TL; ड
धेरैजसो जोखिम सूचीहरूले तपाईंलाई के गलत हुन सक्छ भनेर बताउँछन्। CISKEV क्याटलगले तपाईंलाई अहिले के गलत भइरहेको छ भनेर बताउँछ। ज्ञात शोषित जोखिमहरू (KEVs) भनेको जंगलमा सक्रिय रूपमा शोषण गरिएको पुष्टि भएका CVE हरू हुन्। CISA ले आधिकारिक क्याटलग कायम राख्छ र बाइन्डिङ अपरेशनल निर्देशिका २२-०१ मार्फत संघीय एजेन्सीहरूको लागि उपचार समयरेखालाई अनिवार्य गर्दछ। धेरैजसो निजी संस्थाहरूले अलर्ट आवाजलाई कम गर्न र वास्तवमा पहिले के समाधान गर्न आवश्यक छ भनेर पहिचान गर्न उही सूची प्रयोग गर्छन्।
CVSS, EPSS, र KEV ले तीन फरक प्रश्नहरूको उत्तर दिन्छन्। CVSS ले सैद्धान्तिक गम्भीरता मापन गर्छ — यो कति खराब हुन सक्छ? EPSS ले ३० दिन भित्र शोषण सम्भावनाको भविष्यवाणी गर्छ — यसलाई लक्षित गर्ने सम्भावना कति छ? KEV ले सक्रिय शोषणको पुष्टि गर्छ — के यो अहिले आक्रमण भइरहेको छ? मध्यम CVSS स्कोर, उच्च EPSS स्कोर, र KEV ट्याग भएको जोखिम कुनै शोषण प्रमाण नभएको महत्वपूर्ण CVSS स्कोर भन्दा बढी जरुरी छ। तीन संकेतहरू एकसाथ काम गर्छन्, एकअर्कासँग मिलेर होइन।
तपाईंको निर्भरतामा KEV सैद्धान्तिक जोखिम होइन - यसको समयसीमा हुन्छ। KEV हरूमा प्रायः तेस्रो-पक्ष कम्पोनेन्टहरू, फ्रेमवर्कहरू, कन्टेनरहरू, र समावेश हुन्छन् CI/CD टोलीहरूले मानेका निर्भरताहरू सुरक्षित छन्। CVE-2023-4966 (CitrixBleed) खुलासा भएको केही दिन भित्रै शोषण गरिएको पुष्टि भयो। CVE-2024-1086 लाई यसको KEV क्याटलग प्रविष्टि पछि ransomware समूहहरूले उठाए। standard इन्टरनेट-फेसिङ KEV हरूको लागि फिक्स-विन्डो १-३ दिनको हुन्छ, सामान्य प्याच चक्र होइन।
यो पोस्टले समेट्छ: KEV हरू के हुन् र तिनीहरू CVE, CVSS, र EPSS भन्दा कसरी फरक छन्; कसरी प्राथमिकीकरण कार्यप्रवाह निर्माण गर्ने CISएउटा क्याटलग; र कसरी जाइगेनी KEV सहसम्बन्ध, रेलिङ प्रवर्तन, र उपचारलाई स्वचालित बनाउँछ CI/CD pipelines — काम गर्ने YAML रेलिङ नीति सहित।
ज्ञात शोषित जोखिमहरू (KEVs) के हुन्?
प्रत्येक जोखिम स्क्यानरले CVSS गम्भीरता अनुसार वर्गीकृत निष्कर्षहरू उत्पादन गर्दछ। समस्या यो हो कि CVSS ले सैद्धान्तिक प्रभाव मापन गर्दछ, सक्रिय शोषण होइन। CISज्ञात शोषित जोखिम (KEV) क्याटलगले एउटा फरक, अझ जरुरी समस्या समाधान गर्छ: यसले आक्रमणकारीहरूले अहिले शोषण गरिरहेका CVE हरूलाई सूचीबद्ध गर्दछ, प्याच समयसीमा संलग्न छ। पहिले के समाधान गर्ने भनेर निर्णय गर्न खोज्ने कुनै पनि टोलीको लागि, यो उपलब्ध सबैभन्दा कार्ययोग्य संकेत हो।
ज्ञात शोषित जोखिमहरू (KEVs) हो CVE-सूचीबद्ध कमजोरीहरू जंगलमा शोषण गरिएको पुष्टि भयो। अमेरिकी साइबर सुरक्षा र पूर्वाधार सुरक्षा एजेन्सी (CISA) आधिकारिक कायम राख्छ KEV क्याटलग र उपचार समयसीमा मार्फत अनिवार्य गर्दछ बाइन्डिङ अपरेशनल निर्देशिका २२-०१. धेरै निजी संस्थाहरूले अब प्याचिङलाई प्राथमिकता दिन यो सूची प्रयोग गर्छन्।
हुनत CVSS अंक मापन सम्भावना प्रभाव, KEV हरूले प्रतिनिधित्व गर्दछ सक्रिय शोषण। अर्को शब्दमा, तिनीहरू "सायद शोषणयोग्य" लाई "शोषण भइरहेको" मा परिणत गर्छन्, जसलाई छिटो SLA र स्वचालित आवश्यकता पर्दछ। guardrails.
