Mikarakara fahalemena an'arivony isam-bolana ny ekipa fiarovana an-tserasera, ary mety ho sarotra ny mamaritra hoe iza no tokony hamboarina voalohany; eo no misy ny... Isa CVSS mitana anjara toerana lehibe. Ny Rafitra fanamarihan'ny vulnerability mahazatra (CVSS) standardmamaritra ny fomba fandrefesana ny risika, ka mahatonga Fanomezana isa CVSS mifanaraka amin'ny tetikasa rehetra. Ankoatra izany, amin'ny fampiasana Kajy CVSS na Kajy isa CVSS, afaka mandika haingana ny angon-drakitra sarotra momba ny fahalemena ho lasa valiny mazava sy azo ampitahaina ireo ekipa fiarovana, izay mitondra fanarenana amin'ny fomba maranitra kokoa sy haingana kokoa.
Inona ny isa CVSS ary nahoana no zava-dehibe izany
The Isa CVSS dia ekena maneran-tany standard novokarin'ny FIRST.org mba hanombanana ny hamafin'ny fahalemena ara-piarovana.
Ny isa dia manomboka amin'ny 0 ho 10, izay manondro lesoka lehibe kokoa ny isa ambony kokoa:
| CVSS Score | fahasaro-po |
|---|---|
| 0.0 | tsy misy |
| 0.1-3.9 | Low |
| 4.0-6.9 | Medium |
| 7.0-8.9 | High |
| 9.0-10.0 | Critical |
Ho an'ny ekipa DevSecOps, ireo tarehimarika ireo dia manampy amin'ny fanomezana laharam-pahamehana ny fanarenana. Ny fahalemena manana isa CVSS 9.8, ohatra, dia mety mitaky fikarakarana avy hatrany, raha toa kosa ka ny iray manana isa 3.5 dia mety hiandry ny tsingerin'ny fikojakojana manaraka.
Na dia manombana ny fahasimbana mety hateraky ny lesoka aza ny CVSS, dia tsy manondro raha toa ka manararaotra izany amin'ny tontolo tena izy ireo mpanafika. Ny fahatakarana izany fahasamihafana izany dia tena ilaina amin'ny famaritana ny laharam-pahamehana amin'ny risika tena izy.
Ahoana ny fiasan'ny CVSS Scoring
Amin'ny fampiharana, ny rafitra fanombanana CVSS dia mampiasa vondrona metrika telo mba hanombanana ireo lafiny samihafa amin'ny fahalemena. Noho izany, ny vondrona tsirairay dia mamaritra ny fomba fiasan'ny olana, manomboka amin'ny fahafahana mampiasa azy ka hatramin'ny mety ho fiantraikany amin'ny rafitra sy ny angon-drakitra. Ankoatra izany, ny kajy isa CVSS azo itokisana dia mahatonga ity dingana ity ho azo averina sy mangarahara. Vokatr'izany, ny matihanina amin'ny fiarovana dia afaka mampita mazava kokoa ny hamafin'ny risika ary noho izany dia mitazona laharam-pahamehana tsy tapaka eo amin'ny ekipa.
Metrika fototra:
Ireo dia mamaritra ny toetra fototry ny fahalemena izay tsy miova mandritra ny fotoana sy ny tontolo iainana.
Ohatra amin'izany ny:- Vektora Fanafihana (AV): Azo atao an-tranomaizina ve ny fanafihana sa atao an-toerana ihany?
- Fahasarotan'ny fanafihana (AC): Mora ve ny manararaotra azy?
- Tombontsoa takiana (PR): Mila fidirana mialoha ve ny mpanafika?
- Fifandraisan'ny mpampiasa (UI): Mila manindry na manokatra zavatra ve ny mpampiasa?
- Fiantraikany (CIA): Ny fiantraikany amin'ny tsiambaratelo, ny fahamarinan-toerana ary ny fahafahana miditra.
Metrika ara-potoana:
Ireo dia manitsy ny isa mifototra amin'ny toe-javatra tena misy toy ny:- Fahamatorana amin'ny Fehezan-dalàna Exploit: Misy ve ny kaody exploit ho an'ny daholobe?
- Haavon'ny fanarenana: Efa nisy fanamboarana na patch navoaka ve?
- Tatitra momba ny fahatokisana: Azo itokisana ve ny tatitra momba ny fahalemena?
