Коопсуздук топтору сейрек учурларда гана маалыматтардын жетишсиздигинен улам ийгиликсиз болушат. Көбүнчө алар туура эмес көйгөйлөрдү алгач оңдогондуктан ийгиликсиз болушат. Дал ошондуктан Known-Exploit Intelligence, тобокелдиктерге негизделген аялуу жерлерди башкаруу, Кибер туруктуулук жөнүндө мыйзам жана CISБелгилүү эксплуатацияланган аялуу жактардын каталогу азыр заманбап AppSec жумуш агымдарына бириктирилет.
Ар жума сайын сканерлер жүздөгөн алсыздыктар жөнүндө кабарлашат. Бирок, чабуулчулар алардын бир аз бөлүгүн гана колдонушат. Натыйжада, контекстти эксплуатациялабай туруп артыкчылык берген топтор убакытты текке кетиришет, ал эми чыныгы коркунучтар өтүп кетет. Белгилүү эксплуатациялык чалгындоо чабуулчулар кагаз жүзүндө олуттуу көрүнгөн алсыздыктарды гана эмес, чындыгында колдонгон алсыздыктарды ачыкка чыгаруу менен бул боштукту жабат.
Белгилүү нерсе - Эксплуатациялык чалгындоо
Белгилүү эксплуатациялык чалгындоо чабуулчулар реалдуу чөйрөдө активдүү түрдө пайдаланган алсыздыктарды аныктайт. Башкача айтканда, ал теориялык тобокелдикти тастыкталган чабуул жүрүм-турумунан бөлүп турат.
Алсыздык барбы деп суроонун ордуна мүмкүн эксплуатацияланса, командалар акыры төмөнкүлөрдү сурай алышат:
Бул мурунтан эле колдонулуп жатабы жана ал менин продуктума таасир этеби?
Бул айырмачылык операциялык жана барган сайын юридикалык жактан маанилүү.
Эмне үчүн салттуу артыкчылык берүү бузулуп жатат
Көпчүлүк командалар тобокелдикти артыкчылыктуу деп эсептөө үчүн дагы эле статикалык сигналдарга таянышат.
Адатта, алар алсыздыктарды төмөнкүлөр боюнча сорттошот:
- CVSSтин оордугу
- Сканердин ишенимдүүлүгү
- Пакеттин популярдуулугу
Бул сигналдар ызы-чууну азайтууга жардам бергени менен, алар бир маанилүү факторду байкабай калышат: чабуулчунун жүрүм-туруму. Натыйжада, командалар көп учурда эч качан пайдаланылбаган жогорку деңгээлдеги көйгөйлөрдү оңдоого шашылышат, ал эми чабуулчулар активдүү түрдө бутага алган төмөнкү деңгээлдеги кемчиликтерди байкабай калышат.
Бул боштук статикалык артыкчылык берүү эмне үчүн мындан ары масштабдалбай калганын түшүндүрөт.
Эмне үчүн Кибер туруктуулук жөнүндө мыйзам эрежелерди өзгөртөт?
Астында Кибер туруктуулук актысы, белгилүү бир эксплуатациялануучу алсыздыктары бар программалык камсыздоону жеткирүү жөн гана коопсуздук маселеси эмес, шайкештик маселесине айланат.
Жобо төмөнкүлөрдү талап кылат:
- Санариптик элементтери бар өнүмдөр ЕС рыногуна белгилүү бир эксплуатациялануучу алсыздыктар менен кирбеши керек
- Өндүрүүчүлөр алсыздыкты башкаруу жана тазалоочу дарбазаларды орнотушат
- Чыныгы чөйрөдөгү эксплуатация теориялык жактан оорчулукка караганда көбүрөөк салмакка ээ
Натыйжада, артыкчылыктарды аныктоо эң мыкты тажрыйбадан юридикалык милдеттенмеге өтөт.
