TL, DR
Ny ankamaroan'ny lisitry ny fahalemena dia milaza aminao izay mety ho olana. CISNy Katalogy KEV dia milaza aminao izay tsy mety amin'izao fotoana izao. Ny Fahalemena Fantatra fa Tratra (KEV) dia CVE voamarina fa tratra am-pilaminana any an'ala. CISMitazona ny katalaogy ofisialy ny A ary mandidy ny fe-potoana fanarenana ho an'ny masoivoho federaly amin'ny alàlan'ny Binding Operational Directive 22-01. Ny ankamaroan'ny fikambanana tsy miankina dia mampiasa io lisitra io ihany mba hampihenana ny tabataba fanairana ary hamantarana izay tena mila amboarina aloha.
Mamaly fanontaniana telo samihafa ny CVSS, EPSS, ary KEV. Mandrefy ny hamafin'ny olana ara-teoria ny CVSS — mety ho ratsy toy inona izany? Maminavina ny mety hisian'ny fanararaotana ao anatin'ny 30 andro ny EPSS — mety ho hatraiza ny mety ho lasibatra amin'izany? Manamarina ny fanararaotana mavitrika ny KEV — misy manafika ve izany amin'izao fotoana izao? Ny fahalemena misy isa CVSS antonony, isa EPSS avo, ary marika KEV dia maika kokoa noho ny isa CVSS manan-danja tsy misy porofo momba ny fanararaotana. Miara-miasa ireo famantarana telo ireo, fa tsy mifamadika.
Tsy risika ara-teoria ny KEV amin'ny fiankinan-doha aminao — misy fe-potoana voafetra izany. Matetika ny KEV dia misy singa, rafitra, fitoeran-javatra, ary avy amin'ny antoko fahatelo CI/CD fiankinan-doha izay heverin'ny ekipa fa azo antoka. Voamarina fa nampiasaina tao anatin'ny andro vitsivitsy taorian'ny nanambarana azy ny CVE-2023-4966 (CitrixBleed). Tratran'ny vondrona ransomware ny CVE-2024-1086 fotoana fohy taorian'ny nidirany tao amin'ny Kataloga KEV. Ny standard 1–3 andro ny fe-potoana fanamboarana ho an'ny KEV mifandray amin'ny aterineto, fa tsy toy ny tsingerin'ny fanamboarana mahazatra.
Ity lahatsoratra ity dia mirakitra: Inona avy ireo KEV sy ny maha-samihafa azy ireo amin'ny CVE, CVSS, ary EPSS; ny fomba hananganana fomba fiasa laharam-pahamehana manodidina ny CISKataloga; ary ny fomba Xygeni mandeha ho azy ny fifandraisan'ny KEV, ny fampiharana ny arofanina, ary ny fanarenana manerana CI/CD pipelines — anisan'izany ny politika fiarovana YAML miasa.
Inona avy ireo fahalemena fantatra fa araraotina (KEV)?
Ny fitaovana fitiliana ny fahalemena rehetra dia mamoaka valiny voasokajy araka ny hamafin'ny CVSS. Ny olana dia ny CVSS dia mandrefy ny fiantraikany ara-teorika, fa tsy ny fanararaotana mavitrika. CISMamaha olana hafa sy maika kokoa ny Katalogy KEV (Known Exploited Vulnerabilities): mitanisa ireo CVE izay ampiasain'ireo mpanafika amin'izao fotoana izao izy io, miaraka amin'ny fe-potoana fametrahana patch. Ho an'ny ekipa rehetra izay miezaka manapa-kevitra hoe inona no amboarina voalohany, dia io no famantarana azo ampiharina indrindra azo ampiasaina.
Fahalemena Fantatra Noho ny Fanararaotana (KEV) dia Voamarina fa nohararaotina tany an'ala ireo fahalemena voatanisa ao amin'ny CVENy Masoivoho Amerikana momba ny Fiarovana amin'ny Aterineto sy ny Fotodrafitrasa (CISA) mitazona ny ofisialy KEV Catalog ary manome fe-potoana fanarenana amin'ny alàlan'ny Torolàlana momba ny asa mifehy 22-01. Maro ireo fikambanana tsy miankina no mampiasa ity lisitra ity ankehitriny mba hanomezana laharam-pahamehana ny fanamboarana.
