyber Resilience Act egy Európai Uniós rendelet, amely kötelező kiberbiztonsági követelményeket határoz meg az EU-ban értékesített digitális elemeket tartalmazó termékekre vonatkozóan.
Egyszerűen fogalmazva, előírja a gyártók számára, hogy olyan szoftvereket tervezzenek, fejlesszenek és tartsanak karban, amelyek a kiadás időpontjában nem tartalmaznak ismert, kihasználható sebezhetőségeket. Továbbá kötelezi a vállalatokat, hogy a kiadás után is figyelemmel kísérjék a sebezhetőségeket, és szigorú határidőn belül jelentsék az aktívan kihasznált problémákat.
A rendelet 2024 decemberében lépett hatályba. A teljes körű végrehajtás azonban 2027 decemberében kezdődik. 2026-tól kezdődően a vállalatoknak a felfedezésüket követő 24 órán belül jelenteniük kell az uniós hatóságoknak a kihasznált sebezhetőségeket.
Más szóval, a Kiberbiztonsági Törvény a sebezhetőségkezelést a legjobb gyakorlatból piacra jutási követelménnyé alakítja.
Miért állnak a KEV-ek a hitelminősítő intézetek megfelelőségének középpontjában?
Az CISIsmert kihasznált sebezhetőségek katalógusa Felsorolja azokat a CVE-ket, amelyeket a támadók már a természetben kihasználnak. Ez a katalógus eloszlatja a kétértelműségeket.
A kockázatok megvitatása helyett a csapatok ellenőrzött kihasználási adatokra támaszkodhatnak. Következésképpen a KEV-ek válnak a legerősebb kiváltó okává a helyreállítási SLA-knak és a kiadások blokkolásának.
Ez a megközelítés természetes módon illeszkedik a kockázatalapú sebezhetőségkezelés, mert az erőfeszítéseket oda összpontosítja, ahol valódi kár keletkezik.
A CVSS, az EPSS és a KEV-ek különböző célokat szolgálnak
A hatékony priorizáláshoz meg kell érteni, hogy a jelek hogyan különböznek egymástól.
- CVSS potenciális hatást mutat
- EPSS becsüli a kizsákmányolás valószínűségét
- Az CISAz ismert kihasznált sebezhetőségek katalógusa megerősíti az aktív kihasználást
Önmagukban használva minden jel félrevezető. Együtt kontextust adnak. Ez a kombináció alkotja a modern kockázatalapú sebezhetőségkezelés alapját.
Hogyan működik a ismert kihasználási intelligencia a gyakorlatban
Egy gyakorlati priorizálási modell egyértelmű sorrendet követ:
- Kód és függőségek sebezhetőségeinek észlelése
- Egyeztesse az eredményeket a következővel: CISIsmert kihasznált sebezhetőségek katalógusa
- A kihasználás valószínűségének értékelése EPSS segítségével
- Elérhetőség ellenőrzése az alkalmazásban, vagy pipeline
- Alkalmazzon korrekciós szabályokat a kitettség és a termék szerepköre alapján
Ennek eredményeként a csapatok a sebezhetőségi listákat már nem teendőként kezelik, hanem hiányosságokként.cisionok.
Hogyan építettük fel az ismert kihasználási intelligenciát a Xygeninél
Ezt a funkciót azután hoztuk létre, hogy többször is láttuk, ahogy a csapatok magas CVSS-értékű problémákat javítanak, miközben az ismert kihasznált sebezhetőségek elérték az éles környezetet. Ez a tapasztalat határozta meg a rendszer tervezését.
A v5.36, A Xygeni közvetlenül a priorizálási motorba integrálja az ellenőrzött exploit intelligenciát.
Mi történik a motorháztető alatt?
- A Xygeni folyamatosan beolvassa a megbízható exploit katalógusokat, mint például a KEV és más nyilvános exploit források.
- Minden sebezhetőség exploit-present metaadatokat kap
- A priorizálási tölcsér a következőket ötvözi:
- Ismert kihasználási állapot
- EPSS valószínűség
- Elérhetőségi kontextus
- Kód- és függőségi kitettség
A platform egy összetett valós kockázati pontszámot számít ki
A meglévő jelek lecserélése helyett ez a modell finomítja azokat.
Észlelés → Biztonsági rések kihasználása → Elérhetőség → Javítás
Ez az áramlás minden de-t hajtcision:
A fejlesztők közvetlenül látják az exploit kontextusát pull requests. PipelineAz s blokk csak akkor egyesül, ha az elérhető kód ismert, kihasznált sebezhetőségeket tartalmaz. Az automatikus javítás azonnal biztonságos frissítéseket javasol.
Nincsenek megbeszélések. Nincsenek találgatások. Nincsenek pánikhullámok.
Miért fontos ez a megfelelőségen túl?
Bár a Kiberbiztonsági Törvény indította el ezt a változást, az előnyök ennél is tovább terjednek.
Azok a csapatok, amelyek prioritást élveznek a támadási intelligencia használatában:
- Csökkenti az éberségi fáradtságot
- A helyreállítási idő lerövidítése
- Kerülje a vészhelyzeti javítási ciklusokat
- Biztonságosabb szoftverek szállítása bizalommal
A megfelelőség a biztonság megfelelő elvégzésének mellékhatásává válik.
Záró gondolatok: A CRA kötelezővé teszi a kockázatalapú kezelést
A Cyber Resiliency Act (Kiberbiztonsági Törvény) formalizálja a tapasztalt csapatok által már megtanult ismereteket. Nem minden sebezhetőség egyformán fontos.
Az CISAz Ismert Kihasznált Sebezhetőségek Katalógusa megmutatja, hogy mit használnak a támadók ma. A kontextus és az elérhetőség megmutatja, hogy érint-e téged. Együttesen határozzák meg a modern... kockázatalapú sebezhetőségkezelés.
A Xygeni ezt a modellt folyamatosan, automatikusan alkalmazza, és ott, ahol a fejlesztők már dolgoznak.
A szerzőről
Írta Fatima Said, az Xygeni Security alkalmazásbiztonságra szakosodott tartalommarketing-menedzsere. Fejlesztőközpontú, kutatásvezérelt tartalmakat készít az AppSec platformon. ASPMés a DevSecOps, amely a valós biztonsági kihívásokat világos, gyakorlatias útmutatássá alakítja.
