ក្រុមសន្តិសុខកម្រនឹងបរាជ័យណាស់ ដោយសារតែពួកគេខ្វះទិន្នន័យ។ ជាញឹកញាប់ ពួកគេបរាជ័យ ដោយសារតែពួកគេជួសជុលបញ្ហាខុសជាមុនសិន។ នោះហើយជាមូលហេតុដែល Known-Exploit Intelligence ការគ្រប់គ្រងភាពងាយរងគ្រោះដោយផ្អែកលើហានិភ័យ ច្បាប់ Cyber Resilience Act និង CISកាតាឡុកចំណុចខ្សោយដែលគេស្គាល់ និងត្រូវបានគេកេងប្រវ័ញ្ចឥឡូវនេះបានបញ្ចូលគ្នានៅក្នុងលំហូរការងារ AppSec ទំនើប។
រៀងរាល់សប្តាហ៍ ម៉ាស៊ីនស្កេនរាយការណ៍ពីភាពងាយរងគ្រោះរាប់រយ។ ទោះជាយ៉ាងណាក៏ដោយ អ្នកវាយប្រហារទាញយកប្រយោជន៍ពីចំណុចខ្សោយទាំងនោះបានតែផ្នែកតូចមួយប៉ុណ្ណោះ។ ជាលទ្ធផល ក្រុមដែលផ្តល់អាទិភាពដោយមិនទាញយកប្រយោជន៍ពីបរិបទខ្ជះខ្ជាយពេលវេលា ខណៈពេលដែលការគំរាមកំហែងពិតប្រាកដរអិលចេញ។ ភាពវៃឆ្លាតដែលដឹងអំពីការទាញយកប្រយោជន៍ (Known-Exploit Intelligence) បិទគម្លាតនោះដោយការបង្ហាញភាពងាយរងគ្រោះដែលអ្នកវាយប្រហារពិតជាប្រើ មិនមែនគ្រាន់តែចំណុចខ្សោយដែលមើលទៅធ្ងន់ធ្ងរនៅលើក្រដាសនោះទេ។
អ្វីដែលគេដឹង - កេងប្រវ័ញ្ចបញ្ញា
ភាពវៃឆ្លាតដែលគេស្គាល់អំពីការកេងប្រវ័ញ្ចកំណត់អត្តសញ្ញាណចំណុចខ្សោយដែលអ្នកវាយប្រហារកេងប្រវ័ញ្ចយ៉ាងសកម្មនៅក្នុងបរិយាកាសពិត។ ម្យ៉ាងវិញទៀត វាបំបែកហានិភ័យទ្រឹស្តីចេញពីឥរិយាបថវាយប្រហារដែលបានបញ្ជាក់។
ជំនួសឲ្យការសួរថាតើមានភាពងាយរងគ្រោះឬអត់ អាចធ្វើបាន ត្រូវបានកេងប្រវ័ញ្ច ក្រុមនានាអាចសួរថា៖
តើរឿងនេះកំពុងត្រូវបានកេងប្រវ័ញ្ចរួចហើយឬនៅ ហើយតើវាប៉ះពាល់ដល់ផលិតផលរបស់ខ្ញុំដែរឬទេ?