Famaritana momba ny tontolo iainana:
Ireo dia mampifanaraka ny isa amin'ny rafitra manokan'ny fikambanananao, ohatra, na mikirakira angon-drakitra saro-pady ilay rafitra marefo na ao ambadiky ny fiarovana matanjaka amin'ny tambajotra.
Ny singa tsirairay dia mandray anjara amin'ny isa farany amin'ny alàlan'ny standardraikipohy voafaritra, ka mahatonga ny CVSS ho referansa tsy tapaka amin'ny fampitahana ireo fahalemena eo amin'ny vokatra sy ny tontolo iainana.
Fampiasana kajy CVSS (Dingana isaky ny dingana)
Tsy mila mikaroka raikipohy amin'ny tanana ianao, azonao ampiasaina ny kajy isa CVSS an-tserasera toy ny Kajy CVSS voalohany v4.0 na ny Kajy NVD CVSSIreo fitaovana ireo dia manatsotra ny fanomezana isa CVSS ary miantoka fa ny kajy CVSS-nao dia mamoaka valiny mitovy sy azo ampitahaina amin'ny tontolo samihafa.
Ity misy fomba fijery tsotra:
- Safidio ny dikan-teny CVSS: Ny ankamaroan'ny torohevitra ankehitriny dia mampiasa CVSS v3.1 na v4.0.
- Fenoy ny metrika fototra: Misafidiana safidy ho an'ny Attack Vector, Complexity, Privileges, ary Impact.
- Ampio angon-drakitra ara-potoana: Ampidiro ao raha misy "exploit" na "patches" azo ampiasaina.
- Amboary ireo anton-javatra manodidina: Taratry ny fahatsapana na ny fiparitahan'ny fotodrafitrasanao manokana.
- Kajy: Mamerina isa eo anelanelan'ny 0.0 sy 10.0 avy hatrany ilay fitaovana.
Ohatra: Fampitahana isa CVSS roa (9.8 vs 5.6)
Mba hahitana ny fomba Kajy isa CVSS miasa eo amin'ny fiainana andavanandro, andao hampitahaintsika ny fahalemena roa amin'ny fampiasana CVSS v3.1 mari-pandrefesana.
1. Fahalemena goavana: Fampiharana kaody lavitra (CVSS 9.8)
| mimetatra | sarobidy | fanazavana |
|---|---|---|
| Fanafihana Vector | Network | Azo hararaotina lavitra |
| Fanafihana fanafihana | Low | Tsy misy fepetra manokana takiana |
| Ilaina ny tombontsoa | tsy misy | Tsy mila kaonty ny mpanafika |
| Fifandraisan'ny mpampiasa | tsy misy | Fanararaotana mandeha ho azy tanteraka |
| Fiantraikany amin'ny tsiambaratelo | High | Angon-drakitra saro-pady miharihary |
| Fiantraikany amin'ny fahamarinan-toetra | High | Azo ovaina ny angona |
| Fiantraikany amin'ny fisian'ny toerana | High | Mety hisy fahatapahan'ny serivisy |
Ity ohatra ity dia mampiseho ny fomba fiovan'ny kajy CVSS ny metrika qualitative ho valiny quantitative, izay manamafy ny lanjan'ny fanomezana isa CVSS marina mandritra ny fanombanana ny fiarovana.
Isa CVSS nokajiana: 5.6 (Salantsalany)
Amin'ny ankamaroan'ny tranga, ny ekipa fiarovana dia mikarakara ireo bibikely mampitombo ny tombontsoa eo an-toerana mandritra ny fanavaozana voalahatra satria ny ankamaroany dia misy fiantraikany amin'ny rafitra iraisana ary mahalana vao mitaky fanamboarana maika.
Entina:
Na dia samy CVE manan-kery aza ireo lesoka roa ireo, ny Isa CVSS manavaka tsara ny maha-maika azy ireo.
Fa tsarovy, a 9.8 CVSS amin'ny fahafahana mampiasa azy ambany (EPSS 0.02) mety tsy dia mampidi-doza loatra amin'ny fampiharana raha oharina amin'ny 5.6 CVSS izany no maha- nohararaotina tamim-pahavitrihana (EPSS 0.85).
Izany no antony ampiarahana ny CVSS amin'ny EPSS sy ny fahafaha-manatratra miantoka anao hanamboatra izay tena zava-dehibe.
