Կիբերանվտանգության թիմերը ամեն օր բախվում են անթիվ խոցելիությունների: Կարևոր է պարզել, թե որ սպառնալիքներն են առաջին հերթին ուշադրության կարիք ունենում: Ահա թե որտեղ է գործի դրվում ընդհանուր խոցելիության գնահատման համակարգը (CVSS): CVSS-ը, որը ռիսկերի գնահատման շրջանակ է, թվային արժեք է տալիս խոցելիություններին, օգնելով թիմերին արդյունավետորեն դասակարգել ռիսկերը: CVSS հաշվիչի նման գործիքներ օգտագործելով և CVSS-ի կողմից տրամադրվող տեղեկատվության ուսումնասիրությամբ՝ անվտանգության թիմերը կարող են ավելի արագ և խելացի լուծումներ մշակել:cisիոններ՝ կենտրոնանալու ամենակարևոր սպառնալիքների վրա։
DevSecOps ինժեներների համար և CISԱյո, CVSS-ը պարզեցնում է ռիսկերի գնահատումը։ Այն օգնում է կենտրոնանալ ամենակարևոր խոցելիությունների վրա։ CVSS-ի միջոցով թիմերը կարող են առաջ անցնել սպառնալիքներից և ամրապնդել անվտանգությունը։
Understanding CVSS ռիսկի գնահատականը և դրա չափանիշները
Համընդհանուր խոցելիության գնահատման համակարգը (CVSS, ռիսկի գնահատման շրջանակ) ապահովում է համաշխարհային ճանաչում ունեցող standard ծրագրային խոցելիությունները գնահատելու համար։ ԱՌԱՋԻՆ (Միջադեպերի արձագանքման և անվտանգության թիմերի ֆորում) ընկերությունը մշակել է CVSS-ը՝ ռիսկի չափման կառուցվածքային եղանակ ստեղծելու համար: Ինչպես FIRST-ը բացատրում է իրենց պաշտոնական տեխնիկական փաստաթղթում, համակարգը կազմակերպություններին տալիս է standardստացված պատկերացումներ, որոնք օգնում են նրանց արդյունավետորեն առաջնահերթություն տալ խոցելիություններին և արագ արձագանքել։
2026 թվականից սկսած՝ անվտանգության ծրագրերի մեծ մասը CVSS v3.1-ից անցնում է CVSS v4.0-ի, որը վերանայված տարբերակ է, որը վերաձևավորում է պաշտպանների կողմից խոցելիության ծանրության և առաջնահերթության վերաբերյալ դատողությունները: Սակայն անցումը պարզ թարմացում չէ. NVD-ն այժմ հրապարակում է CVSS 4.0 գնահատականները նոր հրապարակված CVE-ների համար՝ CVSS 3.1-ի հետ միասին, սակայն ամբողջական պատմական տվյալների բազայի հետադարձ վերագնահատում չի նախատեսվում, ինչը նշանակում է, որ ավելի հին CVE-ները անորոշ ժամանակով կպահպանեն իրենց CVSS 3.1 գնահատականները որպես հիմնական հղում: Եթե դուք 2026 թվականին կառուցում կամ թարմացնում եք խոցելիության կառավարման ծրագիր, ակնկալեք, որ մոտ ապագայում կաշխատեք երկու տարբերակների հետ կողք կողքի:
Ավելին, CVSS-ը ապահովում է ծրագրային խոցելիությունների համապարփակ գնահատում՝ օգտագործելով համակարգված գնահատման մեխանիզմ: Այն շնորհում է 0-ից 10 միավորներ, որտեղ ավելի բարձր միավորները ցույց են տալիս ավելի կարևոր խոցելիություններ:
Ի՞նչ տեղեկատվություն է տրամադրում CVSS-ը ռիսկերի կառավարման համար:
Ընդհանուր խոցելիության գնահատման համակարգ (CVSS) Ապահովում է կառուցվածքային շրջանակ՝ խոցելիությունների ծանրության և ազդեցության գնահատման համար: Անվտանգության թերությունների բնույթը և հետևանքները վերլուծելով՝ CVSS-ը օգնում է կազմակերպություններին առաջնահերթություն տալ վերականգնման ջանքերին: Համակարգն առաջարկում է հիմնական չափանիշներ երեք հիմնական չափորոշիչներով.
