რა არის ეროვნული დაუცველობის მონაცემთა ბაზა?

როდესაც ადამიანები კითხულობენ, თუ რა არის ეროვნული დაუცველობის მონაცემთა ბაზა, ისინი გულისხმობენ აშშ-ის მთავრობის ოფიციალურ საცავს, რომელიც აერთიანებს და ამდიდრებს მონაცემებს საჯაროდ გამოქვეყნებული უსაფრთხოების დაუცველობების შესახებ. ეროვნული დაუცველობის მონაცემთა ბაზას (NVD) მართავს NIST (National Institute of Unit - NIST). Standardდა ტექნოლოგია) და აგებულია თავზე standardისეთი როგორიცაა CVE, CVSS, CPE და SCAპ. მარტივად რომ ვთქვათ, NVD-ის ეროვნული დაუცველობის მონაცემთა ბაზა იღებს დაუცველობის იდენტიფიკატორებს (CVE) და ამატებს:

• სიმძიმის ქულები (CVSS)
• გავლენის მეტრიკა
• პროდუქტისა და ვერსიის შესაბამისობები (CPE)
• მითითებები რჩევებზე, პატჩებსა და გამყიდველის შენიშვნებზე
• კავშირები ძირითად სისუსტეებთან (CWE)

თუ თუ თქვენი სკანერი, SCA ინსტრუმენტი, ან რისკი dashboard გაჩვენებთ რანჟირებულ და შეფასებულ დაუცველობებს, დიდი შანსია, რომ NVD მონაცემები კულისებში ფუნქციონირებს. ეს არის ეროვნული დაუცველობის მონაცემთა ბაზის ბირთვი: გამდიდრებული, standardდაუცველობის კატალოგი, რომლის ავტომატურად მოხმარება სხვა ინსტრუმენტებსა და პროცესებს შეუძლიათ. იმის გასაგებად, თუ რა არის მონაცემთა დაკარგვის პრევენცია ამ განაწილებულ რეალობაში, საბოლოოდ ბრმა წერტილებს ვიღებთ.cisსადაც თავდამსხმელები ყველაზე კომფორტულად გრძნობენ თავს.

რა მონაცემები ინახება სინამდვილეში ეროვნული დაუცველობის მონაცემთა ბაზაში (NVD)? #

იმისათვის, რომ DevSecOps-ისთვის სასარგებლო იყოს ეროვნული დაუცველობის მონაცემთა ბაზა, სასარგებლო იქნება იმის დაშლა, თუ რას ინახავს და აქვეყნებს ის სინამდვილეში:

• CVE-ზე დაფუძნებული დაუცველობის ჩანაწერები: ეროვნულ დაუცველობის მონაცემთა ბაზაში თითოეული ჩანაწერი შეესაბამება CVE ID-ს და მოიცავს უფრო დეტალურ აღწერას, დაზარალებულ პროდუქტებს და ტექნიკურ მითითებებს.
• ინფორმაცია სიმძიმისა და ზემოქმედების შესახებ: NVD-ის ეროვნული დაუცველობის მონაცემთა ბაზა ანიჭებს CVSS ქულებს (v2/v3), ზემოქმედების მეტრიკას და ზოგჯერ ექსპლუატაციის დეტალებს, რომლებსაც ინსტრუმენტები იყენებენ გამოსწორების პრიორიტეტულობის დასადგენად.
• პროდუქტისა და კონფიგურაციის შესაბამისობები: NVD აკავშირებს დაუცველობებს კონკრეტულ მომწოდებლებთან, პროდუქტებთან და ვერსიებთან CPE იდენტიფიკატორების მეშვეობით, კონფიგურაციის საკონტროლო სიებთან ერთად, უსაფრთხო საბაზისო ხაზების მხარდასაჭერად.
• სისუსტის კლასიფიკაცია (CWE): ჩანაწერები ხშირად მიუთითებენ CWE-ებზე, რომლებიც წარმოადგენენ კოდირების ან დიზაინის ძირითად სისუსტეს, რაც უზრუნველყოფს კონტექსტს, რომელიც სასარგებლოა უსაფრთხო კოდირებისა და AppSec პროგრამებისთვის.
• API-ები და მონაცემთა არხები: მონაცემთა ბაზა ავლენს JSON არხებსა და API-ებს, რათა ინსტრუმენტებმა ავტომატურად სინქრონიზონ დაუცველობის მონაცემები, ქულები და გამყიდველის კომენტარები. dashboards, სკანერები და CI/CD pipelines. 

