Öryggisteymi mistakast sjaldan vegna skorts á gögnum. Oftast mistakast þau vegna þess að þau laga fyrst röng vandamál. Þess vegna eru upplýsingaöflun um þekktar áreitni, áhættumiðuð varnarleysistjórnun, lög um netöryggi og ... CISSkrá yfir þekkta og misnotaða veikleika sameinast nú í nútíma AppSec vinnuflæði.
Í hverri viku tilkynna skannarar um hundruð veikleika. Hins vegar nýta árásarmenn aðeins lítinn hluta þeirra. Þar af leiðandi sóa teymi sem forgangsraða án þess að nota samhengi við árásir tíma á meðan raunverulegar ógnir sleppa í gegn. Greindargögn um þekktar árásir brúa þetta bil með því að koma upp veikleikunum sem árásarmenn nota í raun, ekki bara þeim sem virðast alvarlegir á pappír.
Hvað er vitað - Nýta sér upplýsingaöflun
Greindarupplýsingar um þekktar árásir bera kennsl á veikleika sem árásarmenn nýta sér í raunverulegu umhverfi. Með öðrum orðum, þær aðgreina fræðilega áhættu frá staðfestri árásarhegðun.
Í stað þess að spyrja hvort veikleiki sé til staðar gæti verið misnotað, geta lið loksins spurt:
Er þetta þegar verið að nýta sér og hefur það áhrif á vöruna mína?
Þessi greinarmunur skiptir máli rekstrarlega og í auknum mæli lagalega.
Af hverju hefðbundin forgangsröðun brotnar niður
Flest teymi treysta enn á kyrrstæð merki til að forgangsraða áhættu.
Venjulega flokka þeir veikleika eftir:
- Alvarleiki CVSS
- Traust á skanna
- Vinsældir pakka
Þó að þessi merki hjálpi til við að draga úr hávaða, missa þau af einum mikilvægum þætti: hegðun árásarmanna. Þar af leiðandi flýta teymi sér oft að laga alvarleg vandamál sem aldrei eru nýtt á meðan þau missa af minni alvarlegum göllum sem árásarmenn miða virkan á.
Þetta bil skýrir hvers vegna kyrrstæð forgangsröðun er ekki lengur stigstærð.
Af hverju breytir lögin um netöryggi reglunum
Undir Lög um netviðnám, sending hugbúnaðar með þekktum, nýtanlegum veikleikum verður að reglufylgnimáli, ekki bara öryggisáhyggjuefni.
Reglugerðin krefst þess að:
- Vörur með stafrænum þáttum mega ekki koma inn á markað í ESB ef þær hafa þekkta varnarleysi sem hægt er að nýta sér.
- Framleiðendur innleiða meðhöndlun á varnarleysi og úthreinsunarhlið
- Misnotkun í raunverulegu umhverfi vegur þyngra en fræðileg alvarleiki
Þar af leiðandi færist forgangsröðun frá bestu starfsvenjum yfir í lagalegar skyldur.
Þetta er einmitt þar sem nýtingarupplýsingar verða nauðsynlegar.
Lög um netviðnám
The Lög um netviðnám er reglugerð Evrópusambandsins sem setur bindandi kröfur um netöryggi fyrir vörur með stafrænum þáttum sem seldar eru í ESB.
Einfaldlega sagt krefst það þess að framleiðendur hanni, þrói og viðhaldi hugbúnaði sem inniheldur ekki þekkta, nýtanlega veikleika þegar hann er gefinn út. Þar að auki skyldar það fyrirtæki til að fylgjast með veikleikum eftir útgáfu og tilkynna um vandamál sem hafa verið nýtt innan strangra tímamarka.
Reglugerðin tók gildi í desember 2024. Hins vegar hefst full framkvæmd hennar í desember 2027. Frá og með 2026 verða fyrirtæki að tilkynna yfirvöldum ESB um varnarleysi sem þau hafa nýtt sér á virkan hátt innan sólarhrings frá því að þau uppgötvast.
Með öðrum orðum, lögin um viðnám gegn netöryggi breyta varnarleysi úr bestu starfsvenjum í kröfu um aðgang að markaði.
Af hverju eru KEV-tæki í brennidepli í eftirliti með CRA-reglum?
The CISSkrá yfir þekkta og misnotaða veikleika telur upp CVE-brot sem árásarmenn nýta sér nú þegar í náttúrunni. Þessi skrá tekur af allan vafa.
