Tena ilaina ny fanomezana isa CVE sy ny fiarovana CVE mba hiarovana ireo rindranasa rindrambaiko maoderina amin'ny fandrahonana an-tserasera mipoitra. Ny famantarana sy ny fanomezana laharam-pahamehana ny fahalemena dia ahafahan'ny fikambanana miatrika ireo risika tena lehibe indrindra aloha. Ny fanomezana isa CVE dia manome standardfomba iray handaminana ireo fahalemena araka ny hamafiny, raha toa kosa ny fomba fiarovana CVE dia miantoka fa tantanina sy ahena araka ny tokony ho izy ireo risika ireo.
Tamin’ny taona 2025 CVE miisa 48,185 no navoaka, fitomboana 20.6% raha oharina amin'ny 39,962 tamin'ny taona 2024, ary 38% no nomena isa Avo na Mafy. Miaraka amin'ny fitomboan'ny isan'ny tranga haingana toy izao, ny fananana isa CVE matanjaka sy paikady fiarovana dia tsy azo atao intsony; ilaina izany.
Tsy ny habetsahana fotsiny no olana lehibe kokoa, fa ny tsy fahafahan'ny fanadihadiana nentim-paharazana mifanaraka amin'izany. Ny NVD an'ny NIST dia nanangona CVE efa ho 42,000 tamin'ny taona 2025, 45% mihoatra noho ny tamin'ny taona teo aloha, saingy mbola tsy ampy izany mba hiatrehana ny fitomboan'ny fangatahana. Vokatr'izany mivantana, 28% monja amin'ireo CVE vao navoaka tamin'ny taona 2025 no nahazo fanatsarana NVD feno (isa CVSS, fanasokajiana CWE, angon-drakitra CPE), nidina be raha oharina amin'ny 46.2% tamin'ny taona 2024. Ireo tarehimarika ireo dia manasongadina ny fitomboan'ny fahamehana ho an'ny fikambanana mba hanana ny fepetra fiarovana CVE manokana, fa tsy hiantehitra fotsiny amin'ny angon-drakitra NVD tonga ara-potoana.
Inona no atao hoe CVE Scoring ary nahoana no zava-dehibe amin'ny fiarovana ny CVE izany?
Ny CVE dia fanafohezana ny Common Vulnerabilities and Exposures, lisitry ny fahalemena sy ny fiparitahan'ny fiarovana amin'ny aterineto ambara ampahibemaso. Ny fidirana tsirairay ao amin'ny lisitry ny CVE dia mahazo famantarana tokana antsoina hoe CVE ID, izay manondro manokana ny fahalemena. Ny MITRE Corporation no mitantana ity rafitra ity, standardmandinika ny fomba hamantarana sy handaminana ireo fahalemena. Izany dia miantoka fa ny rehetra ao amin'ny sehatry ny fiarovana an-tserasera dia mampiasa referansa mitovy rehefa miresaka momba ny fandrahonana manokana.
Ny fanomezana isa ny CVE dia mahakasika ny fanombanana ny fidirana CVE tsirairay ary ny fanomezana isa mifototra amin'ny hamafin'izany. Ity isa ity dia manampy ireo fikambanana hamaritra ny laharam-pahamehana amin'ny famahana ny fahalemena.
Mamela azy ireo hizara loharanon-karena amin'ny fomba mahomby sy hampihena ny mety ho loza mety hitranga izany. Ny rafitra fanomezana isa CVE dia manombana ireo anton-javatra toy ny fahamoran'ny fampiasana azy. Mandinika ihany koa ny fiantraikany amin'ny tsiambaratelo, ny fahamarinan-toetra ary ny fahafahana mampiasa azy (matetika antsoina hoe "CIA triad"). Fanampin'izany, manombana ny mety ho azo atao amin'ny fanarenana izy.
Ny fomba fiaraha-miasan'ny NVD, ny lisitry ny MITRE CVE, ary ny isa CVE
Ny fahatakarana ny fifandraisana misy eo amin'ny Tahiry Nasionaly momba ny Fahalemena (NVD), ny Lisitry ny MITRE, ary tena ilaina ny fiarovana CVE mba hahatakarana ny fomba fitantanana ny fahalemena ao amin'ny tontolo iainana fiarovana an-tserasera.