ភាពខុសគ្នានោះមានសារៈសំខាន់ទាំងផ្នែកប្រតិបត្តិការ និងកាន់តែខ្លាំងឡើងៗ ផ្នែកច្បាប់។
ហេតុអ្វីបានជាការផ្តល់អាទិភាពបែបប្រពៃណីបរាជ័យ
ក្រុមភាគច្រើននៅតែពឹងផ្អែកលើសញ្ញាឋិតិវន្តដើម្បីផ្តល់អាទិភាពដល់ហានិភ័យ។
ជាធម្មតា ពួកគេតម្រៀបចំណុចខ្សោយតាម៖
- ភាពធ្ងន់ធ្ងរនៃ CVSS
- ទំនុកចិត្តរបស់ម៉ាស៊ីនស្កេន
- ប្រជាប្រិយភាពកញ្ចប់
ទោះបីជាសញ្ញាទាំងនេះជួយកាត់បន្ថយសំឡេងរំខានក៏ដោយ ក៏ពួកវាខកខានកត្តាសំខាន់មួយគឺ ឥរិយាបថរបស់អ្នកវាយប្រហារ។ ជាលទ្ធផល ក្រុមនានាតែងតែប្រញាប់ប្រញាល់ដោះស្រាយបញ្ហាធ្ងន់ធ្ងរដែលមិនដែលត្រូវបានកេងប្រវ័ញ្ច ខណៈពេលដែលខកខានចំណុចខ្វះខាតធ្ងន់ធ្ងរទាបដែលអ្នកវាយប្រហារកំណត់គោលដៅយ៉ាងសកម្ម។
គម្លាតនេះពន្យល់ពីមូលហេតុដែលការកំណត់អាទិភាពឋិតិវន្តលែងធ្វើមាត្រដ្ឋានទៀតហើយ។
ហេតុអ្វីបានជាច្បាប់ស្តីពីភាពធន់តាមអ៊ីនធឺណិតផ្លាស់ប្តូរច្បាប់
នៅក្រោម ច្បាប់ស្តីពីភាពធន់នឹងអ៊ីនធឺណិតការដឹកជញ្ជូនកម្មវិធីដែលមានភាពងាយរងគ្រោះដែលអាចកេងប្រវ័ញ្ចបានក្លាយជាបញ្ហាអនុលោមភាព មិនមែនគ្រាន់តែជាកង្វល់ផ្នែកសុវត្ថិភាពនោះទេ។
បទប្បញ្ញត្តិនេះតម្រូវឱ្យ៖
- ផលិតផលដែលមានធាតុឌីជីថលមិនត្រូវចូលទៅក្នុងទីផ្សារ EU ដែលមានចំណុចខ្សោយដែលអាចកេងប្រវ័ញ្ចបានឡើយ។
- ក្រុមហ៊ុនផលិតអនុវត្តការគ្រប់គ្រងភាពងាយរងគ្រោះ និងច្រកទ្វារបោសសម្អាត
- ការកេងប្រវ័ញ្ចនៅក្នុងបរិយាកាសពិតមានទម្ងន់ច្រើនជាងភាពធ្ងន់ធ្ងរខាងទ្រឹស្តី
ជាលទ្ធផល ការផ្តល់អាទិភាពផ្លាស់ប្តូរពីការអនុវត្តល្អបំផុតទៅជាកាតព្វកិច្ចផ្លូវច្បាប់។
នេះជាកន្លែងដែលភាពវៃឆ្លាតក្នុងការកេងប្រវ័ញ្ចក្លាយជារឿងសំខាន់។
ច្បាប់ស្តីពីភាពធន់នឹងអ៊ីនធឺណិត
ចំពោះ ច្បាប់ស្តីពីភាពធន់នឹងអ៊ីនធឺណិត គឺជាបទប្បញ្ញត្តិរបស់សហភាពអឺរ៉ុបដែលកំណត់តម្រូវការសន្តិសុខតាមអ៊ីនធឺណិតជាកាតព្វកិច្ចសម្រាប់ផលិតផលដែលមានធាតុឌីជីថលដែលលក់នៅក្នុងសហភាពអឺរ៉ុប។
