Manova ny fomba fiatrehan'ireo ekipa fiarovana maoderina ny fandrahonana ny Exploit Prediction Scoring System (EPSS). Ao anatin'ny fifanakalozan-kevitra mitombo momba ny cvss vs epssMazava ny fiovana. Raha manasongadina ny hamafin'ny olana ny CVSS, ny EPSS kosa dia mitondra ny saina amin'ny fahafahana mampiasa azy amin'ny tena fiainana. Zava-dehibe io fahasamihafana io—satria raha tokony hamaly ny olana rehetra tena mafy ny ekipa dia afaka mifantoka amin'izay tena ampiasain'ny mpanafika. Amin'ny fampiasana ny isa EPSS, ny fikambanana dia manatsara ny fomba fitantanana ny fahalemena ary manamboatra ireo izay tena mampidi-doza.
Isan-taona, mihoatra ny CVE vaovao 20,000 isan-taona. Mazava ho azy fa sarotra ny manaraka azy rehetra. Maro ny ekipa no reraka tanteraka, mandany ora maro handinihana ireo olana izay mety tsy hiteraka fanafihana mihitsy. Izany dia miteraka fandaniam-potoana, fiatoana amin'ny asa, ary fitomboan'ny asa izay toa tsy vita mihitsy.
Izay no izy epss vs cvss misy fiantraikany tena izy. Ny EPSS dia manova ny fifantohana amin'izay mety mety hampidi-doza amin'izay dia azo inoana ho lasibatra tsy ho ela. Vokatr'izany, afaka mihetsika haingana kokoa ny ekipa, mampihena ny asa tsy ilaina, ary mandany fotoana hanamboarana izay tena zava-dehibe.
EPSS vs CVSS: Fahasamihafana lehibe
Rehefa ampitahaina ny cvss sy ny epss, ny fahasamihafana dia eo amin'ny izay lazain'ny isa tsirairay aminao:
CVSS mifantoka amin'ny mety ho hamafin'ny ny fahalemena—ny fahasimbana ateraky ny afaka ho.
EPSS maminavina ny mety hisian'ny fanararaotana eo amin'ny tontolo tena izy—ahoana no mety ho izy dia ho lasibatra.
Na dia mandinika ny fahasarotan'ny fampiasana, ny fifandraisan'ny mpampiasa, ary ny fiantraikany aza ny CVSS, dia tsy miraharaha izany raha toa ka mampiasa mavitrika ny fahalemena ireo mpanafika. Mameno io banga io ny EPSS amin'ny alàlan'ny fiheverana ny telemetria momba ny fandrahonana, ny fisian'ny kaody fampiasana, ary ny lamina fanafihana.
Araka ny Fikarohana EPSS, latsaky ny 2% amin'ireo fahalemena fantatra no manana isa EPSS avo lenta. Mifanohitra amin'izany kosa, maro amin'ireo olana CVSS lehibe no mbola tsy voakasiky ny jiolahy an-tserasera. Izany dia manasongadina ny fomba Fahalemena amin'ny isa EPSS manampy amin'ny fanivanana ny tabataba, ahafahan'ny ekipa mifantoka amin'ireo fandrahonana azo itokisana sy misy ankehitriny.
Afaka miara-miasa ve ny EPSS sy CVSS?
Mazava ho azy—ary tokony ho izany tokoa.
Mifameno ny EPSS sy CVSS amin'ny paikady fitantanana ny fahalemena voalanjalanja:
Use CVSS to evaluate ratsy ahoana mety ho fahalemena izany.
Use EPSS to evaluate ahoana no mety natao hararaotina izany.
Ity fomba fiasa roa sosona ity dia manohana ny triage marani-tsaina kokoa. Ohatra:
Fahalemena miaraka amin'ny CVSS avo + EPSS avo → Amboary avy hatrany izany.
CVSS avo + EPSS ambany → Araho maso akaiky, saingy aza atao laharam-pahamehana.
CVSS ambany + EPSS avo → Manaova fanadihadiana; mety hampifandraisin'ireo mpanafika amin'ny lesoka hafa izany.
Araka izany, ireo ekipa izay mampitaha ny EPSS sy ny CVSS mifanila dia mahazo fomba fijery mazava kokoa momba izay tokony hanitsiana—ary ny fotoana tokony hanitsiana.
Fametrahana laharam-pahamehana amin'ny tena fiainana miaraka amin'ny EPSS
Ohatra, alaivo sary an-tsaina hoe manisy marika CVE roa ny rafitrao:
CVE-2024-99999
CVSS: 9.8 (Tena ilaina)
EPSS: 0.03 (Fahafahana mampiasa ambany)CVE-2024-12345
CVSS: 6.1 (Antony)
EPSS: 0.86 (Mety hisy ny fanararaotana)
Iza no tokony amboarinao voalohany? Maro amin'ireo fomba fiasa nentim-paharazana no manome laharam-pahamehana ny fahalemena CVSS. Na izany aza, mamadika izany script izany ny EPSS—mihetsika amin'izay tena araraotina ianao, tsy izay fotsiny afaka mampidi-doza.
