უსაფრთხოების გუნდები იშვიათად უშვებენ წარუმატებლობას მონაცემების ნაკლებობის გამო. უფრო ხშირად, ისინი უშვებენ წარუმატებლობას, რადგან ჯერ არასწორ პრობლემებს ასწორებენ. სწორედ ამიტომ გამოიყენება ცნობილი ექსპლოიტის ინტელექტი, რისკებზე დაფუძნებული დაუცველობის მართვა, კიბერმდგრადობის აქტი და CISცნობილი ექსპლუატირებული დაუცველობების კატალოგი ახლა თანამედროვე AppSec სამუშაო პროცესებში თავსებადია.
ყოველ კვირას, სკანერები ასობით დაუცველობის შესახებ ინფორმაციას აფიქსირებენ. თუმცა, თავდამსხმელები მხოლოდ მათ მცირე ნაწილს იყენებენ. შესაბამისად, გუნდები, რომლებიც პრიორიტეტს ექსპლუატაციის კონტექსტის გარეშე ანიჭებენ, დროს კარგავენ, მაშინ როცა რეალური საფრთხეები თვალში საცემია. ცნობილი ექსპლოიტის ინტელექტი ამ ხარვეზს ავსებს თავდამსხმელების მიერ რეალურად გამოყენებული დაუცველობების წარმოჩენით და არა მხოლოდ იმ დაუცველობების, რომლებიც ქაღალდზე სერიოზულად გამოიყურება.
რა არის ცნობილი - ექსპლუატაციის ინტელექტი
ცნობილი ექსპლოიტის შესახებ ინტელექტი ადგენს დაუცველობებს, რომლებსაც თავდამსხმელები აქტიურად იყენებენ რეალურ გარემოში. სხვა სიტყვებით რომ ვთქვათ, ის თეორიულ რისკს ჰყოფს დადასტურებული შეტევითი ქცევისგან.
იმის ნაცვლად, რომ იკითხოთ, არის თუ არა დაუცველობა შეეძლო ექსპლუატაციაში შესვლის შემთხვევაში, გუნდებს საბოლოოდ შეუძლიათ იკითხონ:
ეს უკვე ექსპლუატაციაშია და გავლენას ახდენს თუ არა ეს ჩემს პროდუქტზე?
ეს განსხვავება ოპერაციულად და, სულ უფრო მეტად, იურიდიულადაც მნიშვნელოვანია.
რატომ ირღვევა ტრადიციული პრიორიტეტიზაცია
გუნდების უმეტესობა კვლავ სტატიკურ სიგნალებს ეყრდნობა რისკის პრიორიტეტულობის დასადგენად.
როგორც წესი, ისინი დაუცველობას შემდეგნაირად ახარისხებენ:
- CVSS-ის სიმძიმე
- სკანერის სანდოობა
- პაკეტის პოპულარობა
მიუხედავად იმისა, რომ ეს სიგნალები ხმაურის შემცირებას უწყობს ხელს, ისინი ერთი კრიტიკული ფაქტორის გამოტოვებას ახერხებენ: თავდამსხმელის ქცევას. შედეგად, გუნდები ხშირად ჩქარობენ მაღალი სიმძიმის პრობლემების გამოსწორებას, რომლებიც არასდროს გამოიყენება, მაშინ როცა გამოტოვებენ დაბალი სიმძიმის ხარვეზებს, რომლებსაც თავდამსხმელები აქტიურად ესხმიან თავს.
ეს ხარვეზი ხსნის, თუ რატომ აღარ მასშტაბირდება სტატიკური პრიორიტეტიზაცია.
რატომ ცვლის კიბერმდგრადობის აქტი წესებს
ქვეშ კიბერ მდგრადობის აქტიცნობილი ექსპლუატაციური დაუცველობების მქონე პროგრამული უზრუნველყოფის მიწოდება მხოლოდ უსაფრთხოების პრობლემას კი არა, შესაბამისობის პრობლემად იქცევა.
რეგულაცია მოითხოვს, რომ:
- ციფრული ელემენტების შემცველი პროდუქტები არ უნდა შევიდეს ევროკავშირის ბაზარზე ცნობილი ექსპლუატაციური დაუცველობებით.
- მწარმოებლები ნერგავენ დაუცველობის მართვას და გაწმენდის კარიბჭეებს
- რეალურ გარემოში ექსპლუატაციას უფრო მეტი წონა აქვს, ვიდრე თეორიულ სიმძიმეს.