និយាយឱ្យសាមញ្ញទៅ វាតម្រូវឱ្យអ្នកផលិតរចនា អភិវឌ្ឍ និងថែរក្សាកម្មវិធីដែលមិនមានភាពងាយរងគ្រោះដែលអាចកេងប្រវ័ញ្ចបាននៅពេលចេញផ្សាយ។ លើសពីនេះ វាតម្រូវឱ្យក្រុមហ៊ុនតាមដានភាពងាយរងគ្រោះបន្ទាប់ពីការចេញផ្សាយ និងរាយការណ៍ពីបញ្ហាដែលត្រូវបានកេងប្រវ័ញ្ចយ៉ាងសកម្មក្នុងរយៈពេលកំណត់យ៉ាងតឹងរ៉ឹង។
បទប្បញ្ញត្តិនេះបានចូលជាធរមាននៅក្នុងខែធ្នូ ឆ្នាំ២០២៤។ ទោះជាយ៉ាងណាក៏ដោយ ការអនុវត្តពេញលេញចាប់ផ្តើមនៅក្នុងខែធ្នូ ឆ្នាំ២០២៧។ ចាប់ផ្តើមពីឆ្នាំ២០២៦ ក្រុមហ៊ុននានាត្រូវតែរាយការណ៍ពីភាពងាយរងគ្រោះដែលត្រូវបានកេងប្រវ័ញ្ចយ៉ាងសកម្មទៅកាន់អាជ្ញាធរសហភាពអឺរ៉ុបក្នុងរយៈពេល ២៤ ម៉ោងបន្ទាប់ពីការរកឃើញ។
ម្យ៉ាងទៀត ច្បាប់ស្តីពីភាពធន់តាមអ៊ីនធឺណិត (Cyber Resilience Act) បានប្រែក្លាយការគ្រប់គ្រងភាពងាយរងគ្រោះពីការអនុវត្តល្អបំផុតទៅជាតម្រូវការចូលទីផ្សារ។
ហេតុអ្វីបានជា KEVS ស្ថិតនៅចំកណ្តាលនៃការអនុលោមតាម CRA
ចំពោះ CISកាតាឡុកចំណុចខ្សោយដែលគេស្គាល់ រាយបញ្ជី CVE ដែលអ្នកវាយប្រហារកេងប្រវ័ញ្ចរួចហើយនៅក្នុងធម្មជាតិ។ កាតាឡុកនេះលុបបំបាត់ភាពមិនច្បាស់លាស់។
ជំនួសឲ្យការជជែកវែកញែកអំពីហានិភ័យ ក្រុមនានាអាចពឹងផ្អែកលើទិន្នន័យកេងប្រវ័ញ្ចដែលបានផ្ទៀងផ្ទាត់។ ជាលទ្ធផល KEV ក្លាយជាកត្តាជំរុញដ៏ខ្លាំងបំផុតសម្រាប់ SLA នៃការដោះស្រាយ និងការទប់ស្កាត់ការចេញផ្សាយ។
វិធីសាស្រ្តនេះស្របគ្នាដោយធម្មជាតិជាមួយ ការគ្រប់គ្រងភាពងាយរងគ្រោះដោយផ្អែកលើហានិភ័យពីព្រោះវាផ្តោតការខិតខំប្រឹងប្រែងនៅកន្លែងដែលការខូចខាតពិតប្រាកដកើតឡើង។
CVSS, EPSS និង KEV បម្រើគោលបំណងផ្សេងៗគ្នា
ការកំណត់អាទិភាពប្រកបដោយប្រសិទ្ធភាពទាមទារឱ្យយល់អំពីរបៀបដែលសញ្ញាខុសគ្នា។
- ស៊ី។ អេស។ អេស បង្ហាញពីផលប៉ះពាល់ដែលអាចកើតមាន
- EPSS ប៉ាន់ប្រមាណលទ្ធភាពនៃការកេងប្រវ័ញ្ច
- ចំពោះ CISកាតាឡុកចំណុចខ្សោយដែលគេស្គាល់បញ្ជាក់ពីការកេងប្រវ័ញ្ចសកម្ម
ប្រសិនបើប្រើតែឯង សញ្ញានីមួយៗនឹងនាំឲ្យមានការភាន់ច្រឡំ។ ប្រសិនបើប្រើរួមគ្នា ពួកវាផ្តល់នូវបរិបទ។ ការរួមបញ្ចូលគ្នានោះបង្កើតបានជាមូលដ្ឋានគ្រឹះនៃការគ្រប់គ្រងភាពងាយរងគ្រោះដោយផ្អែកលើហានិភ័យទំនើប។
