பாதுகாப்புக் குழுக்கள் தரவுகள் இல்லாததால் அரிதாகவே தோல்வியடைகின்றன. மாறாக, அவை முதலில் தவறான சிக்கல்களைச் சரிசெய்வதாலேயே பெரும்பாலும் தோல்வியடைகின்றன. இதனால்தான் அறியப்பட்ட சுரண்டல் நுண்ணறிவு (Known-Exploit Intelligence), இடர் அடிப்படையிலான பாதிப்பு மேலாண்மை (risk based vulnerability management), இணைய மீள்திறன் சட்டம் (Cyber Resilience Act) போன்றவை முக்கியத்துவம் பெறுகின்றன. CISஅறியப்பட்ட சுரண்டல் பாதிப்புகளின் பட்டியல் இப்போது நவீன செயலிப் பாதுகாப்புப் பணிப்பாய்வுகளில் ஒருங்கிணைக்கப்பட்டுள்ளது.
ஒவ்வொரு வாரமும், ஸ்கேனர்கள் நூற்றுக்கணக்கான பாதுகாப்பு குறைபாடுகளைப் பதிவு செய்கின்றன. இருப்பினும், தாக்குபவர்கள் அவற்றில் ஒரு சிறிய பகுதியை மட்டுமே பயன்படுத்திக் கொள்கிறார்கள். இதன் விளைவாக, பயன்படுத்தப்படும் பாதிப்புகளின் சூழலைக் கருத்தில் கொள்ளாமல் முன்னுரிமை அளிக்கும் குழுக்கள் நேரத்தை வீணடிக்கின்றன, அதே நேரத்தில் உண்மையான அச்சுறுத்தல்கள் தப்பிவிடுகின்றன. அறியப்பட்ட-பயன்பாட்டு நுண்ணறிவு (Known-Exploit Intelligence), வெறும் காகிதத்தில் கடுமையாகத் தோன்றும் பாதிப்புகளை மட்டுமல்லாமல், தாக்குபவர்கள் உண்மையில் பயன்படுத்தும் பாதிப்புகளையும் வெளிக்கொணர்வதன் மூலம் அந்த இடைவெளியை நிரப்புகிறது.
அறியப்பட்டவை - உளவுத்துறையைப் பயன்படுத்துதல்
அறியப்பட்ட சுரண்டல் நுண்ணறிவு என்பது, தாக்குதல் நடத்துபவர்கள் உண்மையான சூழல்களில் தீவிரமாகப் பயன்படுத்திக்கொள்ளும் பாதுகாப்பு குறைபாடுகளை அடையாளம் காண்கிறது. வேறுவிதமாகக் கூறினால், அது கோட்பாட்டு ரீதியான அபாயத்தை உறுதிசெய்யப்பட்ட தாக்குதல் நடத்தையிலிருந்து பிரித்துக் காட்டுகிறது.
ஒரு பாதிப்பு உள்ளதா என்று கேட்பதற்குப் பதிலாக முடிந்த சுரண்டப்படும்போது, அணிகள் இறுதியாகக் கேட்கலாம்:
இது ஏற்கனவே தவறாகப் பயன்படுத்தப்படுகிறதா, மேலும் இது எனது தயாரிப்பைப் பாதிக்கிறதா?
அந்த வேறுபாடு செயல்பாட்டு ரீதியாகவும், மேலும் சட்ட ரீதியாகவும் முக்கியத்துவம் பெறுகிறது.
பாரம்பரிய முன்னுரிமை முறை ஏன் தோல்வியடைகிறது
பெரும்பாலான அணிகள் இடர் முன்னுரிமைப்படுத்த இன்னமும் நிலையான சமிக்ஞைகளையே சார்ந்துள்ளன.
வழக்கமாக, அவர்கள் பாதிப்புகளை இதன் அடிப்படையில் வகைப்படுத்துகிறார்கள்:
- சிவிஎஸ்எஸ் தீவிரம்
- ஸ்கேனர் நம்பிக்கை
- தொகுப்பு பிரபலம்
இந்த சமிக்ஞைகள் தேவையற்ற சத்தத்தைக் குறைக்க உதவினாலும், அவை ஒரு முக்கியமான காரணியைக் கவனிக்கத் தவறுகின்றன: தாக்குபவரின் நடத்தை. இதன் விளைவாக, குழுக்கள் பெரும்பாலும் அதிகத் தீவிரத்தன்மை கொண்ட சிக்கல்களைச் சரிசெய்ய அவசரப்படுகின்றன, அவை ஒருபோதும் சுரண்டப்படுவதில்லை; அதே சமயம், தாக்குபவர்கள் தீவிரமாகக் குறிவைக்கும் குறைந்த தீவிரத்தன்மை கொண்ட குறைபாடுகளை அவை கவனிக்கத் தவறுகின்றன.