Հիմնական չափանիշներՍրանք չափում են խոցելիության ներքին բնութագրերը, որոնք չեն փոխվում ժամանակի ընթացքում կամ տարբեր միջավայրերում: Հիմնական մանրամասները ներառում են՝
- Հարձակման վեկտոր (AV)Ինչպես կարելի է շահագործել խոցելիությունը (օրինակ՝ հեռակա կամ տեղական):
- Հարձակման բարդություն (AC)Խոցելիությունը շահագործելու դժվարությունը։
- Պահանջվող արտոնություններ (PR): Խոցելիությունը շահագործելու համար անհրաժեշտ մուտքի մակարդակը։
- հարվածԳնահատում է գաղտնիության, ամբողջականության և մատչելիության հետևանքները։
Ժամանակային չափանիշներԱյս չափանիշները գնահատում են խոցելիությունը՝ պայմանների զարգացմանը զուգընթաց, ինչպիսիք են՝
- Շահագործման կոդի ժամկետըԱրդյո՞ք շահագործման կոդը հրապարակայնորեն հասանելի է։
- Վերականգնման մակարդակՈւղղումների կամ շրջանցիկ լուծումների առկայություն։
- Հաղորդել վստահության մասինՀաղորդված տեղեկատվության հավաստիությունը։
Բնապահպանական չափումներՍրանք գնահատականը հարմարեցնում են կազմակերպության կոնկրետ համատեքստին՝ արտացոլելով խոցելիության եզակի ազդեցությունը բիզնեսի վրա։ Հիմնական գործոններն են՝
- Փոփոխված ազդեցության չափանիշներԿարգավորված է՝ հիմնվելով որոշակի համակարգերի կրիտիկականության վրա։
- Անվտանգության պահանջներԳաղտնիության, ամբողջականության և մատչելիության կարևորությունը տվյալ միջավայրում։
Այս տեղեկատվությունը կիբերանվտանգության թիմերին տրամադրում է գործնական պատկերացումներ՝ խոցելիությունները մանրամասնորեն հասկանալու համար, ինչը առաջնահերթությունների սահմանումն ավելի նախօրոք է դարձնում։cisե. CVSS հաշվիչի նման գործիքներ օգտագործելով՝ թիմերը կարող են այս չափանիշները վերածել կազմակերպչական ռիսկի շեմերին համապատասխանող անհատականացված միավորների։
CVSS հաշվիչի օգտագործումը սպառնալիքները առաջնահերթություն տալու համար
CVSS հաշվիչը օգնում է CVSS միավորները վերածել գործնականում կիրառելի վերլուծությունների: Անվտանգության թիմերը ավելացնում են խոցելիության վերաբերյալ կոնկրետ մանրամասներ՝ իրենց միջավայրերին համապատասխանող ռիսկի միավորները հաշվարկելու համար: Այս գործընթացը ապահովում է, որ նրանք առաջնահերթություն են տալիս իրական աշխարհի պայմաններին, այլ ոչ թե տեսական սցենարներին:
Օրինակ, CVSS հաշվիչը թույլ է տալիս թիմերին ուսումնասիրել Ի՞նչ տեղեկատվություն է տրամադրում CVSS-ը, ինչպիսիք են շահագործելիությունը, հնարավոր ազդեցությունը և այն, թե ինչպես են տարբեր մեղմացնող գործոնները ազդում ռիսկի մակարդակների վրա: Գործիքներ, ինչպիսիք են Ազգային խոցելիության տվյալների բազան CVSS v4 հաշվիչ պարզեցնել այս գործընթացը՝ օգնելով անվտանգության մասնագետներին ավելի արդյունավետորեն վերլուծել խոցելիությունները։