Ny Lisitry ny MITRE CVE dia manomboka amin'ny famantarana ireo fahalemena ary manome azy ireo ID CVE. Na izany aza, ity lisitra ity dia manome fampahalalana fototra momba ny fahalemena tsirairay ihany. Ny NVD, tantanin'ny National Institute of Standardsy Teknolojia (NIST), manatsara ity angon-drakitra ity amin'ny alàlan'ny fanomezana famaritana amin'ny antsipiriany, referansa, ary ny tena zava-dehibe, ny fanomezana isa CVE amin'ny alàlan'ny Rafitra fanamarihan'ny vulnerability mahazatra (CVSS).
Loharano fototra ny NVD satria miasa ho toy ny tahiry standardAngon-drakitra momba ny fahalemena mifototra amin'ny s, izay manampy ireo fikambanana hahatakatra bebe kokoa ny fiantraikan'ny fahalemena. Ny NVD dia tsy vitan'ny hoe ahitana isa CVSS fa misy fampahalalana lalina toy ny:
- Famaritana amin'ny antsipiriany ny fahalemena tsirairay, anisan'izany ny antsipiriany ara-teknika sy ny toe-javatra mety hanararaotana ny fahalemena.
- Metrika fiantraikany izay mampiseho ny fomba mety hisy fiantraikany amin'ny faritra samihafa amin'ny rafitry ny fikambanana iray ny fahalemena.
- Fampahalalana momba ny fanarenana toy ny rohy mankany amin'ny patch, torohevitra ary fanalefahana.
Noho ny maha-feno azy, ny NVD no loharano voalohany ho an'ny fikambanana rehefa mila manombana ny fiantraikan'ny fahalemena eo amin'ny fiainana andavanandro izy ireo ary mahatakatra ny fomba hiatrehana izany amin'ny fomba mahomby.
CVSS: Ny rafitra fandrefesana isa CVE mahazatra indrindra amin'ny fiarovana an-tserasera
Ny fomba be mpampiasa indrindra amin'ny fanombanana ny CVE dia Rafitra fanamarihan'ny vulnerability mahazatra (CVSS), tazonina sy novolavolain'ny Forum of Incident Response and Security Teams (FIRST). Manome a standardfomba iray handrefesana ny hamafin'ny fahalemena, izay manamora kokoa ho an'ny fikambanana ny mamaritra izay laharam-pahamehana hovahana voalohany.
Indrindra indrindra, ny CVSS dia manome isa ny fahalemena amin'ny ambaratonga 0 ka hatramin'ny 10. Eto, ny 0 dia maneho ny tsy fisian'ny risika ary ny 10 dia maneho ny hamafin'ny olana. Ankoatra izany, ny isa dia mifototra amin'ny vondrona metrika lehibe efatra:
isa fototra:
Maneho ireo toetra mampiavaka ny fahalemena izay tsy miova rehefa mandeha ny fotoana sy manerana ny tontolo iainan'ny mpampiasa izany. Ny isa fototra dia mandinika ireo anton-javatra toy ny fahafahana manararaotra. Izany dia manondro ny fahamoranan'ny fanararaotana ny fahalemena. Manombana ihany koa ny fiantraikany amin'ny tsiambaratelo, ny fahamarinan-toetra ary ny fahafahana miditra.
Score Temporal:
Ity dia manitsy ny isa fototra mifototra amin'ny anton-javatra miova rehefa mandeha ny fotoana, toy ny hoe misy fanamboarana azo atao na misy fampiasana mavitrika ny exploit. Ny metrika ara-potoana dia ahitana ny fahamatoran'ny kaody exploit, ny haavon'ny fanarenana, ary ny fahatokisana ny tatitra.
Isa momba ny tontolo iainana:
Izany dia ahafahan'ny fikambanana manamboatra ny isa CVSS mba hanehoana ny fiantraikan'ny fahalemena ao anatin'ny tontolo iainany manokana. Mandinika ireo anton-javatra toy ny maha-zava-dehibe ny rafitra voakasik'izany sy ny mety ho fahasimbana hafa izy io.
