ආරක්ෂක කණ්ඩායම් අසමත් වන්නේ දත්ත නොමැතිකම නිසා කලාතුරකිනි. බොහෝ විට, ඔවුන් අසාර්ථක වන්නේ ඔවුන් වැරදි ගැටළු පළමුව නිවැරදි කරන බැවිනි. දන්නා-සූරාකෑමේ බුද්ධිය, අවදානම් මත පදනම් වූ අවදානම් කළමනාකරණය, සයිබර් ඔරොත්තු දීමේ පනත සහ CISදන්නා සූරාකෑමට ලක් වූ අවදානම් නාමාවලියක් දැන් නවීන AppSec වැඩ ප්රවාහයන් තුළ අභිසාරී වේ.
සෑම සතියකම, ස්කෑනර් යන්ත්ර සිය ගණනක් අවදානම් වාර්තා කරයි. කෙසේ වෙතත්, ප්රහාරකයින් ඒවායින් කුඩා කොටසක් පමණක් සූරාකයි. එහි ප්රතිඵලයක් වශයෙන්, සන්දර්භය සූරාකෑමකින් තොරව ප්රමුඛත්වය දෙන කණ්ඩායම් කාලය නාස්ති කරන අතර සැබෑ තර්ජන මඟ හැරේ. දන්නා සූරාකෑමේ බුද්ධිය එම පරතරය වසා දමන්නේ ප්රහාරකයින් සැබවින්ම භාවිතා කරන අවදානම් මතු කිරීමෙනි, කඩදාසි මත දරුණු ලෙස පෙනෙන ඒවා පමණක් නොවේ.
දන්නා දේ - බුද්ධිය සූරාකෑම
දන්නා-සූරාකෑමේ බුද්ධිය මගින් ප්රහාරකයින් සැබෑ පරිසරයන් තුළ සක්රියව ගසාකන අවදානම් හඳුනා ගනී. වෙනත් වචන වලින් කිවහොත්, එය න්යායාත්මක අවදානම තහවුරු කරන ලද ප්රහාරක හැසිරීම් වලින් වෙන් කරයි.
අවදානමක් දැයි විමසීම වෙනුවට හැකි සූරාකෑමට ලක් වූ විට, කණ්ඩායම්වලට අවසානයේ මෙසේ අසන්නට පුළුවන:
මෙය දැනටමත් සූරාකෑමට ලක්ව තිබේද, එය මගේ නිෂ්පාදනයට බලපාන්නේද?
එම වෙනස මෙහෙයුම්මය වශයෙන් සහ වැඩි වැඩියෙන් නීතිමය වශයෙන් වැදගත් වේ.
සාම්ප්රදායික ප්රමුඛතාකරණය බිඳ වැටෙන්නේ ඇයි?
බොහෝ කණ්ඩායම් තවමත් අවදානමට ප්රමුඛත්වය දීම සඳහා ස්ථිතික සංඥා මත විශ්වාසය තබති.
සාමාන්යයෙන්, ඔවුන් අවදානම් වර්ග කරන්නේ:
- CVSS බරපතලකම
- ස්කෑනර් විශ්වාසය
- පැකේජ ජනප්රියතාවය
මෙම සංඥා ශබ්දය අඩු කිරීමට උපකාරී වුවද, ඒවාට එක් තීරණාත්මක සාධකයක් මග හැරේ: ප්රහාරක හැසිරීම. එහි ප්රතිඵලයක් වශයෙන්, කණ්ඩායම් බොහෝ විට කිසිදා සූරාකෑමට ලක් නොවන ඉහළ-තීව්රතා ගැටළු විසඳීමට ඉක්මන් වන අතර ප්රහාරකයින් ක්රියාකාරීව ඉලක්ක කරන අඩු-තීව්රතා දෝෂ මඟ හැරේ.
මෙම පරතරය ස්ථිතික ප්රමුඛතාකරණය තවදුරටත් පරිමාණය නොවන්නේ මන්දැයි පැහැදිලි කරයි.