Í stað þess að ræða áhættu geta teymi reitt sig á staðfest gögn um misnotkun. Þar af leiðandi verða KEV-skilmálar sterkasta kveikjan að úrbótasamningum um þjónustustig og útgáfublokkun.
Þessi aðferð fellur náttúrulega að áhættumiðað varnarleysistjórnun, því það beinir áreynslunni þar sem raunverulegt tjón verður.
CVSS, EPSS og KEV þjóna mismunandi tilgangi
Árangursrík forgangsröðun krefst þess að skilja hvernig merki eru mismunandi.
- CVSS sýnir hugsanleg áhrif
- EPSS metur líkurnar á misnotkun
- The CISSkrá yfir þekkta og misnotaða öryggisgalla staðfestir virka misnotkun
Notað eitt og sér veldur hvert merki villandi áhrifum. Notað saman veita þau samhengi. Þessi samsetning myndar grunninn að nútíma áhættumiðaðri varnarleysistjórnun.
Hvernig þekktar nýtingargreind virkar í reynd
Hagnýtt forgangsröðunarlíkan fylgir skýrri röð:
- Greina veikleika í kóða og ósjálfstæði
- Niðurstöður leiksins gegn CISSkrá yfir þekkta og misnotaða veikleika
- Meta líkur á misnotkun með EPSS
- Staðfestu aðgengi í forritinu eða pipeline
- Beita úrbótareglum byggðum á váhrifum og hlutverki vörunnar
Þar af leiðandi hætta teymi að meðhöndla lista yfir veikleika sem biðlista og byrja að meðhöndla þá sem afskrifaða.cisjónir.
Hvernig við byggðum upp þekkta nýtingargreind hjá Xygeni
Við smíðuðum þennan eiginleika eftir að hafa ítrekað séð teymi laga vandamál með hátt CVSS á meðan þekktir, misnotaðir veikleikar komust í framleiðslu. Sú reynsla mótaði hvernig við hönnuðum kerfið.
með v5.36, Xygeni samþættir staðfestar upplýsingaöflun um árásir beint í forgangsröðunarvélina.
Hvað gerist undir hettunni
- Xygeni tekur stöðugt inn traustar skrár yfir nýtingarforrit eins og KEV og aðrar opinberar nýtingaruppsprettur.
- Hver veikleiki fær lýsigögn um tilvist misnotkunar.
- Forgangsraðunarferlið sameinar:
- Þekktur staða árása
- Líkur á EPSS
- Aðgengissamhengi
- Kóði og ósjálfstæði
Pallurinn reiknar út samsetta raunverulega áhættustigun
Í stað þess að skipta út núverandi merkjum, betrumbætir þessi líkan þau.
Greining → Samsvörun misnotkunar → Aðgengileiki → Lagfæring
Þessi flæði knýr hvert einasta decisjón:
Forritarar sjá samhengi misnotkunar beint í pull requests. Pipelines blokk sameinast aðeins þegar aðgengilegur kóði inniheldur þekkta, misnotaða veikleika. Sjálfvirk úrbætur leggja til öruggar uppfærslur strax.
Engir fundir. Engin ágiskun. Engir læti.
Af hverju þetta skiptir meira máli en að fylgja reglum
Þó að lögin um netviðnám hafi hrundið af stað þessari breytingu, þá nær ávinningurinn lengra.
Teymi sem forgangsraða notkun á upplýsingaöflun um misnotkun:
- Minnka árvekniþreytu
- Stytta úrbótatíma
- Forðastu neyðarplástrahringrásir
- Sendu öruggari hugbúnað af öryggi
Fylgni verður aukaverkun þess að gera öryggi rétt.
Lokahugleiðingar: CRA gerir áhættustýringu skyldubundna
Lög um netöryggi staðfesta formlega það sem reynslumikil teymi hafa þegar lært. Ekki skipta öll veikleikar jafn miklu máli.
The CISSkrá yfir þekkta varnarleysi sýnir hvað árásarmenn nota í dag. Samhengi og aðgengi sýna hvort það hefur áhrif á þig. Saman skilgreina þau nútíma áhættumiðað varnarleysistjórnun.
Xygeni notar þessa líkan stöðugt, sjálfkrafa og þar sem forritarar vinna nú þegar.
Um höfundinn
Skrifað af Fatima Said, efnismarkaðsstjóri sem sérhæfir sig í forritaöryggi hjá Xygeni Security. Hún býr til rannsóknarmiðað efni fyrir forritara á AppSec, ASPMog DevSecOps, sem þýða raunverulegar öryggisáskoranir í skýrum og nothæfum leiðbeiningum.