DevSecOps-ის პერსპექტივიდან, რა არის ეროვნული დაუცველობის მონაცემთა ბაზა, თუ არა საერთო ენა, რომელსაც ყველა ეს ინსტრუმენტი ეყრდნობა დაუცველობაზე თანმიმდევრულად სასაუბროდ?

რატომ ზრუნავენ DevSecOps გუნდები NVD-ზე? #

DevSecOps და AppSec გუნდებისთვის, NVD-ის ეროვნული დაუცველობის მონაცემთა ბაზა ნაკლებად ვებსაიტია და უფრო მეტად მათი მთელი ინსტრუმენტების ჯაჭვში ჩადებული იმპლიციტური დამოკიდებულებაა.

SCA ინსტრუმენტები, კონტეინერის სკანერები, ოპერაციული სისტემის პაკეტების სკანერები, ინფრასტრუქტურის სკანერები და მრავალი სხვა CI/CD უსაფრთხოების გამოიყენეთ ეროვნული დაუცველობის მონაცემთა ბაზა NVD შემდეგისთვის:

• CVE ID-ის შინაარსიან აღწერად გადაქცევა
• pull-ის სიმძიმის ქულები და ექსპლუატაციის მეტრიკა
• დაუცველობების შესაბამისობის დადგენა ბიბლიოთეკის კონკრეტულ ვერსიებზე ან სურათებზე
• რისკის მონაცემების შეტანა ბილეთების სისტემებსა და მეტრიკებში dashboards

სწორედ ამიტომ, ეროვნული დაუცველობის მონაცემთა ბაზის შესახებ კითხვები სინამდვილეში კითხვებია, როგორიცაა „საიდან მოდის ჩვენი დაუცველობის შესახებ დასკვნები და შეგვიძლია თუ არა მათი ნდობა?“ NVD-ის ეროვნული დაუცველობის მონაცემთა ბაზის გაგება ხსნის, თუ რატომ აინთებს მოულოდნელად თქვენს ბიბლიოთეკას მცირე განახლება. dashboards, ან რატომ ჩანს ზოგიერთი საკითხი მაღალი რისკის შემცველი, მაშინაც კი, როდესაც ისინი ბუნდოვნად გამოიყურება.

NVD-ის შესახებ გავრცელებული მცდარი წარმოდგენები #

ისევე, როგორც მიწოდების ჯაჭვის თავდასხმების ან მავნე პაკეტების შემთხვევაში, არსებობს რამდენიმე მცდარი წარმოდგენა იმის შესახებ, თუ რა არის ეროვნული დაუცველობის მონაცემთა ბაზა და რა შეუძლია ან არ შეუძლია მას.

მცდარი წარმოდგენა #1: NVD რეალურ დროში და სრულად ხორციელდება #

ბევრი ადამიანი ვარაუდობს, რომ NVD ყოველთვის განახლებულია ყველა CVE-სთვის. სინამდვილეში, NVD ასრულებს გამდიდრება ნაბიჯი: ის იღებს CVE-ს ძირითად ჩანაწერებს და ამატებს ქულებს, პროდუქტის შესაბამისობას და სხვა მეტამონაცემებს. ამ დამატებით სამუშაოს დრო სჭირდება და, განსაკუთრებით 2024 წლიდან, გამოიწვია კარგად დოკუმენტირებული შეფერხებები და ახალი დაუცველობების სრულად ანალიზის შეფერხებები. DevSecOps გუნდებისთვის ეს ნიშნავს, რომ თქვენს ინსტრუმენტებში ნანახი ზოგიერთი CVE შეიძლება სწრაფად გამოჩნდეს ნაწილობრივი მონაცემებით ან გარკვეული დრო დასჭირდეს სრული კონტექსტით გამოჩენას. NVD-ის ეროვნული დაუცველობის მონაცემთა ბაზა ავტორიტეტულია, მაგრამ არა მყისიერი.