Այս անհատականացված մոտեցումը թույլ է տալիս կազմակերպություններին կենտրոնանալ այն խոցելիությունների վրա, որոնք ամենամեծ ռիսկերն են ներկայացնում կարևորագույն համակարգերի համար: Ինչպես ավելի վաղ բացատրվեց, թիմերը օգտագործում են CVSS հաշվիչը նման գործիքներ՝ CVSS-ը՝ ռիսկերի գնահատման շրջանակը, ավելի մանրամասն ուսումնասիրելու համար: Ավելին, այն կապում է տեխնիկական գնահատումները ռազմավարական մշակման հետ:cisիոններ, որոնք թույլ են տալիս DevSecOps ինժեներներին և CISՈրպեսզի ռեսուրսներն ուղղորդվեն այնտեղ, որտեղ դրանք ամենաշատն են անհրաժեշտ։
Բացի այդ, CVSS հաշվիչի այլ գործիքների հետ համադրումը բարելավում է թիմային հաղորդակցությունը: Այս մոտեցումը թիմերին հնարավորություն է տալիս պարզաբանել գործընթացները և արդյունավետորեն կառավարել խոցելիությունները: CVSS տեղեկատվությունը արդյունավետորեն կիրառելով՝ կազմակերպությունները ամրապնդում և պահպանում են ավելի հուսալի անվտանգության դիրք:
Ցանկանո՞ւմ եք ավելին իմանալ իրական ժամանակում սպառնալիքներից առաջ մնալու մասին։
Ներբեռնեք մեր «Վաղ նախազգուշացում. իրական ժամանակում սպառնալիքների հայտնաբերում և առաջնահերթության սահմանում» սպիտակ թուղթը և իմացեք, թե ինչպես պաշտպանել ձեր ծրագրային ապահովման մատակարարման շղթան։
CVSS-ի հիմնական առավելությունները ռիսկի գնահատական
CVSS-ը, որը ռիսկերի գնահատման համակարգ է, միայն խոցելիություններին թվեր նշանակելը չէ։ Այն առաջարկում է իմաստալից պատկերացումներ, որոնք օգնում են DevSecOps թիմերին և CISԱվելի լավ է դեcisիոններ՝ ուսումնասիրելով, թե ինչ տեղեկատվություն է տրամադրում CVSS-ը և օգտագործելով այն ավելի խելացի անվտանգության ռազմավարությունների համար։
Ապահովում է հետևողական ռիսկի գնահատում CVSS-ի ռիսկի գնահատման միջոցով
Սկզբի համար CVSS-ը օգտագործում է standardդասակարգված գնահատման մեթոդ, որը հեշտացնում է թիմերի համար խոցելիությունների հետևողական գնահատումը: Այս միատարր մոտեցումը նվազեցնում է շփոթմունքը և օգնում է թիմի բոլոր անդամներին աշխատել ռիսկերի նույն ըմբռնմամբ: Արդյունքում, կազմակերպությունները կարող են համակարգել իրենց ջանքերը և կենտրոնանալ ամենակարևոր խնդիրների վրա՝ առանց ժամանակ վատնելու:
Հնարավորություն է տալիս ավելի լավ մշակմանcisիոնների առաջացում
Բացի այդ, ինչպես արդեն նշել ենք, CVSS-ը տրամադրում է մանրամասն պատկերացումներ՝ խոցելիությունները բաժանելով հիմնական, ժամանակային և շրջակա միջավայրի չափանիշների: Այս պատկերացումները գերազանցում են սպառնալիքի լրջության որոշումը: Դրանք նաև ցույց են տալիս, թե որքան հավանական է, որ խոցելիությունը կշահագործվի: Այս տեղեկատվության միջոցով թիմերը կարող են ավելի արագ լուծումներ գտնել:cisիոններ և կենտրոնացնել իրենց ռեսուրսները ամենահրատապ ռիսկերը լուծելու վրա։
Բարելավում է թիմերի միջև հաղորդակցությունը
Ավելին, CVSS թվային գնահատման համակարգը հեշտացնում է խոցելիությունների բացատրությունը: Անվտանգության թիմերը կարող են օգտագործել պարզ չափանիշներ՝ ոչ տեխնիկական շահագրգիռ կողմերին, ինչպիսիք են ղեկավարները կամ մենեջերները, օգնելու հասկանալ ռիսկերը: Այս փոխըմբռնումը հանգեցնում է ավելի լավ համագործակցության, ավելի արագ մշակման:cisիոնների արտադրություն և սպառնալիքներին ավելի արդյունավետ արձագանք։
Անխափան աշխատում է առաջադեմ գործիքների հետ
