Timu za usalama mara chache hushindwa kwa sababu hazina data. Mara nyingi, hushindwa kwa sababu hurekebisha masuala yasiyofaa kwanza. Hiyo ndiyo sababu hasa Akili Inayojulikana-Kutumia, usimamizi wa udhaifu unaotegemea hatari, Sheria ya Ustahimilivu wa Mtandao, na CISKatalogi Inayojulikana ya Udhaifu Uliotumiwa Sasa inaungana katika mifumo ya kazi ya kisasa ya AppSec.
Kila wiki, skana huripoti mamia ya udhaifu. Hata hivyo, washambuliaji hutumia kundi dogo tu la udhaifu. Kwa hivyo, timu zinazoweka kipaumbele bila kutumia muktadha hupoteza muda huku vitisho halisi vikiingia. Akili Inayojulikana-Kutumia hufunga pengo hilo kwa kufichua udhaifu ambao washambuliaji hutumia, si tu ule unaoonekana kuwa mkali kwenye karatasi.
Akili Inayojulikana ni Nini?
Akili inayojulikana hutambua udhaifu ambao washambuliaji hutumia kikamilifu katika mazingira halisi. Kwa maneno mengine, hutenganisha hatari ya kinadharia na tabia ya shambulio iliyothibitishwa.
Badala ya kuuliza kama udhaifu inaweza kunyonywa, timu zinaweza hatimaye kuuliza:
Je, hii tayari inatumika vibaya, na je, inaathiri bidhaa yangu?
Tofauti hiyo ni muhimu kiutendaji na, zaidi na zaidi, kisheria.
Kwa Nini Uainishaji wa Vipaumbele vya Jadi Huvunjika
Timu nyingi bado hutegemea ishara tuli ili kuweka kipaumbele hatari.
Kwa kawaida, hupanga udhaifu kwa:
- Ukali wa CVSS
- Kujiamini kwa kichanganuzi
- Umaarufu wa kifurushi
Ingawa ishara hizi husaidia kupunguza kelele, hukosa jambo moja muhimu: tabia ya mshambuliaji. Kwa hivyo, timu mara nyingi hukimbilia kurekebisha masuala ya ukali wa juu ambayo hayatumiwi vibaya huku zikikosa dosari za ukali wa chini ambazo washambuliaji hulenga kikamilifu.
Pengo hili linaelezea kwa nini kipaumbele tuli hakijaongezeka tena.
Kwa Nini Sheria ya Ustahimilivu wa Mtandaoni Inabadilisha Sheria
Chini ya Sheria ya Ustahimilivu wa Mtandao, programu ya usafirishaji yenye udhaifu unaojulikana kuwa unaoweza kutumiwa inakuwa suala la kufuata sheria, si suala la usalama tu.
Kanuni hiyo inahitaji kwamba:
- Bidhaa zenye vipengele vya kidijitali hazipaswi kuingia katika soko la EU zikiwa na udhaifu unaojulikana kuwa wa kunyonywa
- Watengenezaji hutekeleza malango ya utunzaji wa udhaifu na uwazi
- Unyonyaji katika mazingira halisi una uzito zaidi kuliko ukali wa kinadharia
Kwa hivyo, kipaumbele hubadilika kutoka kwa utendaji bora hadi wajibu wa kisheria.
Hapa ndipo akili ya unyonyaji inakuwa muhimu.
Sheria ya Ustahimilivu wa Mtandao
The Sheria ya Ustahimilivu wa Mtandao ni kanuni ya Umoja wa Ulaya inayoweka mahitaji ya lazima ya usalama wa mtandao kwa bidhaa zenye vipengele vya kidijitali vinavyouzwa katika EU.
Kwa maneno rahisi, inahitaji watengenezaji kubuni, kutengeneza, na kudumisha programu ambayo haina udhaifu unaojulikana unaoweza kutumiwa wakati wa kutolewa. Zaidi ya hayo, inawalazimisha makampuni kufuatilia udhaifu baada ya kutolewa na kuripoti masuala yanayotumiwa kikamilifu ndani ya muda uliowekwa.
Kanuni hiyo ilianza kutumika Desemba 2024. Hata hivyo, utekelezaji kamili unaanza Desemba 2027. Kuanzia 2026, makampuni lazima yaripoti udhaifu unaotumiwa vibaya kwa mamlaka za EU ndani ya saa 24 baada ya ugunduzi.
Kwa maneno mengine, Sheria ya Ustahimilivu wa Mtandaoni hubadilisha usimamizi wa udhaifu kutoka kwa mbinu bora hadi hitaji la ufikiaji wa soko.
Kwa Nini KEV Ziko Katikati ya Uzingatiaji wa Sheria za CRA
The CISKatalogi Inayojulikana ya Unyonyaji wa Udhaifu Orodha ya CVE ambazo washambuliaji tayari hutumia porini. Katalogi hii inaondoa utata.
Badala ya kujadili hatari, timu zinaweza kutegemea data iliyothibitishwa ya unyonyaji. Kwa hivyo, KEVs huwa kichocheo kikubwa zaidi cha SLA za kurekebisha na kuzuia kutolewa.