მცდარი წარმოდგენა #2: NVD არის დაუცველობის სკანერი #

კიდევ ერთი გავრცელებული გაუგებრობა NVD-ის შესახებ არის მისი, როგორც აქტიური სკანერის აღქმა, რომელიც თქვენს გარემოს იკვლევს. ეს ასე არ არის. ეროვნული დაუცველობის მონაცემთა ბაზა NVD არის საცნობარო მონაცემთა ნაკრები, არა დეტექციის ძრავა. თქვენი სკანერები, SCA ხელსაწყოები და აგენტები ახორციელებენ აღმოჩენას. შემდეგ ისინი ადარებენ აღმოჩენილ პროგრამულ უზრუნველყოფასა და კონფიგურაციებს ეროვნული დაუცველობის მონაცემთა ბაზაში არსებულ მონაცემებს, რათა გადაწყვიტონ, რომელი CVE-ები გამოიყენება და რამდენად სერიოზულია ისინი.

მცდარი წარმოდგენა #3: თუ ეს NVD-ში არ არის, ეს პრობლემა არ არის #

ეს განსაკუთრებით საშიშია იმაში, რომ software supply chain securityყველა რისკი არ ვლინდება CVE-ს სახით და ყველა დაუცველობა არ არის სრულად გამდიდრებული NVD-ში დროულად. კვლევამ ხაზგასმით აღნიშნა, თუ როგორ შეიძლება NVD-ში დაგვიანებულმა ანალიზმა ან მეტამონაცემების არარსებობამ ორგანიზაციებს ხარვეზები შეუქმნას, განსაკუთრებით მაშინ, როდესაც ისინი NVD-ზე არიან დამოკიდებულნი, როგორც სიმართლის ერთადერთ წყაროზე. DevSecOps გუნდებისთვის, მონაცემთა ბაზა უნდა იქნას გაგებული, როგორც ერთი კრიტიკული ინფორმაცია და არა მთელი ისტორია.

როგორ გამოვიყენოთ NVD-ის ეროვნული დაუცველობის მონაცემთა ბაზა ეფექტურად DevSecOps-ში? #

თუ თანამედროვე სტილში მოძრაობთ pipelineს, თქვენ NVD-ს ხელით არ იყენებთ; ამას თქვენი ხელსაწყოები აკეთებენ თქვენთვის. თუმცა, თქვენ მაინც შეგიძლიათ თქვენი პროგრამის შექმნა ეროვნული დაუცველობის მონაცემთა ბაზის რეალისტური ხედვის საფუძველზე და მისი შესაბამისობის გათვალისწინებით. პრაქტიკული მიდგომა:

1. NVD-ს ნორმალიზაციის ფენად განიხილეთ: გამოიყენეთ ინსტრუმენტები, რომლებიც ეყრდნობა ეროვნული დაუცველობის მონაცემთა ბაზის NVD მონაცემებს, რათა CVE-ები, სიმძიმე და პროდუქტები თანმიმდევრული იყოს სკანირების, ანგარიშგებისა და dashboards.
2. NVD-ის გამყიდველის რჩევებთან შერწყმა და ინტელექტის გამოყენება: რადგან NVD-ის ეროვნული დაუცველობის მონაცემთა ბაზის გამდიდრებამ შეიძლება შეფერხდეს, ხარვეზების შესავსებად უნდა გამოიყენონ გამყიდველის შენიშვნები, საფრთხეების შესახებ ინფორმაცია და ექსპლუატაციის შესახებ ინფორმაცია. რეალურ სამყაროში რისკების პრიორიტეტულობა.
3. NVD-ზე დაფუძნებული მონაცემების ჩართვა CI/CD: სკანერების ინტეგრირება და SCA ინსტრუმენტები, რომლებიც მას თქვენს სასარგებლოდ გამოიყენებენ pipelineამიტომ, ახალი ბილდები განლაგებამდე შემოწმდება განახლებული დაუცველობის მონაცემებთან შედარებით.
4. NVD მონაცემების შესაბამისობაში მოყვანა SBOMs და დამოკიდებულების გრაფიკები: მიწოდების ჯაჭვის უსაფრთხოებისთვის, დააკავშირეთ SBOMs და დამოკიდებულების შესაბამისობა NVD ჩანაწერებთან. ეს საშუალებას გაძლევთ სწრაფად უპასუხოთ: „რომელი pipelineეს CVE გავლენას ახდენს s-სა და სერვისებზე?