KEVs बनाम CVEs बनाम EPSS
सुरक्षा टोलीहरूले प्रायः यी सम्बन्धित शब्दहरूलाई भ्रमित गर्छन्। सही जोखिमको लागि भिन्नता बुझ्नु महत्त्वपूर्ण छ।
| अंग्रेजी | मुहान | उद्देश्य |
|---|---|---|
| CVE | NVD | खुलासा गरिएको जोखिमको लागि अद्वितीय पहिचानकर्ता। |
| CVSS | NVD / पहिलो | सैद्धान्तिक गम्भीरता (प्रभाव + शोषणशीलता) मापन गर्दछ। |
| ईपीएसएस | FIRST.org | ३० दिन भित्र शोषणको सम्भावनाको भविष्यवाणी गर्दछ। |
| KEV | CISA | वास्तविक-विश्व शोषण पुष्टि गर्दछ र प्याच समयसीमा सेट गर्दछ। |
यी प्रणालीहरूले सँगै जोखिमको पदानुक्रम बनाउँछन्: CVSS ले यो कति खराब हुन सक्छ भनेर देखाउँछ, EPSS ले यो कति सम्भावना छ भनेर देखाउँछ, र ज्ञात शोषित जोखिमहरूले वास्तवमा के भइरहेको छ भनेर देखाउँछ।
थप पढाइ: CVSS स्कोर: CVSS स्कोरिङले कसरी काम गर्छ र EPSS बनाम CVSS: के फरक छ?
विकासकर्ताहरूको लागि KEV हरू किन महत्त्वपूर्ण छन् र CISOs
सर्वप्रथम, KEV हरूले हाइलाइट गर्छन् प्रत्यक्ष आक्रमणकारी व्यवहारदोस्रो, तिनीहरू प्रायः समावेश हुन्छन् तेस्रो-पक्ष कम्पोनेन्टहरू, फ्रेमवर्क, कन्टेनर, वा CI/CD निर्भरताहरू, जुन टोलीहरूले सुरक्षित मान्छन्। फलस्वरूप, ढिलो समाधानले तपाईंको निर्माण र डेलिभरी पूर्वाधार भित्र पार्श्व-गति मार्गहरू खोल्न सक्छ।
हालसालैका उदाहरणहरू:
- CVE-2024-1086 (लिनक्स nf_tables): KEV क्याटलगमा थपियो; २०२४ को मध्यमा ransomware समूहहरू द्वारा शोषण गरिएको।
- CVE-२०२३-४९६६ (सिट्रिक्सब्लीड): खुलासा भएको केही दिन भित्रै शोषण पुष्टि भयो; विश्वव्यापी रूपमा बाध्यकारी आपतकालीन प्याच चक्रहरू।
टेकवे: KEV हरू सम्भावित खतराहरू होइनन्, तिनीहरू हुन् सक्रिय त्यसकारण, प्रत्येक ज्ञात शोषित जोखिमहरूलाई "अहिले नै समाधान गर्नुहोस्", जबसम्म पहुँचयोग्यता विश्लेषणले अन्यथा प्रमाणित गर्दैन।
ज्ञात शोषित जोखिमहरूलाई कसरी ट्र्याक गर्ने र प्राथमिकता दिने
सुरु गर्न, आधिकारिक जाँच गर्नुहोस् CISएक ज्ञात शोषित जोखिम सूचीपत्र र तपाईंको सुरक्षा स्क्यानर भित्र कुनै पनि मिल्दो चिन्ह लगाउनुहोस्। त्यसपछि, कुन फिक्सहरू पहिले गर्नुपर्छ भनेर निर्णय गर्न यो जानकारी प्रयोग गर्नुहोस्। थप रूपमा, संयोजन गर्नुहोस् ज्ञात शोषित जोखिमहरू संग EPSS स्कोरहरू आवाज कम गर्न र तपाईंको चलिरहेको कोडलाई साँच्चै असर गर्ने कमजोरीहरूमा ध्यान केन्द्रित गर्न।
चरणबद्ध कार्यप्रणाली:
- डेटा सिङ्क गर्नुहोस्: बाट नवीनतम अपडेटहरू तान्नुहोस् CISहरेक दिन एउटा सूची बनाउनुहोस् र तिनीहरूलाई तपाईंको अन्य जोखिमपूर्ण फिडहरूसँग मिलाउनुहोस्।
- ट्याग परिणामहरू: जब ID सँग मेल खान्छ, प्रत्येक खोजलाई "ज्ञात शोषित" को रूपमा लेबल गर्नुहोस्। CISएउटा सूची।
- पहुँचयोग्यता जाँच गर्नुहोस्: कमजोर कोड वास्तवमा तपाईंको एप वा बिल्ड भित्र चल्छ कि चल्दैन हेर्नुहोस्। pipeline.