CVSS-ի մեկ այլ առավելությունն այն է, թե որքան լավ է այն ինտեգրվում այլ կիբերանվտանգության գործիքների հետ: Օրինակ՝ Xygeni-ի նման հարթակները բարելավում են CVSS-ը՝ ավելացնելով իրական ժամանակի շահագործման վերլուծություն և աշխատանքային համատեքստ: Այս ինտեգրացիաները օգնում են կատարելագործել առաջնահերթությունները՝ թիմերի համար ավելի հեշտացնելով կենտրոնանալը ամենակարևոր խոցելիությունների վրա:
Համապատասխանում է արդյունաբերությանը Standards
Վերջապես, CVSS-ը համապատասխանում է գլոբալին standardև վստահելի է ամբողջ աշխարհի կազմակերպությունների կողմից։ Այս լայն տարածումը հեշտացնում է ընկերությունների համար ոլորտի լավագույն փորձի և կարգավորող պահանջների պահպանումը։ Քանի որ CVSS-ը այդքան լայնորեն օգտագործվում է, անվտանգության թիմերը կարող են վստահել դրան որպես խոցելիությունները կառավարելու և առաջնահերթություն տալու հուսալի գործիք։
-Ի սահմանափակումները CVSS ռիսկի գնահատական
Թեև CVSS-ը օգտակար գործիք է խոցելիությունները գնահատելու համար, այն ունի որոշ կարևոր սահմանափակումներ, որոնք անվտանգության թիմերը պետք է լուծեն՝ դրա օգտագործումը բարելավելու համար։
Ստատիկ գնահատականը սահմանափակումներ ունի
Նախ, CVSS-ը հիմնված է ստատիկ գնահատման վրա, ինչը նշանակում է, որ խոցելիության գնահատականը չի փոխվում նույնիսկ նոր սպառնալիքների ի հայտ գալուն պես: Սա կարող է ստիպել թիմերին չափազանց կենտրոնանալ ցածր ռիսկի խնդիրների վրա կամ անտեսել ակտիվ սպառնալիքները, ինչը կհանգեցնի ժամանակի և ջանքերի վատնման:
Փոփոխվող սպառնալիքների համար թարմացումներ չկան
Երկրորդ, CVSS-ը չի հարմարվում արագ փոփոխվող սպառնալիքներին: Օրինակ, խոցելիությունը կարող է ավելի վտանգավոր դառնալ, եթե հաքերները հրապարակեն հանրային շահագործում կամ եթե կարևոր համակարգը բացահայտվի: Առանց իրական ժամանակի թարմացումների, թիմերը կարող են բաց թողնել անհապաղ սպառնալիքները:
Բացակայող շահագործելիության տվյալներ
Բացի այդ, CVSS-ը չափում է խոցելիության լրջությունը, բայց չի ցույց տալիս, թե որքանով է այն շահագործվելու հավանականությունը: EPSS-ի նման գործիքները կարող են օգնել՝ կանխատեսելով շահագործման հավանականությունը: Օրինակ, բարձր CVSS միավորը կարող է արագ գործողությունների կարիք չունենալ, եթե շահագործելիությունը ցածր է, բայց միջին միավորը՝ բարձր շահագործելիությամբ, կարող է անհապաղ ուշադրություն պահանջել:
Սահմանափակ շրջակա միջավայրի հարմարեցում
Վերջապես, չնայած CVSS-ը թույլ է տալիս որոշակի ճշգրտումներ կատարել կազմակերպության կառուցվածքի հիման վրա, այդ ճշգրտումները հաճախ բաց են թողնվում կամ չարաշահվում: Սա կարող է հանգեցնել այնպիսի գնահատականների, որոնք լիովին չեն արտացոլում ռիսկերը, ինչպիսիք են հանրային համակարգերում առկա ռիսկերը, որոնք ավելի խոցելի են, քան ներքին գործիքները:
Սուր գնաճը աճող խնդիր է