5. გაითვალისწინეთ შეზღუდვები, განსაკუთრებით მავნე პაკეტებისთვის: CVE-ზე ორიენტირებული მონაცემთა ბაზები ფოკუსირებულია გამჟღავნებულ დაუცველობებზე და არა აუცილებლად მავნე პაკეტებზე ან საჯარო რეესტრებში ჩაკეტილ კომპონენტებზე. სწორედ აქ გამოიყენება დამატებითი ინსტრუმენტები (მაგალითად ქსიგენი ან სხვა მიწოდების ჯაჭვის უსაფრთხოების პლატფორმები) აარჩევენ იმას, რისი დაფარვაც NVD-ს დამოუკიდებლად არ შეუძლია.

სად ჯდება NVD თანამედროვე დაუცველობის სტრატეგიაში? #

მაშ ასე, უკან დავბრუნდეთ: რას წარმოადგენს ეს სტრატეგიული თვალსაზრისით?

• ეს არის საცნობარო კატალოგი ინდუსტრიის უმეტესობა იყენებს დაუცველობების აღწერისა და შეფასებისთვის.
• ეს არის standards-ზე დაფუძნებული მონაცემთა წყარო რაც ინსტრუმენტებს საშუალებას აძლევს, რისკებზე საერთო ენაზე ისაუბრონ.
• ეს არის აუცილებელი წვლილი to დაუცველობის მართვა, DevSecOps და შესაბამისობის პროგრამები.
• ეს არ სკანერი, არა სრული ადრეული გაფრთხილების სისტემადა არ წარმოადგენს მიწოდების ჯაჭვის უსაფრთხოების ან ექსპლოიტის შესახებ ინფორმაციის შემცვლელს.

თუ თქვენს საფუძველს დააფუძნებთ დაუცველობის მართვა NVD მონაცემთა ბაზაში თქვენ კარგ კომპანიაში ხართ: თითქმის ყველა დანარჩენიც ასეა. ხრიკი იმაში მდგომარეობს, რომ NVD-ის ეროვნული დაუცველობის მონაცემთა ბაზა, როგორც ქვაკუთხედის, ისე აღიქვათ და არა როგორც მთელი შენობის.

გამოიყენეთ ის ნორმალიზაციისთვის, ქულების მოპოვებისა და დაფარვისთვის. გააფართოვეთ იგი მომწოდებლის რჩევებით, ექსპლუატაციის მონაცემებით და სპეციალიზებული... software supply chain securityდა დარწმუნდით, რომ თქვენი DevSecOps pipelines, არა მხოლოდ თქვენი კვარტალური ანგარიშები, მიიღეთ და რეაგირება მოახდინეთ იმაზე, რასაც ეროვნული დაუცველობის მონაცემთა ბაზა გეუბნებათ.

სწორედ ასე გარდაქმნით ეროვნული დაუცველობის მონაცემთა ბაზის კითხვაზე პასუხს მშრალი განმარტებიდან ისეთ რამედ, რაც რეალურად განსაზღვრავს პროგრამული უზრუნველყოფის მიწოდებისა და დაცვის წესს.