Ity fiovana ity dia ahafahan'ny ekipa mampihena ny fanenjehana diso, mitsitsy fotoana, ary manatsara ny hafainganam-pandehan'ny fanarenana.
Nahoana ny fitantanana ny fahalemen'ny isa EPSS no manova ny lalao
Manolotra mihoatra noho ny patching maranitra kokoa ny EPSS—mahatonga fiarovana amin'ny ambaratonga lehibe kokoa izany:
Fanamarihana Dynamic: Fanavaozana isan'andro ny EPSS, maneho ny vaovao farany momba ny fampiasana zava-mahadomelina.
ScalabilityMiasa amin'ny fahalemena an'arivony maro izy io, manampy ny ekipa hamantatra haingana kokoa ny olana.
mitanilaNaorina tamin'ny angon-drakitra ho an'ny daholobe sy modely misokatra, azo hamarinina sy mangarahara ny EPSS.
Ny fiantraikan'ny politikaAraka ny nomarihin'i FIRST.org, efa misy fiantraikany amin'ny politika fanarenana eo amin'ny sehatra nasionaly ny EPSS (ohatra ny DHS BOD 19-02).
Ankoatra izany, ny fitantanana ny fahalemen'ny isa EPSS dia manampy ireo mpiaro ny fiarovana hifantoka amin'ny ezaka ataony amin'izay tena zava-dehibe indrindra—amin'ireo fandrahonana izay tena mampidi-doza.
Te-hanohy hanamboatra ireo olana mety ve ianao fa tsy ny fanomezana isa fotsiny?
Jereo ny torolàlana feno momba ny fomba fanomezana laharam-pahamehana sy fanarenana ireo fahalemena amin'ny fomba mahomby. Ianaro ny fomba hanovana ny hevi-baovao ho asa haingana kokoa.
Ny EPSS vs CVSS dia tsy hoe Na iza na iza—Tsara kokoa raha miaraka
At Xygeni, mino izahay fa tsy ady ny cvss vs epss—fa fiaraha-miasa. Samy manana andraikitra samihafa nefa mitovy lanja amin'ny fitantanana ny fahalemena ireo rafitra fanomezana isa roa ireo. Izany no mahatonga ny Xygeni hampiasa ny EPSS sy CVSS miaraka mba hananganana modely laharam-pahamehana feno sy mifanaraka amin'ny toe-javatra misy, izay azo ampiharina, haingana ary mahomby.
Ho an'ny fahalemena rehetra, asehon'ny Xygeni:
Fahasarotan'ny CVSS mba hahatakarana ny mety ho fiantraikany.
Isa EPSS mba hanombanana ny mety hisian'ny fanararaotana.
Famakafakana ny fahafaha-manatratra mba hanamafisana raha tena miasa tokoa ilay kaody marefo.
Data contextual toy ny fahatsapana ny fananana sy ny maha-zava-dehibe ny orinasa.
Andao e! CVE-2023-29827 ohatra. Olana amin'ny tsindrona môdely eo amin'ny mpizara ity izay misy fiantraikany amin'ny ejs v3.1.9. Eo amin'ny taratasy, manana CVSS isa 9.8, izay manondro ny hamafin'ny olana. Saingy miaraka amin'ny Isa 62.8% amin'ny EPSS, dia avo ihany koa ny mety hohararaotina tsy ho ela.
Asehon'ny Xygeni ao anaty toerana iray avokoa ireo angon-drakitra rehetra ireo—fahasarotam-piainana, azo trandrahana, fahatratrarana, Ny fahalemen'ny CWE, sy ny satan'ny dikan-teny—mba hahafahan'ny ekipa mahita avy hatrany ny antony maha-zava-dehibe izany sy izay tokony hatao manaraka.
Fa tsy mamaly ny fahalemena rehetra amin'ny CVSS 9.8, ny sehatra Xygeni dia mampiseho raha:
Azo tratrarina ao amin'ny codebase-nao izany
Azo ampiasaina tsara any an'ala izy io
Misy fiantraikany amin'ny fananana manan-danja amin'ny orinasa izany
Ity fahitana mifanandrify ity dia manampy amin'ny fampihenana ny harerahana mailo, fampihenana ny ezaka very maina, ary fanarenana mivantana ireo risika tena manan-danja.
Rehefa ampiarahina amin'ny hamafin'ny CVSS sy ny runtime context ny isa EPSS, lasa mavitrika ny fanaovana laharam-pahamehana—fa tsy mihetsikaMamadika ny tabataba ho fahatakarana lalina ny Xygeni, mitarika ny fiarovanacisIreo ekipa DevSecOps izay manana ny fahazavan-tsaina dia mila mihetsika haingana sy mijanona ho voaro.