Այս սահմանափակումը տեսական չէ։ 2025 թվականին, Բոլոր CVE-ների 8.3%-ը գնահատվել է որպես կրիտիկական և 31.1%-ը գնահատվել է բարձր։ Երբ հրապարակված բոլոր խոցելիությունների մոտ 40%-ը կրում է «Բարձր» կամ «Կրիտիկական» պիտակ, այդ խմբերը դադարում են էականորեն տարբերակել իրական ռիսկը սովորական ռիսկից, հենց այդ պատճառով էլ CVSS-ը այլևս չի կարող ինքնուրույն խթանել առաջնահերթությունների սահմանումը։
Ավելացնելով այնպիսի գործիքներ, ինչպիսիք են՝ EPSS և իրական ժամանակի մոնիթորինգի միջոցով թիմերը կարող են շտկել այս բացթողումները և ավելի լավ կենտրոնանալ ամենակարևոր խոցելիությունների վրա։
Սահմանափակումների հաղթահարում լրացուցիչ մոտեցումներով
Այս սահմանափակումները հաղթահարելու համար կազմակերպությունները պետք է համատեղեն CVSS-ը այլ գործիքների և չափանիշների հետ, որոնք ավելացնում են դինամիկ համատեքստ և շահագործելիության վերաբերյալ պատկերացումներ: Օրինակ՝
- EPSS ինտեգրացիաԲարելավել CVSS-ը EPSS-ով՝ հաշվի առնելով շահագործման հավանականությունը, ապահովելով, որ առաջնահերթություն տրվի իրական, անմիջական սպառնալիք ներկայացնող խոցելիություններին։
- Հասանելիության վերլուծությունՕգտագործեք գործիքներ՝ որոշելու համար, թե արդյոք խոցելիությունը հասանելի է ձեր կոնկրետ միջավայրում՝ նվազեցնելով անհասանելի ռիսկերի վրա կենտրոնացումը։
- Գործողության համատեքստՕգտագործեք իրական ժամանակի մոնիթորինգը՝ գնահատելու համար, թե արդյոք խոցելիությունները ակտիվորեն շահագործվում են կամ ազդում են գործող համակարգերի վրա։
- KEV ինտեգրացիա՝ Խաչաձև հղումներով խոցելիություններ CISA-ի հայտնի շահագործվող խոցելիությունների կատալոգը։ 2025 թվականի ընթացքում KEV-ին ավելացվել է 884 խոցելիություն, և դրանց 28.96%-ը արդեն շահագործվում էր հրապարակային բացահայտման օրը կամ դրանից առաջ։ Ի տարբերություն EPSS-ի կանխատեսողական հավանականության, KEV-ն հաստատում է, որ շահագործում իրականում նկատվել է, ինչը այն դարձնում է առաջնահերթության որոշման համար առկա ամենաուժեղ ոչ տեսական ազդանշաններից մեկը։
Այս սահմանափակումները լուծելով և CVSS-ը լրացուցիչ գործիքների հետ ինտեգրելով՝ անվտանգության թիմերը կարող են ավելի տեղեկացված որոշումներ կայացնել։cisիոններ՝ համոզվելով, որ իրենց ջանքերը կենտրոնացած են ամենակարևոր խոցելիությունների վրա։
CVSS-ը և ԵՄ կիբերդիմակայունության մասին օրենքը (CRA)
CVSS-ի գնահատականը կարևոր է լինելու ոչ միայն ներքին առաջնահերթությունների սահմանման համար։ ԵՄ կիբերդիմակայունության մասին օրենք (Կանոնակարգ (ԵՄ)) 2024/2847) պահանջում է արտադրողներից տեսակավորել խոցելիությունները, ժամանակին շտկել դրանք և հաղորդել ակտիվ շահագործման մասին, երբ նրանք տեղյակ լինեն դրա մասին: Այստեղ կարևոր են երկու ամսաթվեր. ակտիվորեն շահագործված խոցելիությունների մասին հաղորդելու պարտավորությունը (հոդված 14) ուժի մեջ է մտնում 2026 թվականի սեպտեմբերի 11-ից, մինչդեռ խոցելիությունների մշակման, վերականգնման և բացահայտման ավելի լայն պարտականությունները (հոդված 13 և հավելված I) ուժի մեջ են մտնում 2027 թվականի դեկտեմբերի 11-ից:
