შესავალი: რისკზე დაფუძნებული დაუცველობის მართვა კიბერმდგრადობის შესახებ კანონის ფარგლებში
თანამედროვე გუნდებმა უკვე იციან, რომ ყველა დაუცველობის გამოსწორება შეუძლებელია. სინამდვილეში მნიშვნელოვანია სწორი დაუცველობების გამოსწორება. სწორედ ამიტომ, რისკზე დაფუძნებული დაუცველობის მართვა DevSecOps გუნდებისთვის სასურველ მიდგომად იქცა. თუმცა, ევროკავშირში ეს აღარ არის მხოლოდ საუკეთესო პრაქტიკა. კიბერმდგრადობის აქტი კონკრეტულ სამართლებრივ ვალდებულებებს აწესებს, განსაკუთრებით მაშინ, როდესაც პროგრამული უზრუნველყოფა მოიცავს... CISცნობილი ექსპლუატირებული დაუცველობების კატალოგი.
ამ ახალ კონტექსტში, დაუცველობის პრიორიტეტიზაცია უსაფრთხოების არჩევანიდან შესაბამისობის მოთხოვნაზე გადადის. გუნდებმა უნდა დაამტკიცონ, რომ ესმით, რომელი დაუცველობები გამოიყენება აქტიურად და როგორ წყვეტენ, რა გამოასწორონ პირველ რიგში. და საათი აღარ არის აბსტრაქტული: აქტიურად ექსპლუატირებული დაუცველობებისა და მძიმე ინციდენტების შესახებ CRA-ს ანგარიშგების ვალდებულებები ძალაში შევა 2026 წლის 11 სექტემბრიდან., ძირითადი ვალდებულებების სრული ნაკრები 2027 წლის დეკემბერში ამოქმედდება. რა პრიორიტეტულობის მოდელიც არ უნდა ჰქონდეს ორგანიზაციას დღეს, ამ ანგარიშგების მოთხოვნის დაცვა რამდენიმე კვირაში უნდა მოხდეს და არა კვარტალებში.
რისკზე დაფუძნებული დაუცველობის მართვა და ცნობილი ექსპლუატირებული დაუცველობა
რისკზე დაფუძნებული დაუცველობის მართვა ფოკუსირებულია რეალურ ექსპოზიციაზე და არა უშუალო სიმძიმეზე. ყველა CVE-ს თანაბრად განხილვის ნაცვლად, გუნდები პრიორიტეტს ექსპლუატაციის, ხელმისაწვდომობისა და გავლენის მიხედვით ანიჭებენ.
სწორედ აქ თამაშობენ ცენტრალურ როლს ცნობილი ექსპლუატირებული დაუცველობები. როდესაც CVE ჩნდება CISცნობილი ექსპლუატირებული დაუცველობების კატალოგი ადასტურებს, რომ თავდამსხმელები მას უკვე იყენებენ რეალურ გარემოში. ამ სიგნალს გაცილებით მეტი წონა აქვს, ვიდრე თეორიულ ქულას.
თუ გსურთ უფრო ღრმად გაიგოთ, თუ რა არის KEV-ები და როგორ ამოიცნოთ ისინი, შეგიძლიათ წაიკითხოთ ჩვენი წინა პოსტი. ცნობილი ექსპლუატირებული დაუცველობები: რა უნდა გამოვასწოროთ პირველ რიგშიამ სტატიაში ჩვენ ყურადღებას გავამახვილებთ იმაზე, თუ როგორ ჯდება KEV-ები კიბერმდგრადობის შესახებ კანონის შესაბამისად და პრიორიტეტების განსაზღვრის მოდელებში.
რას მოითხოვს სინამდვილეში კიბერმდგრადობის აქტი
კიბერმდგრადობის აქტი არის ევროკავშირის რეგულაცია, რომელიც ადგენს სავალდებულო კიბერუსაფრთხოების ვალდებულებებს ევროკავშირში გაყიდული ციფრული ელემენტების შემცველი პროდუქტებისთვის. ის მოითხოვს, რომ მომწოდებლებმა მართონ დაუცველობები პროდუქტის მთელი სასიცოცხლო ციკლის განმავლობაში და თავიდან აიცილონ ცნობილი ექსპლუატირებული დაუცველობების მქონე პროგრამული უზრუნველყოფის გამოშვება. ევროკავშირის ოფიციალური დოკუმენტაცია, მწარმოებლები ვალდებულნი არიან:
- პროდუქტის სასიცოცხლო ციკლის განმავლობაში დაუცველობების იდენტიფიცირება და მართვა
- ცნობილი ექსპლუატირებული დაუცველობების მქონე პროგრამული უზრუნველყოფის გადაზიდვის თავიდან აცილება
- აქტიურად გამოყენებული დაუცველობებისა და სერიოზული ინციდენტების შესახებ შეტყობინება უნდა გაკეთდეს შეტყობინებიდან 24 საათის განმავლობაში, რაც 2026 წლის 11 სექტემბრიდან ძალაში შევა.
