Безбедносните тимови ретко не успеваат затоа што им недостасуваат податоци. Почесто, тие не успеваат затоа што прво ги решаваат погрешните проблеми. Токму затоа, интелигенцијата со познато искористување, управувањето со ранливости базирано на ризик, Законот за кибер отпорност и CISКаталогот на познати експлоатирани ранливости сега се спојува во современите работни процеси на AppSec.
Секоја недела, скенерите пријавуваат стотици ранливости. Сепак, напаѓачите експлоатираат само мал дел од нив. Следствено, тимовите што даваат приоритет без контекст на експлоатација губат време додека вистинските закани се провлекуваат. Интелигенцијата за познати експлоатации го затвора тој јаз со тоа што ги открива ранливостите што напаѓачите всушност ги користат, а не само оние што изгледаат сериозно на хартија.
Што е познато - експлоатација на разузнавањето
Интелигенцијата за познати експлоатации идентификува ранливости што напаѓачите активно ги експлоатираат во реални средини. Со други зборови, таа го одделува теоретскиот ризик од потврденото однесување на нападот.
Наместо да се праша дали ранливоста може бидат експлоатирани, тимовите конечно можат да прашаат:
Дали ова веќе се експлоатира и дали влијае на мојот производ?
Таа разлика е важна оперативно, а сè повеќе и правно.
Зошто традиционалното приоритизирање се распаѓа
Повеќето тимови сè уште се потпираат на статички сигнали за да го приоритизираат ризикот.
Типично, тие ги сортираат ранливостите според:
- Тежина на CVSS
- Доверба на скенерот
- Популарност на пакетот
Иако овие сигнали помагаат во намалувањето на шумот, тие пропуштаат еден клучен фактор: однесувањето на напаѓачот. Како резултат на тоа, тимовите често брзаат да ги поправат проблемите со голема сериозност кои никогаш не се експлоатираат, додека пропуштаат недостатоци со помала сериозност кои напаѓачите активно ги таргетираат.
Овој јаз објаснува зошто статичкото приоритизирање повеќе не се скалира.
Зошто Законот за кибер отпорност ги менува правилата
Под Закон за сајбер отпорност, испораката на софтвер со познати експлоатирачки ранливости станува проблем со усогласеноста, а не само безбедносен проблем.
Регулативата бара:
- Производите со дигитални елементи не смеат да влезат на пазарот на ЕУ со познати експлоатирачки ранливости.
- Производителите имплементираат ракување со ранливости и порти за чистење
- Експлоатацијата во реални средини носи поголема тежина од теоретската сериозност
Како резултат на тоа, приоритизацијата се префрла од најдобра практика кон законска обврска.
Токму тука експлоататорската интелигенција станува неопходна.
Закон за сајбер отпорност
на Закон за сајбер отпорност е регулатива на Европската Унија што поставува задолжителни барања за сајбер безбедност за производи со дигитални елементи што се продаваат во ЕУ.
Едноставно кажано, тоа бара од производителите да дизајнираат, развиваат и одржуваат софтвер кој не содржи познати експлоатирачки ранливости во моментот на објавување. Покрај тоа, ги обврзува компаниите да ги следат ранливостите по објавувањето и да ги пријавуваат активно експлоатираните проблеми во строги временски рокови.
Регулативата стапи на сила во декември 2024 година. Сепак, целосното спроведување започнува во декември 2027 година. Почнувајќи од 2026 година, компаниите мора да ги пријават активно искористените ранливости до властите на ЕУ во рок од 24 часа од откривањето.
Со други зборови, Законот за сајбер отпорност го претвора управувањето со ранливости од најдобра практика во услов за пристап до пазарот.
Зошто KEV возилата се во центарот на усогласеноста со CRA
на CISКаталог на познати експлоатирани ранливости ги наведува CVE-ата што напаѓачите веќе ги експлоатираат. Овој каталог ја отстранува двосмисленоста.