Մեկ կարևոր պարզաբանում. CRA-ն չի պարտադրում CVSS, EPSS, KEV կամ որևէ այլ գնահատման համակարգ: Այն պահանջում է ժամանակին շտկում, բայց գործառնական չափումը թողնում է յուրաքանչյուր արտադրողի հայեցողությանը: Այնուամենայնիվ, միայն CVSS կամ EPSS գնահատականը չի մեկնարկում 24-ժամյա հաշվետվության ժամացույցը, միայն փաստացի որոշումը, որ խոցելիությունը ակտիվորեն շահագործվում է իրական թիրախի դեմ, կարող է անել դա: Գործնականում սա նշանակում է, որ ԵՄ-ում ծրագրային ապահովում վաճառող կազմակերպություններին անհրաժեշտ է փաստաթղթավորված, հետևողական գնահատման և հայտնաբերման գործընթաց, որը կարող է հուսալիորեն տարբերակել «տեսականորեն լուրջը» «ակտիվորեն շահագործվածից», հենց այն բացը, որը միայն CVSS-ն է թողնում բաց:
Եթե ԵՄ-ում վաճառում եք թվային տարրերով ծրագրային կամ սարքային ապահովում, հիմա ժամանակն է կառուցել (կամ աուդիտի ենթարկել) ձեր CVSS + EPSS + KEV գնահատականը։ pipeline, դեռևս 2026 թվականի սեպտեմբերի վերջնաժամկետի լրանալուց շատ առաջ։
Ինչպես է Xygeni-ն բարելավում CVSS-ը՝ որպես ռիսկի գնահատման շրջանակ
Մինչդեռ CVSS-ը, որպես ռիսկի գնահատման շրջանակ, հիանալի մեկնարկային կետ է խոցելիությունները գնահատելու համար, Xygeni-ն այն ավելի լավն է դարձնում՝ ավելացնելով խելացի պատկերացումներ, ավելի լավ առաջնահերթություն և ավտոմատացում: Այս գործիքները օգնում են անվտանգության թիմերին կենտրոնանալ ամենակարևոր սպառնալիքների վրա՝ միաժամանակ նվազեցնելով հոգնածություն առաջացնող ավելորդ ահազանգերը: Թիմերը կարող են նաև օգտվել CVSS-ի տրամադրած տեղեկատվությունից՝ ավելի արագ և ավելի տեղեկացված որոշումներ կայացնելու համար:cisիոններ:
Xygeni-ն համատեղում է CVSS-ը իրական աշխարհի տվյալների հետ, ինչպիսիք են՝ թե որքանով է հավանական, որ խոցելիությունները կշահագործվեն և ինչ է կատարվում իրական ժամանակում: Այս մոտեցումը թիմերի համար հեշտացնում է իրական սպառնալիքներին առաջնահերթություն տալը և արագ արձագանքելը:
- Հասանելիության վերլուծությունXygeni-ն որոշում է, թե արդյոք խոցելիությունը ակտիվորեն շահագործելի է ձեր միջավայրում։ Սա ապահովում է, որ անվտանգության ջանքերը կենտրոնանան իրական ազդեցություն ունեցող սպառնալիքների վրա։
- EPSS և CVSS ինտեգրացիաՇահագործելիության տվյալները CVSS-ի վերլուծությունների հետ համատեղելով՝ Xygeni-ն հնարավորություն է տալիս ավելի խելացի լուծումներ գտնել։cisիոններ։ Օրինակ, ինչպես բացատրվում է Xygeni-ի CVE գնահատման բլոգը, այս ինտեգրացիան ապահովում է ավելի ճշգրիտ առաջնահերթություն։
- Բիզնես ազդեցության վերլուծությունXygeni-ն նշում է կարևորագույն ակտիվներին ազդող խոցելիությունները՝ անվտանգության առաջնահերթությունները բիզնեսի նպատակներին համապատասխանեցնելու համար: Հետևաբար, թիմերը կարող են շտկման ջանքերը կենտրոնացնել կազմակերպության համար ամենակարևորի վրա:
- Գործողության ժամանակի վերլուծությունXygeni-ն ավելացնում է իրական ժամանակի համատեքստ, ինչպիսիք են ակտիվ շահագործումները, դարձնելով առաջնահերթությունների սահմանումն ավելի գործնական և նախապես պատրաստված։cise.