- დაუცველობის დამუშავების მტკიცებულებების შენარჩუნებაcisიონების
სხვა სიტყვებით რომ ვთქვათ, როგორც კი დაუცველობა გამოჩნდება CISცნობილი ექსპლუატირებული დაუცველობების კატალოგის იგნორირება ქმნის როგორც უსაფრთხოების, ასევე მარეგულირებელ რისკებს და 2026 წლის სექტემბრიდან ამ რისკს თან ახლავს ანგარიშგების საათი.
რა არის კიბერმდგრადობის აქტი (CRA)?
ის კიბერ მდგრადობის აქტი არის ევროკავშირის რეგულაცია, რომელიც განსაზღვრავს სავალდებულო კიბერუსაფრთხოების მოთხოვნებს ევროპაში გაყიდული პროგრამული უზრუნველყოფისა და ციფრული პროდუქტებისთვის. ის მოითხოვს, რომ მომწოდებლებმა მართონ დაუცველობები პროდუქტის სასიცოცხლო ციკლის განმავლობაში და თავიდან აიცილონ პროგრამული უზრუნველყოფის გამოშვება, რომელიც... ცნობილი ექსპლუატირებული დაუცველობები.
CRA Ready რისკებზე დაფუძნებული დაუცველობის მართვის საკონტროლო სია
რატომ არის KEV-ები ცენტრალური CRA-ს შესაბამისობის საკითხში
ის CISცნობილი ექსპლუატირებული დაუცველობების კატალოგი ჩამოთვლის CVE-ებს, რომლებსაც თავდამსხმელები უკვე იყენებენ ველურად. სხვა სიტყვებით რომ ვთქვათ, ის პრიორიტეტების განსაზღვრისას ორაზროვნებას აშორებს.
კითხვის „შეიძლება თუ არა ამის ექსპლუატაცია?“ ნაცვლად, გუნდებმა ახლა გაცილებით პირდაპირი კითხვა უნდა დასვან: „ეს უკვე ექსპლუატაციაშია და მაინც ვაწვდით თუ არა?“
კიბერმდგრადობის შესახებ კანონის თანახმად, ამ განსხვავებას იურიდიულად მნიშვნელობა აქვს. შედეგად, KEV-ები ხდებიან ყველაზე ძლიერი ტრიგერი გამოსწორების SLA-ებისა და გამოშვების დაბლოკვისთვის. ამ კონტექსტში, რისკზე დაფუძნებული დაუცველობის მართვა ბუნებრივად შეესაბამება მარეგულირებელი ორგანოების მოლოდინებს.
ინციდენტების შესახებ ინფორმაციის მიწოდების მხარე უფრო დეტალურად განვიხილეთ ნარიმან აგა-ტაგიევთან, SecureHabits.nl-ის კიბერუსაფრთხოების არქიტექტორთან ერთობლივ სესიაზე: 24 საათი ანგარიშის წარდგენისთვის: როგორ გადავლახოთ CRA-ს შეტყობინებების საათიის მოიცავს ინციდენტის სამეტაპიან სასიცოცხლო ციკლს, რომლის თვალყურის დევნებასაც CRA ორგანიზაციები ელის, შეტყობინებული შეშფოთებიდან დაწყებული გამოძიებითა და დადასტურებული ინციდენტით დამთავრებული, რაც 24-საათიანი ანგარიშგების ფანჯარას იწყებს.
CVSS, EPSS და KEV-ები სხვადასხვა დანიშნულებას ემსახურებიან
სწორად პრიორიტეტების დასადგენად, გუნდებმა ჯერ უნდა გაიგონ, თუ რას წარმოადგენს სინამდვილეში თითოეული სიგნალი.
