Mahalana vao tsy mahomby ireo ekipa fiarovana satria tsy ampy angon-drakitra izy ireo. Matetika kokoa, tsy mahomby izy ireo satria mamaha ny olana diso aloha izy ireo. Izany indrindra no mahatonga ny Known-Exploit Intelligence, ny fitantanana ny fahalemena mifototra amin'ny risika, ny Cyber Resilience Act, ary ny CISMitambatra ao anatin'ny fomba fiasa maoderina AppSec ankehitriny ny Katalogy momba ny Fahalemena Fantatra fa Nohararaotina.
Isan-kerinandro, mitatitra fahalemena an-jatony ny scanner. Na izany aza, ampahany kely amin'izy ireo ihany no ampiasain'ireo mpanafika. Vokatr'izany, mandany fotoana ireo ekipa izay manome laharam-pahamehana tsy mampiasa ny teny manodidina raha toa ka tsy tafiditra ireo fandrahonana tena izy. Ny Known-Exploit Intelligence dia manakatona izany banga izany amin'ny alàlan'ny fampisehoana ireo fahalemena tena ampiasain'ireo mpanafika, fa tsy ireo izay toa henjana eo amin'ny taratasy fotsiny.
Inona no atao hoe Faharanitan-tsaina Fantatra sy Ampiasaina
Ny faharanitan-tsaina fantatra fa ampiasaina dia mamantatra ireo fahalemena izay ampiasain'ireo mpanafika amin'ny tontolo tena izy. Raha lazaina amin'ny teny hafa, dia manavaka ny mety ho loza ara-teorika amin'ny fihetsika fanafihana voamarina izany.
Raha tokony hanontany raha misy fahalemena afaka hohararaotina, dia afaka manontany ihany ireo ekipa hoe:
Efa misy mampiasa azy ve ity, ary misy fiantraikany amin'ny vokatra vokariko ve izany?
Zava-dehibe io fahasamihafana io eo amin'ny lafiny fiasa ary, miha-ara-dalàna hatrany.
Nahoana no tsy misy intsony ny laharam-pahamehana nentim-paharazana
Mbola miantehitra amin'ny famantarana tsy miovaova ny ankamaroan'ny ekipa mba hanomezana laharam-pahamehana ny risika.
Matetika izy ireo dia manasokajy ny fahalemena araka ny:
- Fahasarotan'ny CVSS
- Fahatokisan-tena amin'ny scanner
- Lazan'ny fonosana
Na dia manampy amin'ny fampihenana ny tabataba aza ireo famantarana ireo, dia misy lafin-javatra iray tena ilaina tsy voamarik'izy ireo: ny fihetsiky ny mpanafika. Vokatr'izany, matetika ny ekipa dia maika manamboatra ireo olana goavana izay tsy voarara mihitsy sady tsy mahita ireo lesoka ambany kokoa izay kendren'ny mpanafika.
Io banga io no manazava ny antony tsy ahafahana mivelatra intsony ny fanomezana laharam-pahamehana tsy miovaova.
Nahoana ny Lalàna momba ny Faharetan'ny Aterineto no Manova ny Fitsipika
teo ambany Cyber Resilience Act, ny fandefasana rindrambaiko misy fahalemena fantatra fa azo hararaotina dia lasa olana ara-dalàna, fa tsy olana ara-piarovana fotsiny.
Takian'ny fitsipika fa:
- Tsy tokony hiditra ao amin'ny tsena EU izay fantatra fa mora hararaotina ireo vokatra misy singa nomerika.
- Mametraka vavahady fitantanana ny fahasimbana sy ny fanadiovana ireo mpanamboatra
- Ny fanararaotana amin'ny tontolo tena izy dia mitondra lanja bebe kokoa noho ny hamafin'ny teorika
Vokatr'izany, miova ny laharam-pahamehana avy amin'ny fomba fanao tsara indrindra ho amin'ny adidy ara-dalàna.
Eto indrindra no tena ilaina ny faharanitan-tsaina momba ny fanararaotana.