Na dia latsaky ny XNUMX taona aza ny CVSS isa azo refesina mety fiantraikany, maneho ny KEV active fanararaotana. Raha lazaina amin'ny teny hafa, dia mamadika ny "mety ho azo ampiasaina" ho "azo ampiasaina" izy ireo, izay mitaky SLA haingana kokoa sy mandeha ho azy guardrails.
KEV vs CVE vs EPSS
Matetika ny ekipa fiarovana no mampifangaro ireo teny mifandraika ireo. Ny fahatakarana ny fahasamihafana dia tena ilaina mba hahazoana antoka ny loza mety hitranga.
| fanafohezan-teny | Source | Zava-kendreny |
|---|---|---|
| CVE | NDV | Famantarana tokana ho an'ny fahalemena naharihary. |
| CVSS | NVD / VOALOHANY | Mandrefy ny hamafin'ny fiantraikany ara-teorika (fiantraikany + fahafahana manararaotra). |
| EPSS | FIRST.org | Maminavina ny mety hisian'ny fanararaotana ao anatin'ny 30 andro. |
| KEV | CISA | Manamarina ny fitrandrahana tena izy ary mametraka fe-potoana farany amin'ny fanamboarana. |
Ireo rafitra ireo miaraka dia mamorona ambaratongan'ny risika: ny CVSS dia mampiseho ny mety ho faharatsian'izany, ny EPSS dia mampiseho ny mety ho fisiany, ary ny Known Exploited Vulnerabilities dia mampiseho izay tena mitranga.
Famakiana fanampiny: Isa CVSS: Ahoana ny fiasan'ny isa CVSS sy EPSS sy CVSS: Inona no mahasamihafa azy?
Nahoana no zava-dehibe ho an'ny mpamorona rindrambaiko sy ny CISOs
Voalohany indrindra, ny KEV dia manasongadina fitondran-tenan'ny mpanafika mivantanaFaharoa, matetika izy ireo dia mahakasika singa avy amin'ny antoko fahatelo, rafitra, fitoeran-javatra, na CI/CD fiankinan-doha, izay heverin'ny ekipa fa azo antoka. Vokatr'izany dia, Ny fanamboarana tara dia mety hanokatra lalan'ny fihetsehana mivelatra ao anatin'ny fotodrafitrasa fananganana sy fanaterana anao.
Ohatra vao haingana:
- CVE-2024-1086 (Linux nf_tables): nampiana tao amin'ny Katalogin'ny KEV; nohararaotin'ireo vondrona mpijirika ransomware tamin'ny tapaky ny taona 2024.
- CVE-2023-4966 (CitrixBleed): fanararaotana voamarina tao anatin'ny andro vitsivitsy taorian'ny namoahana azy; tsingerin'ny fanamboarana vonjy taitra an-tery manerantany.
Entina: Tsy fandrahonana mety hitranga ny KEV, fa active ireo. Noho izany, hevero ho toy ny hoe ny fahalemena rehetra fantatra fa nohararaotina "amboary izao", raha tsy hoe manaporofo ny mifanohitra amin'izany ny fanadihadiana momba ny fahafaha-manatratra.
Ahoana ny fanaraha-maso sy ny fanomezana laharam-pahamehana ireo fahalemena fantatra fa efa nohararaotina
Hanombohana, jereo ny ofisialy CISKatalogy momba ny fahalemena efa fantatra fa nampiasaina ary asio marika izay mifanaraka ao anatin'ny scanner fiarovana anao. Avy eo, ampiasao ity fampahalalana ity mba hanapahana hoe iza amin'ireo fanamboarana no tokony hatao voalohany. Ho fanampin'izany, ampiarahy Fantatra ny vulnerabilities trandrahana amin'ny Isa EPSS mba hampihenana ny tabataba sy hifantohana amin'ireo fahalemena izay tena misy fiantraikany amin'ny kaody ampiasainao.
Dingana-by-dingana asa:
- Ampifanaraho ny angona: Alaivo ny vaovao farany avy amin'ny CISManaova lisitra isan'andro ary ampifandraiso amin'ny famahanana fahalemena hafa anananao izany.
- Valin'ny tenifototra: Asio marika hoe "Fantatra fa Nohararaotina" ny zavatra hita tsirairay rehefa mifanaraka amin'ny ID ny CISLisitra iray.
- Hamarino ny fahafahana mahatratra: Jereo raha tena miasa ao anatin'ny fampiharanao na ny fanangananao ilay kaody marefo pipeline.