Vondrona Metrika Fanampiny:
Nampidirina tao amin'ny CVSS v4.0 izy io ary manome toe-javatra fanampiny izay mety hisy fiantraikany amin'ny fanombanana ny risika amin'ny ankapobeny. Tafiditra ao anatin'izany ny fiheverana toy ny fepetra takiana amin'ny fiarovana, ny metrika azo ampiasaina ho azy (izay mandrefy ny fiantraikan'ny automation amin'ny fanararaotana), ary ny toetra miavaka izay mety tsy hifanaraka amin'ireo vondrona metrika hafa. Na dia tsy ahitana ireo metrika ireo aza ny isa CVSS amin'ny ankapobeny, dia manolotra hevi-baovao sarobidy izy ireo. Vokatr'izany, manampy ireo fikambanana hanao fanapahan-kevitra tsara kokoa izy ireo.cismomba ny fitantanana ny fahalemena.
Ny dikan-teny farany, CVSS v4.0, mampiditra ireo fanatsarana ireo mba hanatsarana ny fahamarinan'ny fanombanana ny fahalemena sy ny fampiasana azy. Amin'ny alàlan'ny fanatsarana ny metrika, ny CVSS v4.0 dia maka ny fahasarotana sy ny toe-javatra misy ny fahalemena amin'ny fomba mahomby kokoa. Izany dia miantoka fa ny isa dia manome fampahalalana mialoha kokoacistaratry ny tena risika.
Ohatra tena izy: CVE-2021-44228 (Log4Shell)
Mba hanazavana ny fomba fiasan'ny CVE scoring amin'ny fampiharana, andeha hojerentsika ny CVE-2021-44228, izay fantatra amin'ny anarana hoe Log4Shell. Ity Fahalemena ao amin'ny tranomboky Apache Log4j 2 mamela ny fanatanterahana kaody lavitra (RCE). Vokatr'izany, mety hifehy ny rafitra voakasik'izany ny mpanafika.
- ID CVE: CVE-2021-44228
- Isa fototra CVSS: 10.0 (Mitsikera)
- Vector fanafihana: Tambajotra (N) – Azo hararaotina lavitra.
- Fahasarotan'ny fanafihana: Ambany (L) - Mora ampiasaina.
- Tombontsoa takiana: Tsy misy (N) - Tsy mila tombontsoa manokana.
- Fifandraisan'ny mpampiasa: Tsy misy (N) - Tsy ilaina ny fifandraisana amin'ny mpampiasa.
- Sehatra: Niova (C) – Misy fiantraikany amin'ny loharanon-karena mihoatra ny sehatra niaviany.
- Fiantraikany amin'ny tsiambaratelo, fahamarinan-toetra, fahafahana miditra: Avo (H) – Fiantraikan'ny tsiambaratelo, ny fahamarinan-toerana ary ny fahafahana miditra.
Nanome isa 10.0 ny NVD ho an'ny CVSS, izay manondro ny hamafin'ny olana ambony indrindra. Ny fiparitahan'ity fahalemena ity, miaraka amin'ny fahamoran'ny fampiasana azy, dia nahatonga azy ho laharam-pahamehana amin'ny fanarenana manerana izao tontolo izao.
Ireo fanamby amin'ny fanomezana isa CVE sy ny fiantraikany amin'ny fiarovana CVE
raha ny Fahalemena sy Fiparitahana Mahazatra (CVE) rafitra manolotra a standardfomba iray hamantarana sy hanaraha-maso ireo fahalemena, dia misy fetrany maromaro izay misy fiantraikany amin'ny fahombiazany amin'ny fitantanana ny risika.
CVE-2021-44228 (Log4Shell) mampiseho ireo fanamby ireo:
- Antsipiriany voafetra momba ny fanararaotana: CVE-2021-44228 Manome famantarana miavaka saingy tsy ampy antsipiriany feno momba ny fomba mety hanararaotan'ny mpanafika azy. Na dia heverin'ny manam-pahaizana ho zava-dehibe aza izany, ny fidirana CVE dia tsy manazava tanteraka ny fomba marina ampiasain'ny mpanafika na ny fikirakirana manokana izay mampitombo ny fahalemena. Io banga io dia mahatonga ny fikambanana tsy hahazo antoka momba ny risika tena izy.