இந்த இடைவெளிதான், நிலையான முன்னுரிமைப்படுத்தல் ஏன் இனி விரிவடையாது என்பதை விளக்குகிறது.
சைபர் மீள்திறன் சட்டம் ஏன் விதிகளை மாற்றுகிறது
கீழ் சைபர் பின்னடைவு சட்டம்அறியப்பட்ட சுரண்டக்கூடிய பாதுகாப்புக் குறைபாடுகளைக் கொண்ட மென்பொருளை வெளியிடுவது, வெறும் பாதுகாப்பு அக்கறை மட்டுமல்ல, அது ஒரு இணக்கப் பிரச்சினையாகவும் மாறுகிறது.
ஒழுங்குமுறை பின்வருமாறு கோருகிறது:
- டிஜிட்டல் கூறுகளைக் கொண்ட தயாரிப்புகள், அறியப்பட்ட சுரண்டக்கூடிய பாதுகாப்புக் குறைபாடுகளுடன் ஐரோப்பிய ஒன்றிய சந்தையில் நுழையக்கூடாது.
- உற்பத்தியாளர்கள் பாதிப்பு கையாளுதல் மற்றும் அனுமதி வாயில்களை செயல்படுத்துகின்றனர்.
- கோட்பாட்டு ரீதியான தீவிரத்தை விட, நிஜ சூழல்களில் நிகழும் சுரண்டலுக்கு அதிக முக்கியத்துவம் உண்டு.
இதன் விளைவாக, முன்னுரிமையானது சிறந்த நடைமுறையிலிருந்து சட்டப்பூர்வ கடமைக்கு மாறுகிறது.
சரியாக இந்த இடத்தில்தான் சுரண்டல் நுண்ணறிவு இன்றியமையாததாகிறது.
சைபர் பின்னடைவு சட்டம்
தி சைபர் பின்னடைவு சட்டம் ஐரோப்பிய ஒன்றியத்தில் விற்கப்படும் டிஜிட்டல் கூறுகளைக் கொண்ட தயாரிப்புகளுக்குக் கட்டாய இணையப் பாதுகாப்புத் தேவைகளை நிர்ணயிக்கும் ஒரு ஐரோப்பிய ஒன்றிய ஒழுங்குமுறை இது.
எளிமையாகச் சொல்வதானால், மென்பொருளை வெளியிடும் நேரத்தில், அறியப்பட்ட சுரண்டக்கூடிய பாதிப்புகள் இல்லாதவாறு அதை வடிவமைத்து, உருவாக்கி, பராமரிக்க வேண்டும் என இது உற்பத்தியாளர்களைக் கோருகிறது. மேலும், வெளியீட்டிற்குப் பிறகு பாதிப்புகளைக் கண்காணித்து, தீவிரமாகச் சுரண்டப்படும் சிக்கல்களைக் கடுமையான காலக்கெடுவிற்குள் புகாரளிக்க வேண்டும் என இது நிறுவனங்களைக் கட்டாயப்படுத்துகிறது.
இந்த ஒழுங்குமுறை டிசம்பர் 2024-இல் அமலுக்கு வந்தது. இருப்பினும், முழுமையான அமலாக்கம் டிசம்பர் 2027-இல் தொடங்குகிறது. 2026-ஆம் ஆண்டு முதல், நிறுவனங்கள் தாங்கள் தீவிரமாகப் பயன்படுத்தும் பாதுகாப்புக் குறைபாடுகளைக் கண்டறிந்த 24 மணி நேரத்திற்குள் ஐரோப்பிய ஒன்றிய அதிகாரிகளுக்குத் தெரிவிக்க வேண்டும்.
வேறுவிதமாகக் கூறினால், சைபர் மீள்திறன் சட்டம், பாதிப்பு மேலாண்மையை ஒரு சிறந்த நடைமுறையிலிருந்து சந்தை அணுகலுக்கான ஒரு தேவையாக மாற்றுகிறது.
CRA இணக்கத்தின் மையத்தில் KEV-கள் ஏன் இருக்கின்றன?
தி CISஅறியப்பட்ட சுரண்டல் பாதிப்புகளின் பட்டியல் தாக்குதல் நடத்துபவர்கள் ஏற்கனவே நடைமுறையில் பயன்படுத்தும் CVE-களை இது பட்டியலிடுகிறது. இந்தப் பட்டியல் குழப்பங்களைத் தவிர்க்கிறது.