- Ավտոմատացված վերականգնումXygeni-ն ավտոմատացնում է խոցելիությունների թարմացումը, հենց որ դրանք հայտնաբերում է։ Այս գործընթացը կրճատում է ձեռքով աշխատանքը, արագացնում արձագանքները և թույլ է տալիս մշակողներին կենտրոնանալ իրենց կոդավորման վրա՝ առանց խափանումների։
Xygeni-ն համատեղում է CVSS-ը EPSS-ի նման գործիքների հետ և օգտագործում է ավտոմատացում՝ խոցելիությունների կառավարումը պարզեցնելու համար: Արդյունքում, այս հստակ և կենտրոնացված մոտեցումը օգնում է DevSecOps ինժեներներին և CISՕպերատորները կենտրոնանում են կարևորագույն խնդիրների վրա, նվազեցնում են ռիսկերը և ամրապնդում անվտանգությունը։
Ավելին, Xygeni-ն խթանում է թիմային հաղորդակցությունը՝ առաջարկելով հստակ աշխատանքային հոսքեր և գործնականում կիրառելի պատկերացումներ: Միասին, այս հնարավորությունները օգնում են կազմակերպություններին կառուցել ավելի ուժեղ անվտանգության համակարգեր և մնալ նոր սպառնալիքներից առաջ:
Քանի որ ԵՄ կիբերդիմադրողականության մասին ակտի հաշվետվությունների պարտավորությունները մոտենում են 2026 թվականի սեպտեմբերին, փաստաթղթավորված, ավտոմատացված CVSS և EPSS-ի վրա հիմնված առաջնահերթության որոշման գործընթաց ունենալը այլևս միայն լավագույն փորձ չէ, այլև դառնում է համապատասխանության անհրաժեշտություն: Xygeni-ի մոտեցումը՝ CVSS-ը EPSS-ի և հասանելիության համատեքստի հետ համատեղելու համար, օգնում է թիմերին կառուցել հենց այդպիսի պաշտպանելի, աուդիտի համար պատրաստ գործընթաց՝ ժամկետից առաջ:
Վերահսկեք ձեր խոցելիությունների կառավարումն այսօր
Մի թողեք, որ խոցելիությունները դանդաղեցնեն ձեզ կամ վտանգի ենթարկեն ձեր համակարգերը: Դրա փոխարեն օգտագործեք Xygeni-ի առաջադեմ գործիքները՝ սպառնալիքների կառավարման և առաջնահերթության սկզբունքը լիովին փոխակերպելու համար: CVSS-ի հզորությունը անխափան համատեղելով շահագործելիության և հասանելիության նման դինամիկ պատկերացումների հետ՝ Xygeni-ն թույլ է տալիս ձեր թիմին կենտրոնանալ իսկապես ամենակարևորի վրա:
Պատրա՞ստ եք հաջորդ քայլին։ Ուսումնասիրեք Xygeni-ի խոցելիության կառավարման լուծումները և տեսեք, թե ինչպես կարող ենք օգնել ձեզ մնալ զարգացող սպառնալիքներից առաջ։ Պահանջեք ցուցադրություն այսօր կիբերանվտանգության ապագան անմիջականորեն զգալու համար։
Հաճ. տրվող հարցեր
Ի՞նչ տարբերություն կա CVSS v3.1-ի և CVSS v4.0-ի միջև։