- Tombano ny fahafahana mampiasa azy: Use EPSS mba hahitana ireo olana hafa mety ho kendrena tsy ho ela.
- Fe-potoana fampiharana:
- Ireo fahalemena atrehin'ny Aterineto: amboary ao anatin'ny 1–3 andro.
- Ireo anatiny: amboary ao anatin'ny herinandro.
- Tsy ampiasaina ny kaody: araho maso izany ary hamarino matetika.
- Mandeha ho azy ny valiny: Manakana ireo fampiraisana tsy azo antoka ny rafitra, manokatra ireo fampiraisana azo antoka pull requests, ary mirakitra ireo tranga maningana mba hahazoana antoka fa tsy misy zavatra tsy ho azon'ny ekipa.
Avy amin'ny fahatsiarovan-tena mankany amin'ny hetsika: Fanamboarana mandeha ho azy miaraka amin'ny Xygeni
Amin'ny fampiharana, ny fikirakirana izany rehetra izany amin'ny tanana dia tsy mivelatra. Noho izany, Xygeni mampifandray mivantana amin'ny anao ireo fahalemena efa fantatra fa efa nohararaotina CI/CD fomba fiasa, mamadika ireo fanairana ho hetsika tena misy sy tarihina.
- Fifandraisana marani-tsaina: Fifanintsanana hita tamin'ny CVEs CISLisitra iray ary manasongadina ireo olana "vahaolana izao" ao anatiny pull requests.
- Fahafaha-miditra + Fahafaha-manararaotra: Manamarina raha miasa sy mifandray ny lalan'ny kaody marefo EPSS angon-drakitra ho an'ny mialohacisfanomezana laharam-pahamehana.
- Guardrails: Manakana ny fampivondronana na ny fametrahana mampidi-doza rehefa misy lesoka ampiasaina izay misy fiantraikany amin'ny rakitra na serivisy saro-pady.
- Fanamboarana mandeha ho azy: Manokatra PR azo antoka, manamarina raha misy fanovana tsy mety, ary manao fitsapana alohan'ny hampiarahana.
- Diarin'ny fanamarinana: Mitazona firaketana mazava momba izay namboarina sy ny fotoana nandaminana izany, manohana ny tanjon'ny fiarovana anatiny.
Raha fintinina, ny fampahalalana momba ny fandrahonana dia mampiseho izay iharan'ny fanafihana, ny Xygeni dia miantoka fa ho voavaha haingana, azo antoka ary mandeha ho azy izany.
Ohatra amin'ny Politika momba ny arofanina (YAML)
guardrail:
id: "kev-protection"
description: "Block merges if known exploited vulnerability detected"
conditions:
- match: vulnerability.kev == true
- match: reachability == "reachable"
actions:
- block: merge
- notify: ["slack:#security-alerts", "jira:SEC-OPS"]
- create_pr: true
sla:
critical: 72h
high: 7d
Ity fitsipika ity dia mampihatra tsy mitambatra ho an'ireo fahalemena fantatra fa efa nampiasaina, mampahafantatra ireo fantsona mifandraika amin'izany, ary mamorona fanamboarana PR ho azy, ao anatin'ny anao izany rehetra izany CI/CD guardrails.
Tranga kely: Fisorohana ny fametrahana KEV
- Week 1: Nandalo ny tranomboky open source vaovao SAST fa misy ny CVE-2023-4966.
- Week 2: Ny fifandraisan'i Xygeni KEV dia mahita izany amin'ny farany CISFanavaozana.
- Week 3: Guardrails ajanony ny fampiraisana; Manolotra dikan-teny nohavaozina ny Auto-Remediation.
vokatra: Nisoroka ny fandefasana entana ny ekipa fahalemena fantatra fa nohararaotina ho an'ny famokarana sy famerenana amin'ny laoniny pipeline mikoriana ao anatin'ny sprint iray ihany.
Xygeni mampifandray ny CVE misokatra amin'ny CISKatalaogy KEV mandeha ho azy, manamarika ireo fahalemena fantatra fa misy fanararaotana ao anatiny pull requests, mampihatra guardrails izay manakana ny fampiraisana tsy azo antoka, ary manokatra ny PR fanarenana miaraka amin'ny fanamarinana fanovana tsy azo antoka tafiditra ao anatiny.