- CVSS პოტენციურ გავლენას აჩვენებს
- EPSS ექსპლუატაციის ალბათობას აფასებს
- CISცნობილი ექსპლუატირებული დაუცველობების კატალოგი ადასტურებს, რომ ექსპლუატაცია უკვე ხდება
ცალ-ცალკე აღებული, თითოეული მეტრიკა შეიძლება შეცდომაში შეიყვანოს. თუმცა, როდესაც გუნდები მათ ერთად იყენებენ, ისინი გაცილებით მკაფიო კონტექსტს იღებენ. ამ მიზეზით, ამ სიგნალების გაერთიანება ქმნის რისკზე დაფუძნებული დაუცველობის ეფექტური მართვის საფუძველს.
რისკზე დაფუძნებული დაუცველობის მართვა პრაქტიკაში
პრაქტიკაში, რისკზე ორიენტირებული პრიორიტეტიზაციის მოდელი მკაფიო და განმეორებად ნაკადს მიჰყვება.
- კოდისა და დამოკიდებულებების დაუცველობების აღმოჩენა
- შეამოწმეთ მატჩები CISცნობილი ექსპლუატირებული დაუცველობების კატალოგი
- ექსპლოიტის ალბათობის შეფასება EPSS-ის გამოყენებით
- გადაამოწმეთ ხელმისაწვდომობა თქვენს აპლიკაციაში ან pipeline
- გამოიყენეთ გამოსწორების წესები ექსპოზიციისა და პროდუქტის როლის მიხედვით
შედეგად, გუნდები წყვეტენ დაუცველობის სიების სტატიკურ დაგროვილ ნაკრებებად აღქმას და იწყებენ მათ, როგორც კონკრეტული უსაფრთხოების დეველოპერების აღქმას.cisიონები.
გუნდების მიერ დღეს გამოყენებული პრიორიტეტების დადგენის სხვადასხვა მოდელი
ყველა გუნდი რისკს ერთნაირად არ ანიჭებს პრიორიტეტს. ზოგადად, რეალურ გარემოში სამ გავრცელებულ მოდელს ვხედავთ.
1. სიმძიმის პირველი მოდელი
გუნდები პრობლემებს მხოლოდ CVSS-ზე დაყრდნობით აგვარებენ.
ამ მოდელის დანერგვა მარტივია. თუმცა, ის ხმაურს ქმნის და არ აკმაყოფილებს კიბერმდგრადობის აქტის მოლოდინებს.
2. ალბათობაზე დაფუძნებული მოდელი
გუნდები EPSS-ს ეყრდნობიან იმის პროგნოზირებისთვის, თუ რას შეიძლება თავდამსხმელები შემდეგ ისარგებლონ.
ეს მიდგომა აუმჯობესებს ფოკუსირებას. მიუხედავად ამისა, ის მაინც ვერ ამჩნევს იმ დაუცველობებს, რომლებსაც თავდამსხმელები უკვე იყენებენ.
3. ექსპლუატაციის შესახებ ცნობიერების მოდელი
გუნდები აერთიანებენ EPSS-ს CISცნობილი ექსპლუატირებული დაუცველობების კატალოგი და ტექნიკური კონტექსტი.
ამის საპირისპიროდ, ეს მოდელი საუკეთესოდ უჭერს მხარს რისკზე დაფუძნებული დაუცველობის მართვას და პირდაპირ კავშირშია CRA-ს ვალდებულებებთან.
როგორ ახორციელებს Xygeni CRA-სთვის მზადყოფნის პრიორიტეტიზაციას
ქსიგენი ეხმარება გუნდებს რეგულირება ყოველდღიურ სამუშაო სამუშაოდ აქციონ. იმის ნაცვლად, რომ მხოლოდ dashboardს, ქსიგენი აღასრულებს დე-სcisზუსტად იმ ადგილებში, სადაც კოდის ცვლილებები ხდება. შედეგად, პრიორიტეტების მინიჭება ავტომატური და თანმიმდევრული ხდება.
ძირითადი შესაძლებლობები მოიცავს:
- ავტომატური კორელაცია CISცნობილი ექსპლუატირებული დაუცველობების კატალოგი
- EPSS-ზე დაფუძნებული ექსპლოიტის ალბათობის შეფასება
- ხელმისაწვდომობის ანალიზი რეალური ექსპოზიციის დასადასტურებლად
- Guardrails ეს ბლოკი ერთიანდება ან იხსნება, როდესაც KEV-ები გავლენას ახდენს წვდომად კოდზე.