Cyber Resilience Act
The Cyber Resilience Act dia fitsipika ao amin'ny Vondrona Eoropeana izay mametraka fepetra takiana tsy maintsy arahina momba ny fiarovana an-tserasera ho an'ny vokatra misy singa nomerika amidy ao amin'ny EU.
Raha lazaina amin'ny teny tsotra, dia mitaky amin'ireo mpanamboatra ny hamolavola, hampivelatra ary hikarakara rindrambaiko izay tsy misy lesoka fantatra fa azo hararaotina amin'ny fotoana famoahana azy. Ankoatra izany, dia manery ireo orinasa hanara-maso ny lesoka aorian'ny famoahana azy ary hitatitra ireo olana voararana mavitrika ao anatin'ny fe-potoana hentitra.
Nanomboka nanan-kery tamin'ny Desambra 2024 ity fitsipika ity. Na izany aza, manomboka amin'ny Desambra 2027 ny fampiharana tanteraka azy. Manomboka amin'ny taona 2026, tsy maintsy mitatitra ireo fahalemena ampiasaina mavitrika amin'ny manampahefana ao amin'ny EU ao anatin'ny 24 ora aorian'ny nahitana azy ireo orinasa.
Raha lazaina amin'ny teny hafa, ny Lalàna momba ny Faharetan'ny Aterineto dia mamadika ny fitantanana ny fahalemena tsy ho fomba fanao tsara indrindra ho fepetra takiana amin'ny fidirana amin'ny tsena.
Nahoana ny KEV no ivon'ny fanarahan-dalàna CRA
The CISKatalogy momba ny fahalemena efa fantatra fa nampiasaina Mitanisa ireo CVE izay efa ampiasain'ireo mpanafika any an'ala. Ity katalaogy ity dia manala ny fisalasalana.
Afaka miantehitra amin'ny angon-drakitra momba ny fanararaotana voamarina ny ekipa fa tsy miady hevitra momba ny risika. Vokatr'izany, ny KEV no lasa antony manosika mafy indrindra amin'ny fanarenana SLA sy ny fanakanana ny famoahana.
Mifanaraka ara-boajanahary amin'ny fitantanana ny fahalemena mifototra amin'ny risika, satria mifantoka amin'ny tena fahasimbana ny ezaka.
Manana tanjona samihafa ny CVSS, EPSS, ary KEV
Ny fanomezana laharam-pahamehana mahomby dia mitaky fahatakarana ny fahasamihafan'ny famantarana.
- CVSS mampiseho fiantraikany mety hitranga
- EPSS manombana ny mety hisian'ny fanararaotana
- The CISManamarina ny fanararaotana mavitrika ny Katalogy momba ny Fahalemena Fantatra
Rehefa ampiasaina irery dia mamitaka ny famantarana tsirairay. Rehefa ampiasaina miaraka kosa dia manome teny manodidina. Izany fitambarana izany no fototry ny fitantanana ny fahalemena mifototra amin'ny risika maoderina.
Ny fomba fiasan'ny faharanitan-tsaina fantatra amin'ny fampiharana
Ny modely azo ampiharina amin'ny fanomezana laharam-pahamehana dia manaraka filaharana mazava:
- Mamantatra ireo fahalemena amin'ny kaody sy ny fiankinan-doha
- Ampifanaraho amin'ny zavatra hita ny zavatra hita CISKatalogy momba ny fahalemena efa fantatra fa nampiasaina
- Tombano ny mety ho fanararaotana amin'ny fampiasana EPSS
- Hamarino ny fahafahana miditra ao amin'ny fampiharana na pipeline
- Ampiharo ny fitsipika momba ny fanarenana mifototra amin'ny fiparitahana sy ny anjara asan'ny vokatra
Vokatr'izany, ny ekipa dia tsy mihevitra intsony ny lisitry ny fahalemena ho toy ny backlogs ary manomboka mihevitra azy ireo ho toy ny decision.