- शोषणयोग्यताको मूल्याङ्कन गर्नुहोस्: प्रयोग ईपीएसएस चाँडै नै कुन अन्य मुद्दाहरूलाई लक्षित गर्न सकिन्छ भनेर पत्ता लगाउन।
- समयसीमा लागू गर्नुहोस्:
- इन्टरनेटमा देखिने कमजोरीहरू: १-३ दिन भित्र समाधान गर्नुहोस्।
- आन्तरिक समस्याहरू: एक हप्ता भित्र समाधान गर्नुहोस्।
- प्रयोगमा नभएको कोड: यसमा नजर राख्नुहोस् र बारम्बार प्रमाणित गर्नुहोस्।
- स्वचालित प्रतिक्रियाहरू: प्रणालीले असुरक्षित मर्जहरूलाई रोक्छ, सुरक्षित खोल्छ pull requests, र टोलीहरूले केहि पनि नछुटाउनको लागि अपवादहरू रेकर्ड गर्दछ।
जागरूकतादेखि कार्यसम्म: Xygeni मार्फत स्वचालित समाधानहरू
व्यवहारमा, हातले यो सबै ह्यान्डल गर्दा स्केल हुँदैन। त्यसैले, जाइगेनी ज्ञात शोषित जोखिमहरूलाई सिधै तपाईंकोसँग जोड्दछ CI/CD कार्यप्रवाह, अलर्टहरूलाई वास्तविक, निर्देशित कार्यहरूमा परिणत गर्दै।
- स्मार्ट सहसम्बन्ध: मिल्दोजुल्दो CVE हरू विरुद्ध CISभित्र "अहिले समाधान गर्नुहोस्" समस्याहरूको सूची र हाइलाइटहरू pull requests.
- पहुँचयोग्यता + शोषणयोग्यता: कमजोर कोड पथ चल्छ र लिङ्क हुन्छ कि हुँदैन भनेर पुष्टि गर्छ ईपीएसएस पूर्वको लागि डेटाcisप्राथमिकीकरण।
- Guardrails: जब शोषित त्रुटिले संवेदनशील फाइलहरू वा सेवाहरूलाई असर गर्छ भने जोखिमपूर्ण मर्ज वा तैनाती रोक्छ।
- स्वतः उपचार: सुरक्षित PR हरू खोल्छ, सम्भावित ब्रेकिङ परिवर्तनहरूको लागि जाँच गर्छ, र मर्ज गर्नु अघि परीक्षणहरू चलाउँछ।
- अडिट लगहरू: आन्तरिक सुरक्षा लक्ष्यहरूलाई समर्थन गर्दै, के र कहिले तय गरिएको थियो भन्ने स्पष्ट रेकर्ड राख्छ।
छोटकरीमा भन्नुपर्दा, खतराको सूचनाले के आक्रमण भइरहेको छ भनेर देखाउँछ, Xygeni ले यो छिटो, सुरक्षित र स्वचालित रूपमा समाधान हुने सुनिश्चित गर्दछ।
उदाहरण गार्डेल नीति (YAML)
guardrail:
id: "kev-protection"
description: "Block merges if known exploited vulnerability detected"
conditions:
- match: vulnerability.kev == true
- match: reachability == "reachable"
actions:
- block: merge
- notify: ["slack:#security-alerts", "jira:SEC-OPS"]
- create_pr: true
sla:
critical: 72h
high: 7d
यो नियमले लागू गर्छ मर्ज छैन सक्रिय ज्ञात शोषित जोखिमहरूको लागि, सान्दर्भिक च्यानलहरूलाई सूचित गर्दछ, र एक फिक्स PR स्वतः सिर्जना गर्दछ, सबै तपाईंको भित्र CI/CD guardrails.
मिनी केस: KEV तैनाती रोक्ने
- हप्ता 1: नयाँ खुला स्रोत पुस्तकालय पास भयो SAST तर CVE-2023-4966 समावेश छ।
- हप्ता 2: Xygeni को KEV सहसम्बन्धले यसलाई पछिल्लोमा पत्ता लगाउँछ CISएउटा अपडेट।
- हप्ता 3: Guardrails मर्ज रोक्नुहोस्; अटो-रेमेडिएसनले प्याच गरिएको संस्करण प्रस्ताव गर्दछ।
परिणाम: टोलीले ढुवानी गर्नबाट बचायो ज्ञात शोषित जोखिम उत्पादन र पुनःस्थापना रातोमा pipeline एउटै स्प्रिन्ट भित्र प्रवाह।
जाइगेनी तपाईंको खुला CVE हरूलाई सँग सम्बन्धित गर्दछ CISKEV क्याटलग स्वचालित रूपमा, भित्र ज्ञात शोषित कमजोरीहरूलाई फ्ल्याग गर्दछ। pull requests, लागू गर्दछ guardrails जसले असुरक्षित मर्जहरूलाई रोक्छ, र ब्रेकिङ-चेन्ज वैधता निर्मितसँग उपचार PR खोल्छ।