შედეგად, პრიორიტეტები საუკეთესო პრაქტიკიდან სამართლებრივ ვალდებულებაზე გადადის.
სწორედ აქ ხდება ექსპლოიტის ინტელექტი აუცილებელი.
კიბერ მდგრადობის აქტი
ის კიბერ მდგრადობის აქტი არის ევროკავშირის რეგულაცია, რომელიც ადგენს სავალდებულო კიბერუსაფრთხოების მოთხოვნებს ევროკავშირში გაყიდული ციფრული ელემენტების შემცველი პროდუქტებისთვის.
მარტივად რომ ვთქვათ, ის მწარმოებლებს ავალდებულებს, შექმნან, განავითარონ და შეინარჩუნონ პროგრამული უზრუნველყოფა, რომელიც გამოშვების დროს არ შეიცავს ცნობილ ექსპლუატაციაში მყოფ დაუცველობებს. გარდა ამისა, ის ავალდებულებს კომპანიებს, გამოშვების შემდეგ აკონტროლონ დაუცველობები და მკაცრი ვადების დაცვით შეატყობინონ აქტიურად ექსპლუატირებული პრობლემების შესახებ.
რეგულაცია ძალაში 2024 წლის დეკემბერში შევიდა. თუმცა, მისი სრული აღსრულება 2027 წლის დეკემბერში დაიწყება. 2026 წლიდან კომპანიებმა აქტიურად გამოყენებული დაუცველობების შესახებ ევროკავშირის ორგანოებს აღმოჩენიდან 24 საათის განმავლობაში უნდა აცნობონ.
სხვა სიტყვებით რომ ვთქვათ, კიბერმდგრადობის აქტი დაუცველობის მართვას საუკეთესო პრაქტიკიდან ბაზარზე წვდომის მოთხოვნად აქცევს.
რატომ დგას KEV-ები CRA-ს შესაბამისობის ცენტრში
ის CISცნობილი ექსპლუატირებული დაუცველობების კატალოგი ჩამოთვლილია CVE-ები, რომლებსაც თავდამსხმელები უკვე იყენებენ. ეს კატალოგი გამორიცხავს ორაზროვნებას.
რისკზე კამათის ნაცვლად, გუნდებს შეუძლიათ დაეყრდნონ დადასტურებულ ექსპლუატაციის მონაცემებს. შესაბამისად, KEV-ები ხდება ყველაზე ძლიერი ტრიგერი გამოსწორების SLA-ებისა და გამოშვების დაბლოკვისთვის.
ეს მიდგომა ბუნებრივად შეესაბამება რისკზე დაფუძნებული დაუცველობის მართვა, რადგან ის ძალისხმევას იქ ამახვილებს, სადაც რეალური ზიანი ხდება.
CVSS, EPSS და KEV-ები სხვადასხვა დანიშნულებას ემსახურებიან
ეფექტური პრიორიტეტიზაცია მოითხოვს იმის გაგებას, თუ როგორ განსხვავდება სიგნალები.
- CVSS პოტენციურ გავლენას აჩვენებს
- EPSS ექსპლუატაციის ალბათობას აფასებს
- ის CISცნობილი ექსპლუატაციის დაუცველობების კატალოგი ადასტურებს აქტიურ ექსპლუატაციას
ცალ-ცალკე გამოყენების შემთხვევაში, თითოეული სიგნალი შეცდომაში შეჰყავს. ერთად გამოყენების შემთხვევაში, ისინი კონტექსტს გვაწვდიან. ეს კომბინაცია თანამედროვე რისკებზე დაფუძნებული დაუცველობის მართვის საფუძველს ქმნის.
როგორ მუშაობს ცნობილი ექსპლოიტის ინტელექტი პრაქტიკაში
პრაქტიკული პრიორიტეტიზაციის მოდელი მიჰყვება მკაფიო თანმიმდევრობას:
- კოდისა და დამოკიდებულებების დაუცველობების აღმოჩენა
- მატჩის დასკვნები CISცნობილი ექსპლუატირებული დაუცველობების კატალოგი
- ექსპლოიტის ალბათობის შეფასება EPSS-ის გამოყენებით
- გადაამოწმეთ წვდომა აპლიკაციაში ან pipeline
- გამოიყენეთ გამოსწორების წესები ექსპოზიციისა და პროდუქტის როლის მიხედვით
შედეგად, გუნდები წყვეტენ დაუცველობის სიების დაგროვილ ნაშთებად აღქმას და იწყებენ მათ დე-სპეციფიკურად აღქმას.cisიონები.