- Fiovaovan'ny tatitra: CVE Miovaova be ny votoatiny sy ny kalitaony. Ny sasany, toy ny CVE-2021-44228, manolotra famaritana amin'ny antsipiriany sy fampahalalana ara-teknika, raha ny hafa kosa fohy na tsy feno. Io tsy fitoviana io dia miteraka fanamby ho an'ny fikambanana rehefa miezaka manombana ny mety ho fiantraikan'ny fahalemena mifototra amin'ny fidirany CVE fotsiny.
- Tsy fahampian'ny fifandraisana ara-tononkalo: CVE mampiasa ny lahatsoratra standardendrika voafaritra izay mety tsy maneho ny toe-javatra manokan'ny tontolo iainana samihafa. Ohatra, CVE-2021-44228 Miovaova ny fiantraikany amin'ny rafitra arakaraka ny fotodrafitrasan'ny orinasa. Io tsy fitoviana io dia mitarika ho amin'ny fanombanana ny risika tsy marina raha toa ka tsy mifanaraka amin'ny tontolo iainana manokana ny antsipirian'ny CVE.
- Fahatarana amin'ny fanambarana: Matetika misy elanelana eo amin'ny fahitana ny fahalemena sy ny fampidirana azy ao amin'ny tahiry CVE. Mandritra io elanelana io, mety hanararaotra ny fahalemena toy ny CVE-2021-44228 alohan'ny hampahafantarana azy ireo ampahibemaso, izay mampitombo ny risika noho ny fahatarana amin'ny fanentanana sy ny fanarenana.
- Mifantoha amin'ireo fahalemena fantatra: CVE Ny fidirana dia mandrakotra ireo fahalemena ambara ampahibemaso ihany, izay mamela ireo fahalemena ao anatin'ny andro zero sy ireo fandrahonana tsy ambara tsy ho voamarika. Miankina amin'ny CVE mampiharihary ireo fikambanana amin'ireo risika vao misondrotra izay mbola tsy voarakitra ao amin'ny angon-drakitra.
- Kalitao tsy mifanaraka amin'ny fidirana: Ny kalitaon'ny CVE Miovaova arakaraka ny loharano ny fidirana. Ny sasany, toy ny CVE-2021-44228, mahazo fanavaozana tsy tapaka misy antsipiriany vaovao, raha toa kosa ny hafa mijanona tsy mihetsika, ka mitarika ho amin'ny tsy fitoviana sy ny mety hisian'ny banga eo amin'ny angon-drakitra.
- Ny tatitra momba ny fanatsarana ny NVD: Na dia efa navoaka aza ny CVE, dia tsy misy antoka fa ho voaisa haingana izany. Mbola ao anatin'ny filaharana NVD ny CVE miisa 54,914 nanomboka tamin'ny taona 2024–2025 miandry ny famakafakana feno. Tamin'ny Aprily 2026, nanambara ny NIST fa ny fanatsarana eo no ho eo ihany no ho laharam-pahamehana ho an'ny CVE ao amin'ny... CISNy katalaogin'i A momba ny Fahalemena Fantatra (KEV), ny rindrambaiko ampiasaina ao anatin'ny governemanta federaly, ary ny rindrambaiko manan-danja araka ny voafaritry ny Didim-panjakana laharana 14028. Ny zavatra hafa rehetra dia nohatsaraina araka ny ezaka tsara indrindra, midika izany fa ny ankamaroan'ny fikambanana dia tsy afaka mihevitra intsony fa ho azo ampiasaina ny isa CVSS rehefa tena ilainy izany.
EPSS: Fanatsarana ny fiarovana CVE ho an'ny fitantanana feno ny fahalemena
CVE-2021-44228 manasongadina ihany koa ny toerana misy ny Rafitra fanamarihan'ny vulnerability mahazatra (CVSS), na dia matanjaka aza, dia tsy ampy. Io lesoka io dia manamafy ny maha-zava-dehibe ny Rafitra Fandrefesana ny Vinavina (EPSS).