Дал ушул жерде эксплуатациялык интеллект маанилүү болуп калат.
Кибер туруктуулук актысы
The Кибер туруктуулук актысы - бул Европа Биримдигинин жөнгө салуусу, ал Европа Биримдигинде сатылган санариптик элементтери бар продукциялар үчүн киберкоопсуздуктун милдеттүү талаптарын белгилейт.
Жөнөкөй сөз менен айтканда, ал өндүрүүчүлөрдөн чыгарылган учурда белгилүү болгон эксплуатациялануучу алсыздыктары жок программалык камсыздоону иштеп чыгууну, иштеп чыгууну жана тейлөөнү талап кылат. Андан тышкары, ал компанияларды чыгарылгандан кийин алсыздыктарды көзөмөлдөөгө жана активдүү түрдө пайдаланылган көйгөйлөр жөнүндө так мөөнөттөрдө билдирүүгө милдеттендирет.
Бул жобо 2024-жылдын декабрында күчүнө кирген. Бирок, толук күчүнө кирүү 2027-жылдын декабрында башталат. 2026-жылдан баштап, компаниялар активдүү түрдө пайдаланылган алсыздыктар тууралуу табылгандан кийин 24 сааттын ичинде Европа Биримдигинин органдарына билдириши керек.
Башкача айтканда, Кибер туруктуулук жөнүндө мыйзам аялуулукту башкарууну эң мыкты тажрыйбадан рынокко кирүү талабына айландырат.
Эмне үчүн KEVлер CRA шайкештигинин борборунда турат
The CISБелгилүү эксплуатацияланган алсыздыктардын каталогу Чабуулчулар жапайы жаратылышта мурунтан эле колдонуп келген CVEлердин тизмесин түзөт. Бул каталог түшүнүксүздүктү жок кылат.
Тобокелдикти талкуулоонун ордуна, командалар текшерилген эксплуатация маалыматтарына таяна алышат. Натыйжада, KEVлер калыбына келтирүү боюнча SLAлар жана чыгарууну бөгөттөө үчүн эң күчтүү триггер болуп калат.
Бул ыкма табигый түрдө шайкеш келет тобокелдикке негизделген аялуулугун башкаруу, анткени ал чыныгы зыян келтирилген жерге күч-аракетти багыттайт.
CVSS, EPSS жана KEV ар кандай максаттарга кызмат кылат
Натыйжалуу артыкчылык берүү сигналдардын кандайча айырмаланарын түшүнүүнү талап кылат.
- CVSS потенциалдуу таасирин көрсөтөт
- EPSS эксплуатациялоо ыктымалдыгын эсептейт
- The CISБелгилүү эксплуатацияланган алсыздыктардын каталогу активдүү эксплуатацияны тастыктайт
Өз алдынча колдонулганда, ар бир сигнал жаңылыштырат. Чогуу колдонулганда, алар контекстти камсыз кылат. Бул айкалыш заманбап тобокелдикке негизделген аялуулукту башкаруунун негизин түзөт.
Белгилүү эксплуатациялоо боюнча чалгындоо иш жүзүндө кандайча иштейт
Практикалык артыкчылык берүү модели так ырааттуулукту карманат:
- Код жана көз карандылыктар боюнча аялуу жактарды аныктоо
- Жыйынтыктарды дал келтирүү CISБелгилүү эксплуатацияланган алсыздыктардын каталогу
- EPSS колдонуп, эксплуатация ыктымалдыгын баалоо
- Колдонмодо жетүү мүмкүнчүлүгүн текшериңиз pipeline
- Таасирге жана продуктунун ролуна негизделген калыбына келтирүү эрежелерин колдонуңуз
Натыйжада, командалар алсыздык тизмелерин артта калган тизме катары кароону токтотуп, алардыcisиондор.