Kajy isa CVSS amin'ny fampiharana
A Kajy CVSS mahatonga ny fanombanana ny risika ho azo averina sy mangarahara. Manampy amin'ny fampitana ny hamafin'ny olana amin'ireo mpandray anjara tsy ara-teknika izany ary mitazona ny laharam-pahamehana tsy tapaka eo amin'ny ekipa.
Na izany aza, mety hamitaka ny isa tsy miovaova raha raisina amin'ny tena endriny fotsiny. Ohatra:
- Fahalemena miaraka amin'ny CVSS isa 9.8 mety manana tsy misy fanararaotana mavitrika any an'ala.
- Iray hafa miaraka amin'ny CVSS isa 6.2 mety ho kendrena mavitrika ataon'ireo mpanafika.
Izany no mahatonga ny fiankinan-doha amin'ny kajy fotsiny dia mety hiteraka tsy fahafahana mahita zavatra. Ny isa dia fambara fototra, fa tsy famantarana ny mety ho loza amin'ny fotoana tena izy.
CVSS vs. EPSS Nahoana no tsy ampy ny isa statika
raha CVSS fepetra mety ho hamafin'ny, EPSS (Rafitra Fandrefesana ny Vinavina Exploit) fepetra mety hitranga amin'ny tena fiainana.
Mampiasa fianarana milina sy telemetria momba ny fandrahonana ny EPSS mba haminavina ny mety hisian'ny fanararaotana ny fahalemena ao anatin'ny 30 andro.
Rehefa ampiarahina izy ireo dia manome sary mazava kokoa:
| CVSS Score | Isa EPSS | Action |
|---|---|---|
| Avo (9.8) | Ambany (0.03) | Mora ampiasaina → Fanaraha-maso |
| antonony (6.5) | Avo (0.85) | Azo ampiasaina tsara → Amboary avy hatrany |
| Mitsikera (10.0) | Avo (0.9) | Mihetsika izao - na henjana na araraotina |
Toy izao indrindra no fomba tian'ny sehatra maoderina Xygeni manatsara ny fitantanana ny fahalemena, amin'ny alàlan'ny fampivondronana Fahasarotan'ny CVSS, Fahafahana mampiasa EPSS, ary famakafakana ny fahafaha-manatratra hifantoka amin'ny risika izay sady henjana no azo hararaotina eo amin'ny tontolo iainanao.
Mihoatra ny Isa: Fametrahana Laharam-pahamehana ho an'ny Risika Mahira-tsaina Kokoa
The Rafitra fanombanana CVSS mbola vato fehizoron'ny fiarovana an-tserasera; na izany aza, tsy natao hiasa irery mihitsy izany. Raha ny tena izy, Ny fahamatorana tena izy amin'ny fiarovana dia avy amin'ny fahatakarana ny sahan-kevitra feno, ny fahafantarana hoe iza avy ireo fahalemena azo tratrarina, azo hararaotina, ary tena ilaina amin'ny orinasa.
Manaraka izany bebe kokoa i Xygeni amin'ny alàlan'ny fanaovana ho azy ny dingana:
- Mandray angon-drakitra CVSS avy amin'ny fitaovanao na torohevitrao.
- Manatsara azy amin'ny Fahafahana mampiasa EPSS, fahafahana mahatratra ny fotoana fiasana, ary fahasahiranana ara-bola.
- Mampiseho ny zava-drehetra amin'ny fomba iray dashboard mba hanasongadinana izay tena mila fanamboarana.
Vokatr'izany, ity fomba fiasa mifototra amin'ny toe-javatra misy ity dia mamadika ny fitantanana ny fahalemena, izay tsy lalao isa tsotra intsony, ho dingana fahafantarana ny mety ho loza marani-tsaina kokoa sy mavitrika kokoa.
Final Thoughts
Ho famaranana, ny CVSS dia manampy ny ekipa hahatakatra ny maha-zava-dehibe ny fahalemena, raha ny EPSS sy ny reachability kosa dia mampiseho hoe inona avy ireo olana tena manan-danja. Miaraka izy ireo dia manampy ny ekipa fiarovana hiasa amim-pahatokiana sy hamaha ny olana mety aloha. Vokatr'izany, ny fitantanana ny fahalemena dia lasa haingana kokoa, mora kokoa ary mahomby kokoa.