Inona no atao hoe EPSS?
EPSS mampiasa rafitra mifototra amin'ny angon-drakitra mba haminavina ny mety hisian'ny fanararaotana ho an'ny fahalemena toy ny CVE-2021-44228 ao anatin'ny 30 andro manaraka. Tsy toy ny CVSS, izay mandrefy ny fiantraikany mety hitranga, EPSS manombana ny mety hisian'ny fanararaotana mifototra amin'ny angon-drakitra sy fironana ara-tantara.
Nahoana no zava-dehibe ny EPSS?
- Fanamafisana ny laharam-pahamehana: EPSS ahafahan'ny fikambanana manome laharam-pahamehana ny fahalemena tsy mifototra amin'ny hamafin'ny olana fotsiny ihany fa koa amin'ny mety hisian'ny fanararaotana. Ohatra, rehefa fantatry ny ekipa fiarovana fa CVE-2021-44228 satria avo ny mety hisian'ny fanararaotana, dia mifantoka amin'ny ezaka fanarenana izay tena ilainy izany izy ireo.
- Fiarovana mavitrika: EPSS mamela ireo ekipa fiarovana handray fepetra fisorohana manoloana ireo fahalemena mety hohararaotina, ka mampihena ny mety hisian'ny fanafihana mahomby.
- De araka ny toe-javatra misy azycisFamoronana iôna: EPSS manome teny manodidina fanampiny izay CVSS mety tsy ho hita irery, toy ny famantarana ireo fahalemena kendren'ireo mpanafika. Izany dia mitarika ho amin'ny famolavolana paikady sy fahalalana bebe kokoacisfamokarana iôna.
- Fanatsarana ny loharanon-karena: Ho an'ireo fikambanana manana loharanon-karena voafetra, EPSS manampy amin'ny fandaminana amim-pahombiazana ny ezaka amin'ireo fahalemena izay mampidi-doza indrindra, ka miantoka ny paikady fiarovana mahomby kokoa.
Famerana ny EPSS
Na dia eo aza ny tombony azony, EPSS manana fetrany. Miantehitra amin'ny angon-drakitra ara-tantara izy io, izay mety tsy haneho foana ny tontolon'ny fandrahonana ankehitriny. Ny fifantohany fohy ezaka amin'ny faminaniana ny fanararaotana ao anatin'ny 30 andro dia mety tsy hijery ny fandrahonana maharitra.
EPSS manome topimaso ankapobeny tsy misy fiheverana ny toe-javatra manokan'ny tontolo iainana tsirairay. Farany, miankina amin'ny lamina fanararaotana taloha izany, izay mety tsy maneho ny fiovana haingana amin'ny teknika fanafihana na ny fahalemena vao hita.
Fandanjalanjana ny CVE sy EPSS ho an'ny fitantanana ny fahalemena tsara indrindra
Mba hitantanana tsara ireo fahalemena, dia tsy maintsy mahatakatra sy mamaha ny fetran'ny roa tonta ny fikambanana CVSS sy EPSSNy fampidirana ireo fitaovana ireo dia manome fomba fijery feno kokoa momba ny tontolon'ny fahalemena. Ity fomba fiasa ity dia mandanjalanja ny hamafin'ny olana amin'ny mety hisian'ny fanararaotana, izay mitarika ho amin'ny fametrahana laharam-pahamehana tsara kokoa, ny famolavolana am-pahalalanacisny famoronana ion, ary ny vokatra tsara kokoa amin'ny fiarovana an-tserasera.
Miatrika ny fanamby amin'ny fanomezana laharam-pahamehana ireo fahalemena lehibe
Nandritra ity bilaogy ity dia nojerentsika ny fahasarotan'ny fanomezana isa CVE, ny anjara toerana lehibe ananan'ny National Vulnerability Database (NVD), ary ny fomba ahafahan'ny fitaovana toy ny Exploit Prediction Scoring System (EPSS) manampy amin'ny fitantanana ny fahalemena amin'ny alàlan'ny faminaniana ny mety hisian'ny fanararaotana. Na izany aza, ny fitantanana mahomby ny fahalemena dia mitaky mihoatra noho ny fahatakarana ireo hevitra ireo fotsiny—mitaky fomba fiasa feno izay mifanaraka amin'ny filàn'ny fiarovana manokan'ny fikambanananao izany.