CVSS v4.0-ը ներկայացնում է նոր անվանակարգ՝ Base (CVSS-B), Base+Threat (CVSS-BT), Base+Environmental (CVSS-BE) և Base+Threat+Environmental (CVSS-BTE) միավորները տարբերակելու համար, հին Ժամանակավոր չափանիշային խումբը փոխարինում է ավելի գործնական սպառնալիքի խմբով և ավելացնում է լրացուցիչ չափանիշային խումբ՝ արտաքին համատեքստի համար, ինչպիսիք են անվտանգության վրա ազդեցությունը և ավտոմատացումը: Այն նախագծված է նվազեցնելու այն երկիմաստությունը, որի պատճառով CVSS v3.1-ի Ժամանակավոր չափանիշերը հազվադեպ էին օգտագործվում գործնականում:
Արդյո՞ք պետք է վերագնահատեմ իմ առկա խոցելիությունների կուտակված ցանկը CVSS v4.0-ի համաձայն։
Ոչ: Ամբողջ NVD տվյալների բազայի հետադարձ վերագնահատումը CVSS v4.0-ի ներքո նախատեսված չէ, և պատմական CVE-ները կպահպանեն իրենց CVSS v3.1 միավորները որպես հիմնական հղում: Անվտանգության թիմերը պետք է սկսեն օգտագործել նոր հրապարակված CVE-ների CVSS v4.0 միավորները՝ առանց նախկին առաջնահերթությունների վերաբերյալ դատական վեճերի վերսկսման:cisիոններ:
Ինչո՞ւ են այդքան շատ CVE-ներ գնահատվում «Կրիտիկական» կամ «Բարձր»։
2025 թվականին CVE-ների 8.3%-ը գնահատվել է որպես կրիտիկական, իսկ 31.1%-ը՝ բարձր, ինչը նշանակում է, որ բոլոր բացահայտված խոցելիությունների գրեթե 40%-ը կրում է ամենաբարձր աստիճանի լրջության պիտակ։ Այս «լրջության գնաճը» նախնական է։cisԹեև CVSS-ն ինքնին բավարար առաջնահերթության գործիք չէ, այն չի տարբերակում տեսականորեն լուրջ, բայց անհասանելի թերությունը ակտիվորեն շահագործվող թերությունից։
Ի՞նչ է KEV-ը և ինչո՞վ է այն տարբերվում EPSS-ից։
KEV (Հայտնի շահագործվող խոցելիություններ), որը պահպանվում է CISԱ-ն թվարկում է խոցելիությունները՝ ակտիվ շահագործման հաստատված ապացույցներով։ Ի տարբերություն դրա, EPSS-ը հավանականային մոդել է, որը գնահատում է խոցելիության շահագործման հավանականությունը հաջորդ 30 օրվա ընթացքում։ 2025 թվականին KEV-ին ավելացվել է 884 խոցելիություն, որոնցից գրեթե 29%-ը արդեն ակտիվ շահագործման տակ են եղել հրապարակային բացահայտումից առաջ։ KEV-ի և EPSS-ի համատեղ օգտագործումը տալիս է ինչպես հաստատված սպառնալիքի ազդանշան, այնպես էլ ապագային ուղղված ազդանշան։
Արդյո՞ք CVSS-ը բավարար է խոցելիությունների առաջնահերթության համար:
Ոչ։ Էմպիրիկ հետազոտությունները մշտապես ցույց են տալիս, որ CVSS-ի կողմից «բարձր» կամ «կրիտիկական» գնահատական ստացած խոցելիությունների մեծ մասը երբեք իրականում չի նկատվում շահագործված։ Միայն CVSS-ի վրա հիմնված մոտեցումը ճարտարագիտական ժամանակ է ծախսում տեսական ռիսկի վրա, մինչդեռ իրականում շահագործված խոցելիությունները կարող են աննկատ մնալ։ CVSS-ի EPSS-ի, KEV-ի և հասանելիության վերլուծության հետ համատեղումը ներկայումս ոլորտի կողմից առաջարկվող մոտեցումն է։