Наместо да дебатираат за ризикот, тимовите можат да се потпрат на потврдени податоци за експлоатација. Следствено, KEV стануваат најсилниот предизвикувач за SLA за санација и блокирање на објавувањето.
Овој пристап природно се совпаѓа со управување со ранливости врз основа на ризик, бидејќи ги фокусира напорите таму каде што се случува вистинската штета.
CVSS, EPSS и KEV служат за различни намени
Ефективното приоритизирање бара разбирање како се разликуваат сигналите.
- CVSS покажува потенцијално влијание
- EPSS ја проценува веројатноста за експлоатација
- на CISКаталогот на познати експлоатирани ранливости потврдува активна експлоатација
Кога се користи самостојно, секој сигнал доведува во заблуда. Кога се користат заедно, тие даваат контекст. Таа комбинација ја формира основата на модерното управување со ранливости базирано на ризик.
Како функционира во пракса интелигенцијата со познато искористување
Практичниот модел на приоритизација следи јасна низа:
- Откривање на ранливости низ кодот и зависностите
- Наоди од натпреварот против CISКаталог на познати експлоатирани ранливости
- Проценете ја веројатноста за експлоатација користејќи EPSS
- Потврдете ја достапноста во апликацијата или pipeline
- Применувајте правила за санација врз основа на изложеноста и улогата на производот
Како резултат на тоа, тимовите престануваат да ги третираат листите на ранливости како заостанати задачи и почнуваат да ги третираат како де.cisјони.
Како изградивме интелигенција со познато искористување во Xygeni
Ја изградивме оваа функција откако постојано гледавме како тимовите поправаат проблеми со висок CVSS додека познатите експлоатирани ранливости стигнаа до производство. Тоа искуство го обликуваше начинот на кој го дизајниравме системот.
со v5.36, Xygeni интегрира потврдена интелигенција за експлоатација директно во моторот за приоритизација.
Што се случува под хаубата
- Xygeni континуирано внесува доверливи каталози за експлоатација како што се KEV и други извори на јавни експлоатации.
- Секоја ранливост добива метаподатоци за експлоатација на присуство
- Инката за приоритизација комбинира:
- Познат статус на експлоатација
- EPSS веројатност
- Контекст на достапност
- Изложеност на код и зависност
Платформата пресметува композитен реален ризик
Наместо да ги заменува постојните сигнали, овој модел ги усовршува.
Детекција → Совпаѓање на експлоатација → Достапност → Поправка
Овој тек го движи секој деcision:
Програмерите го гледаат контекстот на експлоатација директно во pull requests. PipelineБлокот s се спојува само кога достапниот код вклучува познати експлоатирани ранливости. Автоматизираната санација веднаш предлага безбедни надградби.
Без состаноци. Без нагаѓања. Без паника.
Зошто ова е важно надвор од усогласеноста
Иако Законот за сајбер отпорност го предизвика овој пресврт, придобивките се протегаат и подалеку.
Тимови кои даваат приоритет на користењето на интелигенција за експлоатација:
- Намалете го заморот од будност
- Скратете го времето за санација
- Избегнувајте циклуси на итни закрпи
- Испраќајте побезбеден софтвер со доверба
Усогласеноста станува несакан ефект од правилното работење на безбедноста.
Заклучок: CRA го прави управувањето базирано на ризик задолжително
Законот за кибер отпорност го формализира она што искусните тимови веќе го научиле. Не сите ранливости се подеднакво важни.
на CISКаталогот на познати експлоатирани ранливости покажува што напаѓачите користат денес. Контекстот и достапноста покажуваат дали тоа влијае на вас. Заедно, тие го дефинираат модерното управување со ранливости врз основа на ризик.
Xygeni го применува овој модел континуирано, автоматски и таму каде што програмерите веќе работат.
За авторот
Напишано од Fatima Said, Менаџер за маркетинг на содржини специјализиран за безбедност на апликации во Xygeni Security. Таа создава содржина фокусирана на програмери и водена од истражување на AppSec, ASPMи DevSecOps, преведувајќи ги безбедносните предизвици од реалниот свет во јасни, практични упатства.