Ahoana no nanamboaranay ny faharanitan-tsaina fantatra sy ampiasaina ao amin'ny Xygeni
Nanamboatra ity endri-javatra ity izahay rehefa avy nahita imbetsaka ireo ekipa nanamboatra ireo olana CVSS avo lenta raha toa ka efa tonga tamin'ny famokarana ireo fahalemena fantatra fa nohararaotina. Izany traikefa izany no namolavola ny fomba namolavolanay ny rafitra.
miaraka v5.36, Mampiditra mivantana ao amin'ny motera laharam-pahamehana ny Xygeni ny faharanitan-tsaina momba ny fanararaotana voamarina.
Inona no mitranga ao ambanin'ny satroka
- Miditra tsy tapaka amin'ny katalaogy azo itokisana toy ny KEV sy loharano hafa azo ampiasaina ho an'ny daholobe ny Xygeni.
- Mahazo metadata momba ny fisian'ny exploit ny fahalemena tsirairay
- Ny funnel prioritization dia mampifangaro:
- Sata fantatra momba ny fanararaotana
- Mety ho EPSS
- Teny manodidina ny fahafaha-manatratra
- Fiparitahan'ny kaody sy ny fiankinan-doha
Mikajy isa mitambatra amin'ny risika tena izy ny sehatra
Tsy manolo ireo famantarana efa misy ity modely ity fa manatsara azy ireo kosa.
Fitihana → Fifanarahana amin'ny fanararaotana → Fahafaha-manatratra → Fanamboarana
Ity dingana ity no mitarika ny dingana rehetracisIon:
Mahita mivantana ny tontolon'ny fanararaotana ireo mpamorona pull requests. PipelineMitambatra ny sakana s rehefa misy lesoka fantatra fa efa nampiasaina ihany ny kaody azo tratrarina. Manolotra fanavaozana azo antoka avy hatrany ny fanarenana mandeha ho azy.
Tsy misy fivoriana. Tsy misy vinavina. Tsy misy tahotra vetivety.
Nahoana no zava-dehibe ity ankoatra ny fanarahan-dalàna
Na dia ny Lalàna momba ny Faharetan'ny Aterineto aza no nahatonga ity fiovana ity, dia miitatra hatrany ny tombontsoa azo.
Ireo ekipa izay manome laharam-pahamehana ny fampiasana ny exploit intelligence:
- Ahena ny havizanana amin'ny fanairana
- Hafohezina ny fotoana fanarenana
- Fadio ny tsingerin'ny patch vonjy taitra
- Alefaso amim-pahatokiana ny rindrambaiko azo antoka kokoa
Ny fanarahana ny lalàna dia lasa voka-dratsin'ny fanaovana ny tsara ho an'ny fiarovana.
Hevitra Farany: Mahatonga ny Fitantanana Mifototra amin'ny Risika ho Tsy Maintsy Atao ny CRA
Ny Lalàna momba ny Faharetan'ny Aterineto dia manome endrika ofisialy izay efa nianaran'ireo ekipa za-draharaha. Tsy mitovy ny lanjan'ny fahalemena rehetra.
The CISNy Katalogy momba ny Fahalemena Fantatra fa Nampiasaina dia mampiseho izay ampiasain'ny mpanafika ankehitriny. Ny toe-javatra misy sy ny fahafaha-manatratra dia mampiseho raha misy fiantraikany aminao izany. Izy ireo miaraka dia mamaritra ny maoderina fitantanana ny fahalemena mifototra amin'ny risika.
Ampiharin'ny Xygeni tsy tapaka, mandeha ho azy, ary amin'ny toerana efa iasan'ny mpamorona rindrambaiko ity maodely ity.
About ny Author
Mpanoratra Fatima Said, Mpitantana ny Varotra amin'ny Votoaty manampahaizana manokana amin'ny Fiarovana ny Fampiharana ao amin'ny Xygeni Security. Mamorona votoaty mifantoka amin'ny mpamorona rindrambaiko sy fikarohana ao amin'ny AppSec izy, ASPM, ary DevSecOps, izay mandika ireo fanamby ara-piarovana eo amin'ny fiainana andavanandro ho torolalana mazava sy azo ampiharina.