Manodidina ny Fahalemena fantatra miisa 176,000, maherin'ny 19,000 no manana isa CVSS 9.0–10.0, izay midika fa misy risika lehibe. Na izany aza, ny ankamaroany—eo amin'ny 77.5% eo ho eo—dia ao anatin'ny isa antonony 4.0 ka hatramin'ny 8.0. Ity fizarana mivelatra ity dia manasongadina ny fanamby: ny fanomezana laharam-pahamehana hoe iza amin'ireo fahalemena no hovahana voalohany sy ny fomba hanaovana izany amin'ny loharanon-karena voafetra sady mitazona fiarovana matanjaka.
Famakafakana ny firafitry ny rindrambaiko Xygeni (SCA) Mamaha ity olana ity ny vahaolana amin'ny alàlan'ny fampidirana ny isa CVE amin'ny EPSS sy fitaovana hafa mifandraika amin'ny toe-javatra, manome anao sary feno momba ny tontolon'ny fahalemena misy anao. Mijery tsara ny fototry ny kaody anao amin'ny loharano maro ny vahaolanay, anisan'izany ny NPM, GitHub, ary OWD, mba hahazoana antoka fa tsy ho diso fanantenana amin'ny fandrahonana fiarovana mety hitranga ianao.
Ahoana ny fomba fiasan'i Xygeni SCA Mamadika ny isa CVE ho asa ny vahaolana
Amin'ireo CVE 48,185 navoaka tamin'ny taona 2025, 38% no nomena isa Avo na Mafy, ary ny salan'isa CVSS ho an'ny taona dia 6.60. Izany dia marika "mafy" sy "avo" maro mifaninana amin'ireo loharanon-karena fanarenana voafetra mitovy, ary izany dia mbola tsy tafiditra ao anatin'izany ny zava-misy fa 28% amin'ny CVE 2025 ihany no nahazo fanatsarana NVD feno tany am-boalohany.
Famakafakana ny firafitry ny rindrambaiko Xygeni (SCA) Mamaha ity olana ity ny vahaolana amin'ny alàlan'ny fampidirana ny isa CVE amin'ny EPSS sy ireo famantarana fanampiny mifandraika amin'ny toe-javatra, manome anao sary feno momba ny tontolon'ny fahalemena misy anao, na efa nahavita nanatsara ny CVE nomena aza ny NVD. Mijery ny fototry ny kaody anao amin'ny alàlan'ny npm, GitHub, ary ireo rejisitra open-source hafa izy io, mba tsy hisy zavatra tsy ho voamarika.
Toy izao ny fomba hanampiany ny paikadinao fitantanana ny fahalemena:
- Fanomezana isa CVE + Fampidirana EPSS. Ny fampiarahana ny hamafin'ny olana (CVSS) sy ny mety hisian'ny fanararaotana (EPSS) dia midika fa ny ekipanao no mamaha voalohany izay tena misy fanararaotana any anaty ala, fa tsy izay nahazo isa ambony indrindra an-taratasy fotsiny.
- Famakafakana ny fahafaha-manatratra. Tsy mijanona amin'ny hoe "misy ao amin'ny hazo fiankinan-doha anao ity CVE ity" ny Xygeni. Mamaritra izany raha azo tratrarina ao amin'ny fampiharanao ny lalan'ny kaody marefo, mampihena be ny tabataba ary mifantoka amin'ny fanarenana amin'ny risika azo hararaotina.
- Fahatsiarovan-tena ara-tontolo iainana. Amin'ny alàlan'ny fakana torohevitra avy amin'ny loharano maro sy rafitra fanomezana isa indray mandeha, ny Xygeni dia mifanaraka amin'ny tontolo iainan'ny fikambanananao fa tsy mampihatra isa tokana ho an'ny rehetra momba ny hamafin'ny olana.