Mbinu hii inaendana kiasili na usimamizi wa udhaifu unaotegemea hatari, kwa sababu inalenga juhudi pale uharibifu halisi unapotokea.
CVSS, EPSS, na KEV Hutimiza Madhumuni Tofauti
Uwekaji kipaumbele unaofaa unahitaji kuelewa jinsi ishara zinavyotofautiana.
- CVSS inaonyesha athari inayowezekana
- EPSS inakadiria uwezekano wa unyonyaji
- The CISKatalogi Inayojulikana ya Unyonyaji wa Unyonyaji Inathibitisha Unyonyaji Uliokithiri
Ikitumiwa peke yake, kila ishara hupotosha. Ikitumiwa pamoja, hutoa muktadha. Mchanganyiko huo ndio msingi wa usimamizi wa udhaifu wa kisasa unaotegemea hatari.
Jinsi Akili Inayojulikana Inavyofanya Kazi Katika Vitendo
Mfano wa vipaumbele vya vitendo hufuata mlolongo ulio wazi:
- Gundua udhaifu katika msimbo na utegemezi
- Matokeo ya mechi dhidi ya CISKatalogi Inayojulikana ya Unyonyaji wa Udhaifu
- Tathmini uwezekano wa matumizi kwa kutumia EPSS
- Thibitisha ufikiaji katika programu au pipeline
- Tumia sheria za urekebishaji kulingana na mfiduo na jukumu la bidhaa
Matokeo yake, timu huacha kuchukulia orodha za udhaifu kama mirundiko ya nyuma na kuanza kuzichukulia kamacisioni.
Jinsi Tulivyojenga Akili Inayojulikana na Inayotumiwa Katika Xygeni
Tuliunda kipengele hiki baada ya kuona mara kwa mara timu zikirekebisha masuala ya CVSS yenye kiwango cha juu huku udhaifu unaojulikana kuwa umetumika ukifikia uzalishaji. Uzoefu huo uliunda jinsi tulivyobuni mfumo.
pamoja v5.36, Xygeni huunganisha akili iliyothibitishwa ya unyonyaji moja kwa moja kwenye injini ya uwekaji kipaumbele.
Kinachotokea chini ya kofia
- Xygeni huendelea kuingiza katalogi za unyonyaji zinazoaminika kama vile KEV na vyanzo vingine vya unyonyaji wa umma
- Kila udhaifu hupokea metadata ya uwepo wa matumizi mabaya
- Funeli ya kipaumbele inachanganya:
- Hali inayojulikana ya unyonyaji
- Uwezekano wa EPSS
- Muktadha wa ufikiaji
- Mfiduo wa kanuni na utegemezi
Jukwaa huhesabu alama ya hatari ya ulimwengu halisi iliyojumuishwa
Badala ya kubadilisha ishara zilizopo, mfumo huu unaziboresha.
Ugunduzi → Ulinganisho wa Kutumia → Uwezo wa Kufikiwa → Kurekebisha
Mtiririko huu unaendesha kilacisioni:
Watengenezaji wanaona muktadha wa matumizi moja kwa moja katika pull requests. PipelineKizuizi cha s huunganishwa tu wakati msimbo unaoweza kufikiwa unajumuisha udhaifu unaojulikana unaotumiwa vibaya. Urekebishaji otomatiki unapendekeza uboreshaji salama mara moja.
Hakuna mikutano. Hakuna kubahatisha. Hakuna vizuizi vya hofu.
Kwa Nini Hili Lina umuhimu Zaidi ya Utii
Ingawa Sheria ya Ustahimilivu wa Mtandaoni ilisababisha mabadiliko haya, faida zake zinaongezeka zaidi.
Timu zinazoweka kipaumbele katika kutumia akili ya kutumia:
- Punguza uchovu wa tahadhari
- Punguza muda wa ukarabati
- Epuka mizunguko ya dharura ya kiraka
- Tuma programu salama zaidi kwa ujasiri
Utiifu unakuwa athari ya kufanya usalama vizuri.
Mawazo ya Mwisho: CRA Inafanya Usimamizi Unaotegemea Hatari Kuwa Lazima
Sheria ya Ustahimilivu wa Mtandaoni hurasimisha kile ambacho timu zenye uzoefu tayari zimejifunza. Sio udhaifu wote unaojali sawa.
The CISKatalogi Inayojulikana ya Udhaifu Uliotumiwa inaonyesha kile ambacho washambuliaji hutumia leo. Muktadha na uwezo wa kufikia vinaonyesha kama inakuathiri. Kwa pamoja, vinafafanua kisasa usimamizi wa udhaifu unaotegemea hatari.
Xygeni hutumia mfumo huu kila mara, kiotomatiki, na pale ambapo watengenezaji tayari wanafanya kazi.
Kuhusu Mwandishi
Imeandikwa na Fatima Said, Meneja Masoko ya Maudhui aliyebobea katika Usalama wa Programu katika Xygeni Security. Anaunda maudhui yanayolenga wasanidi programu na yanayoendeshwa na utafiti kwenye AppSec, ASPM, na DevSecOps, ikitafsiri changamoto za usalama wa ulimwengu halisi kuwa mwongozo ulio wazi na unaoweza kutekelezwa.