របៀបដែលបញ្ញាដែលស្គាល់-ប្រើប្រាស់ដើម្បីទាញយកប្រយោជន៍ដំណើរការក្នុងការអនុវត្ត
គំរូអាទិភាពជាក់ស្តែងមួយធ្វើតាមលំដាប់លំដោយច្បាស់លាស់៖
- រកឃើញចំណុចខ្សោយនៅទូទាំងកូដ និងការពឹងផ្អែក
- ផ្គូផ្គងការរកឃើញទល់នឹង CISកាតាឡុកចំណុចខ្សោយដែលគេស្គាល់
- វាយតម្លៃលទ្ធភាពនៃការកេងប្រវ័ញ្ចដោយប្រើ EPSS
- ផ្ទៀងផ្ទាត់លទ្ធភាពចូលដំណើរការបានក្នុងកម្មវិធី ឬ pipeline
- អនុវត្តច្បាប់ដោះស្រាយដោយផ្អែកលើការប៉ះពាល់ និងតួនាទីផលិតផល
ជាលទ្ធផល ក្រុមការងារឈប់ចាត់ទុកបញ្ជីភាពងាយរងគ្រោះថាជាបញ្ជីការងារដែលមិនទាន់បានដោះស្រាយ ហើយចាប់ផ្តើមចាត់ទុកវាថាជាឯកសារដែលមិនទាន់បានដោះស្រាយ។cisions ។
របៀបដែលយើងបានបង្កើតភាពវៃឆ្លាតដែលគេស្គាល់-កេងប្រវ័ញ្ចនៅ Xygeni
យើងបានបង្កើតមុខងារនេះឡើង បន្ទាប់ពីបានឃើញក្រុមជួសជុលបញ្ហា CVSS ខ្ពស់ម្តងហើយម្តងទៀត ខណៈពេលដែលភាពងាយរងគ្រោះដែលគេស្គាល់ថាបានឈានដល់ការផលិត។ បទពិសោធន៍នោះបានជះឥទ្ធិពលដល់របៀបដែលយើងរចនាប្រព័ន្ធ។
ជាមួយ v5.36, Xygeni រួមបញ្ចូលភាពវៃឆ្លាតនៃការកេងប្រវ័ញ្ចដែលបានផ្ទៀងផ្ទាត់ដោយផ្ទាល់ទៅក្នុងម៉ាស៊ីនផ្តល់អាទិភាព។
តើមានអ្វីកើតឡើងនៅក្រោមក្រណាត់
- Xygeni បន្តទទួលយកកាតាឡុកកេងប្រវ័ញ្ចដែលអាចទុកចិត្តបានដូចជា KEV និងប្រភពកេងប្រវ័ញ្ចសាធារណៈផ្សេងទៀត
- ចំណុចខ្សោយនីមួយៗទទួលបានទិន្នន័យមេតានៃវត្តមានកេងប្រវ័ញ្ច
- ចីវលោកំណត់អាទិភាពរួមបញ្ចូលគ្នា៖
- ស្ថានភាពកេងប្រវ័ញ្ចដែលគេស្គាល់
- ប្រូបាប៊ីលីតេ EPSS
- បរិបទលទ្ធភាពទៅដល់
- ការប៉ះពាល់នឹងកូដ និងការពឹងផ្អែក
វេទិកានេះគណនាពិន្ទុហានិភ័យពិភពលោកពិតដែលផ្សំឡើង
ជំនួសឱ្យការជំនួសសញ្ញាដែលមានស្រាប់ គំរូនេះកែលម្អពួកវា។
ការរកឃើញ → ការផ្គូផ្គងការកេងប្រវ័ញ្ច → លទ្ធភាពទទួលបាន → ជួសជុល
លំហូរនេះជំរុញរាល់ការវិវត្តcision:
អ្នកអភិវឌ្ឍន៍មើលឃើញបរិបទនៃការកេងប្រវ័ញ្ចដោយផ្ទាល់នៅក្នុង pull requests. Pipelineប្លុក s បញ្ចូលគ្នាលុះត្រាតែកូដដែលអាចទៅដល់បានរួមបញ្ចូលភាពងាយរងគ្រោះដែលគេស្គាល់។ ការដោះស្រាយដោយស្វ័យប្រវត្តិស្នើឱ្យមានការធ្វើឱ្យប្រសើរឡើងដោយសុវត្ថិភាពភ្លាមៗ។
គ្មានការប្រជុំ។ គ្មានការស្មាន។ គ្មានការភ័យស្លន់ស្លោទេ។
ហេតុអ្វីបានជារឿងនេះសំខាន់លើសពីការអនុលោមតាម
ទោះបីជាច្បាប់ស្តីពីភាពធន់នៃបច្ចេកវិទ្យាអ៊ីនធឺណិត (Cyber Resilience Act) បានបង្កឱ្យមានការផ្លាស់ប្តូរនេះក៏ដោយ ក៏អត្ថប្រយោជន៍នានានៅតែបន្តពង្រីកបន្ថែមទៀត។
ក្រុមដែលផ្តល់អាទិភាពដល់ការប្រើប្រាស់ exploit intelligence៖
- កាត់បន្ថយភាពអស់កម្លាំងដោយសារការប្រុងប្រយ័ត្ន
- កាត់បន្ថយពេលវេលាជួសជុល
- ជៀសវាងវដ្តបំណះសង្គ្រោះបន្ទាន់
- ដឹកជញ្ជូនកម្មវិធីដែលមានសុវត្ថិភាពជាងមុនជាមួយនឹងទំនុកចិត្ត
ការអនុលោមតាមក្លាយជាផលប៉ះពាល់នៃការអនុវត្តសុវត្ថិភាពឱ្យបានត្រឹមត្រូវ។
គំនិតចុងក្រោយ៖ CRA ធ្វើឱ្យការគ្រប់គ្រងផ្អែកលើហានិភ័យជាកាតព្វកិច្ច
ច្បាប់ស្តីពីភាពធន់នឹងការលួចចូលប្រព័ន្ធអ៊ីនធឺណិត (Cyber Resilience Act) បានធ្វើឲ្យអ្វីដែលក្រុមដែលមានបទពិសោធន៍បានរៀនរួចទៅហើយមានលក្ខណៈជាផ្លូវការ។ មិនមែនភាពងាយរងគ្រោះទាំងអស់សុទ្ធតែមានសារៈសំខាន់ដូចគ្នានោះទេ។
ចំពោះ CISកាតាឡុកចំណុចខ្សោយដែលគេស្គាល់ និងត្រូវបានគេកេងប្រវ័ញ្ចបង្ហាញពីអ្វីដែលអ្នកវាយប្រហារប្រើប្រាស់នាពេលបច្ចុប្បន្ន។ បរិបទ និងលទ្ធភាពទៅដល់បង្ហាញថាតើវាប៉ះពាល់ដល់អ្នកឬអត់។ ពួកវារួមគ្នាកំណត់និយមន័យនៃភាពទំនើប ការគ្រប់គ្រងភាពងាយរងគ្រោះដោយផ្អែកលើហានិភ័យ.
Xygeni អនុវត្តគំរូនេះជាបន្តបន្ទាប់ ដោយស្វ័យប្រវត្តិ និងនៅកន្លែងដែលអ្នកអភិវឌ្ឍន៍ធ្វើការរួចហើយ។
អំពីអ្នកនិពន្ធ
និពន្ធដោយ Fatima Saidអ្នកគ្រប់គ្រងផ្នែកទីផ្សារមាតិកាមានជំនាញខាងសុវត្ថិភាពកម្មវិធីនៅ Xygeni Security។ គាត់បង្កើតមាតិកាដែលផ្តោតលើអ្នកអភិវឌ្ឍន៍ និងជំរុញដោយការស្រាវជ្រាវនៅលើ AppSec។ ASPMនិង DevSecOps ដោយបកប្រែបញ្ហាប្រឈមសន្តិសុខក្នុងពិភពពិតទៅជាការណែនាំច្បាស់លាស់ និងអាចអនុវត្តបាន។