როგორ შევქმენით ცნობილი ექსპლოიტის ინტელექტი Xygeni-ში
ეს ფუნქცია ჩვენ შევქმენით მას შემდეგ, რაც გუნდებმა არაერთხელ ასწორეს მაღალი CVSS-ის პრობლემები, მაშინ როდესაც ცნობილი ექსპლუატირებული დაუცველობები წარმოებაში შევიდა. ამ გამოცდილებამ განსაზღვრა სისტემის შექმნის ჩვენი გზა.
ერთად v5.36, Xygeni დადასტურებულ ექსპლოიტის ინტელექტს პირდაპირ პრიორიტეტიზაციის ძრავში აერთიანებს.
რა ხდება კაპოტის ქვეშ
- Xygeni განუწყვეტლივ იღებს სანდო ექსპლოიტების კატალოგებს, როგორიცაა KEV და სხვა საჯარო ექსპლოიტების წყაროები.
- თითოეული დაუცველობა იღებს ექსპლოიტის არსებობის მეტამონაცემებს
- პრიორიტეტიზაციის ძაბრი აერთიანებს:
- ცნობილი ექსპლოიტის სტატუსი
- EPSS-ის ალბათობა
- ხელმისაწვდომობის კონტექსტი
- კოდისა და დამოკიდებულების ექსპოზიცია
პლატფორმა ითვლის რეალური სამყაროს რისკის კომპლექსურ ქულას
არსებული სიგნალების ჩანაცვლების ნაცვლად, ეს მოდელი მათ აზუსტებს.
აღმოჩენა → ექსპლოიტის დამთხვევა → ხელმისაწვდომობა → გამოსწორება
ეს ნაკადი ყველა დე-ს ამოძრავებსcisიონი:
დეველოპერები ექსპლოიტის კონტექსტს პირდაპირ ხედავენ pull requests. Pipelines ბლოკი მხოლოდ მაშინ ერთიანდება, როდესაც ხელმისაწვდომი კოდი შეიცავს ცნობილ ექსპლუატირებულ დაუცველობებს. ავტომატური გამოსწორება დაუყოვნებლივ გვთავაზობს უსაფრთხო განახლებებს.
არანაირი შეხვედრა. არანაირი ვარაუდი. არანაირი პანიკა.
რატომ არის ეს მნიშვნელოვანი შესაბამისობის მიღმა
მიუხედავად იმისა, რომ კიბერმდგრადობის აქტმა ეს ცვლილება გამოიწვია, სარგებელი უფრო ფართოვდება.
გუნდები, რომლებიც უპირატესობას ანიჭებენ ექსპლოიტური ინტელექტის გამოყენებას:
- შეამცირეთ სიფხიზლის დაღლილობა
- შეამცირეთ გამოსწორების დრო
- მოერიდეთ საგანგებო პატჩის ციკლებს
- უსაფრთხო პროგრამული უზრუნველყოფის გაგზავნა თავდაჯერებულად
შესაბამისობა უსაფრთხოების სწორად განხორციელების გვერდითი ეფექტია.
დასკვნითი მოსაზრებები: CRA რისკებზე დაფუძნებულ მენეჯმენტს სავალდებულოს ხდის
კიბერმდგრადობის აქტი აფორმებს იმას, რაც გამოცდილმა გუნდებმა უკვე ისწავლეს. ყველა დაუცველობა თანაბრად მნიშვნელოვანი არ არის.
ის CISცნობილი ექსპლუატირებული დაუცველობების კატალოგი აჩვენებს, თუ რას იყენებენ თავდამსხმელები დღეს. კონტექსტი და ხელმისაწვდომობა აჩვენებს, გავლენას ახდენს თუ არა ეს თქვენზე. ერთად ისინი განსაზღვრავენ თანამედროვე... რისკზე დაფუძნებული დაუცველობის მართვა.
Xygeni ამ მოდელს უწყვეტად, ავტომატურად და იქ იყენებს, სადაც დეველოპერები უკვე მუშაობენ.
ავტორის შესახებ
დაწერილია ფატიმა Said, კონტენტ მარკეტინგის მენეჯერი, სპეციალიზირებული აპლიკაციების უსაფრთხოებაში Xygeni Security-ში. ის ქმნის დეველოპერებზე ორიენტირებულ, კვლევაზე ორიენტირებულ კონტენტს AppSec-ზე, ASPMდა DevSecOps, რაც რეალურ უსაფრთხოების გამოწვევებს მკაფიო და ქმედით ინსტრუქციებად გარდაქმნის.