සයිබර් ඔරොත්තු දීමේ පනත නීති වෙනස් කරන්නේ ඇයි?
යටතේ සයිබර් ඔරොත්තු දීමේ පනත, දන්නා සූරාකෑමට ලක්විය හැකි අවදානම් සහිත මෘදුකාංග නැව්ගත කිරීම ආරක්ෂක ගැටළුවක් පමණක් නොව අනුකූලතා ගැටළුවක් බවට පත්වේ.
නියාමනයට අවශ්ය වන්නේ:
- ඩිජිටල් අංග සහිත නිෂ්පාදන දන්නා සූරාකෑමට ලක්විය හැකි අවදානම් සහිතව EU වෙළඳපොළට ඇතුළු නොවිය යුතුය.
- නිෂ්පාදකයින් අවදානම් හැසිරවීමේ සහ නිෂ්කාශන ගේට්ටු ක්රියාත්මක කරයි
- සැබෑ පරිසරයන්හි සූරාකෑම න්යායික බරපතලකමට වඩා වැඩි බරක් දරයි.
එහි ප්රතිඵලයක් වශයෙන්, ප්රමුඛතාවය හොඳම භාවිතයේ සිට නීතිමය බැඳීම දක්වා මාරු වේ.
බුද්ධිය සූරාකෑම අත්යවශ්ය වන්නේ මෙතැනදීය.
සයිබර් ඔරොත්තු දීමේ පනත
එම සයිබර් ඔරොත්තු දීමේ පනත යනු EU තුළ අලෙවි කරන ඩිජිටල් මූලද්රව්ය සහිත නිෂ්පාදන සඳහා අනිවාර්ය සයිබර් ආරක්ෂණ අවශ්යතා නියම කරන යුරෝපීය සංගමයේ නියාමනයකි.
සරලව කිවහොත්, නිකුත් කරන අවස්ථාවේ දී දන්නා සූරාකෑමට ලක්විය හැකි අවදානම් අඩංගු නොවන මෘදුකාංග නිර්මාණය කිරීම, සංවර්ධනය කිරීම සහ නඩත්තු කිරීම නිෂ්පාදකයින්ට අවශ්ය වේ. එපමණක් නොව, නිකුත් කිරීමෙන් පසු අවදානම් නිරීක්ෂණය කිරීමට සහ දැඩි කාලරාමු තුළ ක්රියාකාරීව සූරාකෑමට ලක් වූ ගැටළු වාර්තා කිරීමට සමාගම්වලට එය බැඳී සිටී.
නියාමනය 2024 දෙසැම්බර් මාසයේදී බලාත්මක විය. කෙසේ වෙතත්, සම්පූර්ණ බලාත්මක කිරීම 2027 දෙසැම්බර් මාසයේදී ආරම්භ වේ. 2026 සිට, සමාගම් සක්රියව සූරාකෑමට ලක් වූ අවදානම් සොයා ගැනීමෙන් පැය 24ක් ඇතුළත EU බලධාරීන්ට වාර්තා කළ යුතුය.
වෙනත් වචන වලින් කිවහොත්, සයිබර් ඔරොත්තු දීමේ පනත අවදානම් කළමනාකරණය හොඳම භාවිතයක සිට වෙළඳපොළ ප්රවේශ අවශ්යතාවයක් බවට පත් කරයි.
KEVs CRA අනුකූලතා මධ්යස්ථානයේ සිටින්නේ ඇයි?
එම CISදන්නා සූරාකෑමට ලක් වූ අවදානම් නාමාවලියක් ප්රහාරකයින් දැනටමත් වනයේ ගසාකන CVE ලැයිස්තුගත කරයි. මෙම නාමාවලිය අපැහැදිලි බව ඉවත් කරයි.
අවදානම පිළිබඳ විවාද කිරීම වෙනුවට, කණ්ඩායම්වලට සත්යාපිත සූරාකෑමේ දත්ත මත විශ්වාසය තැබිය හැකිය. එහි ප්රතිඵලයක් ලෙස, KEVs ප්රතිකර්ම SLAs සහ මුදා හැරීමේ අවහිර කිරීම් සඳහා ශක්තිමත්ම ප්රේරකය බවට පත්වේ.