Xygeni компаниясында белгилүү эксплуатациялык интеллектти кантип курдук
Биз бул функцияны командалардын жогорку CVSS көйгөйлөрүн оңдоп жатканын, ал эми белгилүү болгон пайдаланылган алсыздыктар өндүрүшкө жеткенин бир нече жолу көргөндөн кийин курдук. Бул тажрыйба биздин системаны кантип иштеп чыкканыбызды калыптандырды.
менен v5.36, Xygeni текшерилген эксплуатациялык интеллектти түздөн-түз артыкчылык берүү кыймылдаткычына интеграциялайт.
Капоттун астында эмне болот
- Xygeni KEV жана башка коомдук эксплуатация булактары сыяктуу ишенимдүү эксплуатация каталогдорун тынымсыз жутуп турат
- Ар бир алсыздык эксплуатациянын катышуу метадайындарын алат
- Артыкчылыктарды аныктоо воронкасы төмөнкүлөрдү камтыйт:
- Белгилүү эксплуатация статусу
- EPSS ыктымалдуулугу
- Жеткиликтүүлүк контексти
- Код жана көз карандылыкты аныктоо
Платформа реалдуу дүйнөдөгү курама тобокелдик упайын эсептейт
Бул модель бар болгон сигналдарды алмаштыруунун ордуна, аларды өркүндөтөт.
Аныктоо → Эксплуатациялоо дал келүүсү → Жетүү мүмкүнчүлүгү → Оңдоо
Бул агым ар бир нерсени кыймылдататcisион:
Иштеп чыгуучулар эксплуатация контекстин түздөн-түз көрүшөт pull requests. Pipelines блогу жеткиликтүү коддо белгилүү эксплуатацияланган алсыздыктар камтылганда гана биригет. Автоматташтырылган калыбына келтирүү коопсуз жаңыртууларды дароо сунуштайт.
Жолугушуулар жок. Божомолдор жок. Дүрбөлөңгө түшүү жок.
Эмне үчүн бул шайкештиктен тышкары маанилүү
Кибер туруктуулук жөнүндө мыйзам бул өзгөрүүнү шарттаганына карабастан, анын пайдасы андан ары да кеңейет.
Эксплуатациялык интеллектти колдонууга артыкчылык берген командалар:
- Сергектиктин чарчоосун азайтыңыз
- Оңдоо убактысын кыскартуу
- Шашылыш патч циклдеринен алыс болуңуз
- Коопсуз программалык камсыздоону ишенимдүү түрдө жөнөтүңүз
Коопсуздукту сактоо эрежелерин сактоонун кошумча натыйжасы болуп калат.
Акыркы ойлор: CRA тобокелдиктерге негизделген башкарууну милдеттүү кылат
Кибертуруктуулук жөнүндө мыйзам тажрыйбалуу командалар мурунтан эле үйрөнгөн нерселерди расмий түрдө белгилейт. Бардык эле алсыздыктар бирдей мааниге ээ эмес.
The CISБелгилүү эксплуатацияланган алсыздыктардын каталогу чабуулчулар бүгүнкү күндө эмнени колдонуп жатканын көрсөтөт. Контекст жана жеткиликтүүлүк анын сизге таасир этеби же жокпу, көрсөтөт. Алар чогуу заманбапты аныктайт. тобокелдикке негизделген аялуулугун башкаруу.
Xygeni бул моделди үзгүлтүксүз, автоматтык түрдө жана иштеп чыгуучулар мурунтан эле иштеп жаткан жерде колдонот.
Автор жөнүндө
Жазылган Fatima Said, Xygeni Security компаниясында тиркемелердин коопсуздугу боюнча адистешкен контент-маркетинг менеджери. Ал AppSecте иштеп чыгуучуларга багытталган, изилдөөгө негизделген контентти түзөт, ASPMжана DevSecOps, реалдуу дүйнөдөгү коопсуздук көйгөйлөрүн так жана иш жүзүндө колдонууга боло турган көрсөтмөлөргө айландыруу.