- Fanaraha-maso mitohy & Fampandrenesana mivantana. Avoaka tsy tapaka ny CVE vaovao sy ny isa EPSS vaovao. Manara-maso tsy tapaka ny Xygeni, ka tsy ho voamarika ny fahalemena izay tsy dia laharam-pahamehana omaly, ary ampiasaina mavitrika ankehitriny.
Ny vokany: satria efa mihoatra ny ampahatelon'ny CVE vaovao no voamarika ho Avo na Manahirana, ary miha-tara ny fanatsarana ny NVD isan-taona, ka tsy azo tanterahina ny fandrefesana amin'ny tanana ny zavatra hita rehetra. Manampy ny ekipanao hifantoka amin'ny ampahany kely izay sady ratsy no tena azo hararaotina ao amin'ny tontolo iainanao ny Xygeni.
Mangataha Demo or manomboka maimaim-poana mba hahitana ny fomba famadihan'ny Xygeni ny fanomezana isa CVE ho paikady fitantanana ny fahalemena misy laharam-pahamehana sy azo ampiharina.
FAQs
Inona no mahasamihafa ny CVE, CVSS, ary NVD?
Ny CVE dia famantarana tokana ho an'ny fahalemena manokana. Ny CVSS (Common Vulnerability Scoring System) no rafitra fanombanana ampiasaina hanombanana ny hamafin'io fahalemena io manomboka amin'ny 0 ka hatramin'ny 10. Ny NVD (National Vulnerability Database) no tahiry, izay tantanin'ny NIST, izay manatsara ny CVE tsirairay amin'ny isa CVSS, famaritana ary referansa fanarenana.
Inona ny EPSS, ary inona no mahasamihafa azy amin'ny CVSS?
Tombanan'ny EPSS (Exploit Prediction Scoring System) ny mety hisian'ny fanararaotana ny fahalemena iray ao anatin'ny 30 andro manaraka, mifototra amin'ny angon-drakitra momba ny fanararaotana tena izy. Mandrefy ny mety ho... fahasaro-po raha ampiasaina; mandrefy ny Azo inoana ny fanararaotana. Ny fampiasana azy roa miaraka dia manome famantarana marina kokoa momba ny laharam-pahamehana noho ny iray irery.
Nahoana no tsy avo ny tahan'ny fo Ampy ve ny isa CVSS mba hanomezana laharam-pahamehana ny fahalemena iray?
Ny isa CVSS dia maneho ny hamafin'ny risika ara-teoria, fa tsy ny risika tena izy. Ny fahalemena "manahiran-tsaina" 9.8 izay tsy tratrarina ao amin'ny codebase manokana anao, na tsy misy fanararaotana mavitrika fantatra, dia mety ho laharam-pahamehana ambany kokoa noho ny iray "medium" izay ampiasain'ny mpanafika amin'izao fotoana izao. Izany no mahatonga ny fampiarahana ny CVSS amin'ny EPSS sy ny famakafakana ny fahafaha-manatratra dia zava-dehibe.
Firy ny CVE avoaka isan-taona?
Nitombo tsy tapaka isan-taona ny habetsahan'ny CVE, ary an'aliny maro ireo lesoka vaovao avoaka isan-taona. Noho io ambaratonga io, dia tsy azo tanterahina ho an'ny ankamaroan'ny fikambanana ny fanaovana triage tànana, ka izany no mahatonga ny fametrahana laharam-pahamehana mandeha ho azy sy mifanaraka amin'ny toe-javatra misy (CVSS + EPSS + reachability) ho tena ilaina.
Inona ny CVE-2021-44228 (Log4Shell), ary nahoana no ampiasaina ho ohatra izy io?
Ny Log4Shell dia fahalemena manan-danja amin'ny fanatanterahana kaody lavitra ao amin'ny Apache Log4j 2, nahazo isa 10.0 (ny ambony indrindra) tamin'ny CVSS. Ampiasaina betsaka ho ohatra fampianarana izy io satria mampifangaro ny fahafahana mampiasa tambajotra, tsy mila tombontsoa manokana, ary tsy misy fifandraisana amin'ny mpampiasa, izay mampiseho tsara ny endriky ny "manan-danja" ao anatin'ny rafitra CVSS.