මෙම ප්රවේශය ස්වභාවිකවම සමපාත වන්නේ අවදානම් මත පදනම් වූ අවදානම් කළමනාකරණය, මන්ද එය සැබෑ හානියක් සිදුවන තැන උත්සාහය අවධානය යොමු කරයි.
CVSS, EPSS, සහ KEV විවිධ අරමුණු සඳහා සේවය කරයි.
ඵලදායී ප්රමුඛතාකරණය සඳහා සංඥා වෙනස් වන ආකාරය තේරුම් ගැනීම අවශ්ය වේ.
- CVSS විභව බලපෑම පෙන්වයි
- ඊපීඑස්එස් සූරාකෑමේ සම්භාවිතාව ඇස්තමේන්තු කරයි
- එම CISදන්නා සූරාකෑමට ලක් වූ අවදානම් නාමාවලියක් ක්රියාකාරී සූරාකෑම තහවුරු කරයි.
තනිවම භාවිතා කරන විට, සෑම සංඥාවක්ම නොමඟ යවයි. එකට භාවිතා කරන විට, ඒවා සන්දර්භය සපයයි. එම සංයෝජනය නවීන අවදානම් පාදක අවදානම් කළමනාකරණයේ පදනම සාදයි.
දන්නා-සූරාකෑමේ බුද්ධිය ප්රායෝගිකව ක්රියා කරන ආකාරය
ප්රායෝගික ප්රමුඛතා ආකෘතියක් පැහැදිලි අනුපිළිවෙලක් අනුගමනය කරයි:
- කේත සහ පරායත්තතා හරහා අවදානම් හඳුනා ගන්න
- සොයාගැනීම් සමඟ ගැළපෙන්න CISදන්නා සූරාකෑමට ලක් වූ අවදානම් නාමාවලියක්
- EPSS භාවිතයෙන් සූරාකෑමේ සම්භාවිතාව තක්සේරු කරන්න
- යෙදුමේ ළඟා විය හැකි බව සත්යාපනය කරන්න හෝ pipeline
- නිරාවරණය සහ නිෂ්පාදන භූමිකාව මත පදනම්ව ප්රතිකර්ම නීති යොදන්න.
එහි ප්රතිඵලයක් වශයෙන්, කණ්ඩායම් අවදානම් ලැයිස්තු පසුබෑම් ලෙස සැලකීම නවතා ඒවා de ලෙස සැලකීමට පටන් ගනී.cisඅයන.
අපි සයිජෙනි හි ප්රසිද්ධ-සූරාකෑමේ බුද්ධිය ගොඩනඟා ගත් ආකාරය
දන්නා සූරාකෑමට ලක් වූ අවදානම් නිෂ්පාදනයට ළඟා වන අතරතුර, කණ්ඩායම් විසින් ඉහළ-CVSS ගැටළු නිරාකරණය කරන ආකාරය නැවත නැවතත් දැකීමෙන් පසුව අපි මෙම විශේෂාංගය ගොඩනඟා ගත්තෙමු. එම අත්දැකීම අපි පද්ධතිය නිර්මාණය කළ ආකාරය හැඩගස්වා ඇත.
සමඟ v5.36, Xygeni විසින් සත්යාපිත සූරාකෑමේ බුද්ධිය ප්රමුඛතා එන්ජිමට සෘජුවම ඒකාබද්ධ කරයි.
කබාය යට සිදුවන දේ
- KEV සහ අනෙකුත් පොදු සූරාකෑම් මූලාශ්ර වැනි විශ්වාසදායක සූරාකෑම් නාමාවලි Xygeni අඛණ්ඩව අවශෝෂණය කරයි.
- සෑම අවදානමකටම සූරාකෑමේ-පැවැත්මේ පාර-දත්ත ලැබේ.