- ავტომატური გამოსწორება უსაფრთხო გზით pull requests
- კიბერმდგრადობის შესახებ კანონის შესაბამისობის დემონსტრირების სრული აუდიტის ჟურნალები
მოკლედ რომ ვთქვათ, გუნდები რისკს არა მხოლოდ ხედავენ. ისინი მასზე რეაგირებას განმეორებადი და აუდიტის შესაძლებლობის მქონე გზით ახდენენ.
Dev-დან Dev-მდე მაგალითი: KEV-ის მიერ გამოშვების დაბლოკვა
წარმოიდგინეთ, რომ დამოკიდებულების განახლება CVE-ს შემოიტანს.
- დაუცველობა ჩნდება შემდეგში: CISცნობილი ექსპლუატირებული დაუცველობების კატალოგი
- Xygeni აღმოაჩენს მას pull request
- ხელმისაწვდომობის ანალიზი ადასტურებს კოდის გზის შესრულებას
- Guardrails შერწყმის ავტომატურად დაბლოკვა
- ბოტი უსაფრთხო განახლებას სთავაზობს და ტესტებს ატარებს
დეველოპერი პრობლემას იმავე სამუშაო პროცესით აგვარებს. ვერსია თავსებადი რჩება. შეხვედრები საჭირო არ არის.
სხვა სიტყვებით რომ ვთქვათ, ეს არის რისკზე დაფუძნებული დაუცველობის მართვა, რომელიც გამოიყენება ზუსტად იქ, სადაც დეველოპერები უკვე მუშაობენ.
რატომ არის ეს მნიშვნელოვანი შესაბამისობის მიღმა
მიუხედავად იმისა, რომ კიბერმდგრადობის აქტმა ეს ცვლილება გამოიწვია, სარგებელი უფრო ფართოა. გუნდები, რომლებიც პრიორიტეტს ანიჭებენ KEV-ების, EPSS-ის და კონტექსტის გამოყენებას:
- შეამცირეთ სიფხიზლის დაღლილობა
- შეამცირეთ გამოსწორების დრო
- მოერიდეთ საგანგებო პატჩებს
- უსაფრთხო პროგრამული უზრუნველყოფის გაგზავნა თავდაჯერებულად
საერთო ჯამში, შესაბამისობა უსაფრთხოების სწორად განხორციელების ბუნებრივი შედეგია.
დასკვნითი მოსაზრებები: CRA რისკებზე დაფუძნებულ მენეჯმენტს სავალდებულოს ხდის
კიბერმდგრადობის აქტი აფორმებს იმას, რაც უსაფრთხოების გუნდებმა უკვე ისწავლეს რთული გზით. ყველა დაუცველობა თანაბრად მნიშვნელოვანი არ არის.
ის CISცნობილი ექსპლუატირებული დაუცველობების კატალოგი განსაზღვრავს, თუ რას იყენებენ თავდამსხმელები დღეს. EPSS პროგნოზირებს, თუ რას გამოიყენებენ ისინი შემდეგ. კონტექსტი აჩვენებს, გავლენას ახდენს თუ არა ეს თქვენზე.
ისინი ერთად ქმნიან თანამედროვე რისკებზე დაფუძნებულ დაუცველობის მართვის სისტემას და 2026 წლის 11 სექტემბრიდან ის აღარ იქნება არჩევითი. გუნდები, რომლებსაც უკვე შეუძლიათ პასუხის გაცემა კითხვაზე „ეს ექსპლუატაციაშია და მაინც ვაგზავნით?“, CRA-ს ანგარიშგების საათს ყოველგვარი აჩქარების გარეშე შეასრულებენ. გუნდები, რომლებსაც ეს არ შეუძლიათ, ახლა იკვლევენ, თუ რამდენად მოკლეა სინამდვილეში 24 საათი.
Xygeni ეხმარება გუნდებს ამ მოდელის გამოყენებაში განუწყვეტლივ, ავტომატურად და ისე, რომ დეველოპერები რეალურად მიიღონ ის.
ავტორის შესახებ
დაწერილია ფატიმა Said, კონტენტ მარკეტინგის მენეჯერი, სპეციალიზირებული აპლიკაციების უსაფრთხოებაში Xygeni Security.
Fátima AppSec-ზე ქმნის დეველოპერებისთვის მოსახერხებელ, კვლევაზე დაფუძნებულ კონტენტს, ASPMდა DevSecOps. ის რთულ ტექნიკურ კონცეფციებს გარდაქმნის მკაფიო, ქმედით ხედვად, რომელიც კიბერუსაფრთხოების ინოვაციას ბიზნესზე ზეგავლენასთან აკავშირებს.