- ප්රමුඛතාකරණ පුනීලය ඒකාබද්ධ කරන්නේ:
- දන්නා සූරාකෑමේ තත්ත්වය
- EPSS සම්භාවිතාව
- ළඟා විය හැකි සන්දර්භය
- කේතය සහ යැපුම් නිරාවරණය
වේදිකාව සංයුක්ත සැබෑ ලෝක අවදානම් ලකුණු ගණනය කරයි.
පවතින සංඥා ප්රතිස්ථාපනය කිරීම වෙනුවට, මෙම ආකෘතිය ඒවා පිරිපහදු කරයි.
හඳුනාගැනීම → සූරාකෑමේ ගැළපීම → ළඟා විය හැකි බව → නිවැරදි කිරීම
මෙම ප්රවාහය සෑම දෙයක්ම ධාවනය කරයිcisඅයන:
සංවර්ධකයින් සූරාකෑමේ සන්දර්භය කෙලින්ම දකින්නේ pull requests. Pipelines බ්ලොක් එක ඒකාබද්ධ වන්නේ ළඟා විය හැකි කේතයේ දන්නා සූරාකෑමට ලක් වූ අවදානම් ඇතුළත් වූ විට පමණි. ස්වයංක්රීය ප්රතිකර්මය වහාම ආරක්ෂිත උත්ශ්රේණි කිරීම් යෝජනා කරයි.
හමුවීම් නැත. අනුමාන කිරීම් නැත. භීතිකා පැච් නැත.
අනුකූලතාවයට වඩා මෙය වැදගත් වන්නේ ඇයි?
සයිබර් ඔරොත්තු දීමේ පනත මෙම මාරුවට හේතු වුවද, ප්රතිලාභ තවදුරටත් පුළුල් වේ.
සූරාකෑමේ බුද්ධිය භාවිතා කිරීමට ප්රමුඛත්වය දෙන කණ්ඩායම්:
- අනතුරු ඇඟවීමේ තෙහෙට්ටුව අඩු කරන්න
- ප්රතිසංස්කරණ කාලය කෙටි කරන්න
- හදිසි පැච් චක්ර වළක්වා ගන්න
- විශ්වාසයෙන් යුතුව ආරක්ෂිත මෘදුකාංග නැව්ගත කරන්න
ආරක්ෂක කටයුතු නිවැරදිව කිරීමේ අතුරු ප්රතිඵලයක් ලෙස අනුකූලතාව ඇති වේ.
අවසාන අදහස්: CRA අවදානම් පාදක කළමනාකරණය අනිවාර්ය කරයි
සයිබර් ඔරොත්තු දීමේ පනත මඟින් පළපුරුදු කණ්ඩායම් දැනටමත් ඉගෙන ගෙන ඇති දේ විධිමත් කරයි. සියලුම අවදානම් සමානව වැදගත් නොවේ.
එම CISදන්නා සූරාකෑමට ලක් වූ අවදානම් නාමාවලියක් අද ප්රහාරකයින් භාවිතා කරන දේ පෙන්වයි. සන්දර්භය සහ ළඟා විය හැකි බව එය ඔබට බලපාන්නේද යන්න පෙන්වයි. එක්ව, ඔවුන් නවීන අවදානම් මත පදනම් වූ අවදානම් කළමනාකරණය.
Xygeni මෙම ආකෘතිය අඛණ්ඩව, ස්වයංක්රීයව සහ සංවර්ධකයින් දැනටමත් වැඩ කරන ස්ථානවලට යොදයි.
කර්තෘ ගැන
ලියන ලද්දේ ෆාතිමා Said, Xygeni Security හි යෙදුම් ආරක්ෂාව පිළිබඳ විශේෂඥ අන්තර්ගත අලෙවිකරණ කළමනාකරු. ඇය AppSec හි සංවර්ධක කේන්ද්ර කරගත්, පර්යේෂණ මත පදනම් වූ අන්තර්ගතයන් නිර්මාණය කරයි, ASPM, සහ DevSecOps, සැබෑ ලෝක ආරක්ෂක අභියෝග පැහැදිලි, ක්රියාකාරී මග පෙන්වීමක් බවට පරිවර්තනය කරයි.