அபாயம் குறித்து விவாதிப்பதற்குப் பதிலாக, குழுக்கள் சரிபார்க்கப்பட்ட சுரண்டல் தரவுகளை நம்பியிருக்கலாம். இதன் விளைவாக, சரிசெய்தல் சேவை நிலை ஒப்பந்தங்கள் மற்றும் வெளியீட்டுத் தடைகளுக்கு KEV-கள் மிக வலிமையான தூண்டுதலாக மாறுகின்றன.
இந்த அணுகுமுறை இயல்பாகவே ஒத்துப்போகிறது இடர் அடிப்படையிலான பாதிப்பு மேலாண்மைஏனென்றால், அது உண்மையான சேதம் ஏற்படும் இடத்தில் கவனத்தைக் குவிக்கிறது.
CVSS, EPSS மற்றும் KEV-கள் வெவ்வேறு நோக்கங்களுக்குப் பயன்படுகின்றன.
திறம்பட முன்னுரிமைப்படுத்துவதற்கு, சமிக்ஞைகள் எவ்வாறு வேறுபடுகின்றன என்பதைப் புரிந்துகொள்வது அவசியம்.
- CVSS சாத்தியமான தாக்கத்தைக் காட்டுகிறது
- இ.பி.எஸ்.எஸ். சுரண்டலுக்கான சாத்தியக்கூறுகளை மதிப்பிடுகிறது
- தி CISஅறியப்பட்ட சுரண்டல் பாதிப்புகளின் பட்டியல், செயலில் உள்ள சுரண்டலை உறுதிப்படுத்துகிறது.
தனித்தனியாகப் பயன்படுத்தப்படும்போது, ஒவ்வொரு சமிக்ஞையும் தவறாக வழிநடத்துகிறது. ஒன்றாகப் பயன்படுத்தப்படும்போது, அவை சூழலை வழங்குகின்றன. அந்த இணைப்பே நவீன இடர் அடிப்படையிலான பாதிப்பு மேலாண்மையின் அடித்தளத்தை உருவாக்குகிறது.
நடைமுறையில் அறியப்பட்ட சுரண்டல் புலனாய்வு எவ்வாறு செயல்படுகிறது
ஒரு நடைமுறை முன்னுரிமை மாதிரி பின்வரும் தெளிவான வரிசையைப் பின்பற்றுகிறது:
- குறியீடு மற்றும் சார்புநிலைகள் முழுவதும் உள்ள பாதிப்புகளைக் கண்டறியவும்
- போட்டி முடிவுகள் CISஅறியப்பட்ட சுரண்டல் பாதிப்புகளின் பட்டியல்
- EPSS-ஐப் பயன்படுத்தி சுரண்டல் நிகழ்தகவை மதிப்பிடுங்கள்
- பயன்பாட்டில் அணுகல்தன்மையைச் சரிபார்க்கவும் அல்லது pipeline
- பாதிப்பு மற்றும் தயாரிப்பின் பங்கு ஆகியவற்றின் அடிப்படையில் சரிசெய்தல் விதிகளைப் பயன்படுத்துங்கள்.
இதன் விளைவாக, குழுக்கள் பாதிப்புப் பட்டியல்களைப் பணிப்பட்டியல்களாகக் கருதுவதை நிறுத்தி, அவற்றைச் செயல்படுத்த வேண்டிய பணிகளாகக் கருதத் தொடங்குகின்றன.cisஅயனிகள்.
Xygeni-யில் அறியப்பட்ட சுரண்டல் நுண்ணறிவை நாங்கள் எவ்வாறு உருவாக்கினோம்
அறியப்பட்ட சுரண்டல் பாதிப்புகள் உற்பத்தி நிலையை எட்டியபோதும், குழுக்கள் உயர்-CVSS சிக்கல்களைச் சரிசெய்வதை நாங்கள் மீண்டும் மீண்டும் கண்ட பிறகு இந்த அம்சத்தை உருவாக்கினோம். அந்த அனுபவமே நாங்கள் இந்த அமைப்பை வடிவமைத்த விதத்தை வடிவமைத்தது.
உடன் v5.36, சைஜெனி, சரிபார்க்கப்பட்ட சுரண்டல் நுண்ணறிவை நேரடியாக முன்னுரிமைப்படுத்தும் இயந்திரத்தில் ஒருங்கிணைக்கிறது.
உள்ளுக்குள் என்ன நடக்கிறது
- Xygeni, KEV மற்றும் பிற பொதுவான சுரண்டல் மூலங்கள் போன்ற நம்பகமான சுரண்டல் பட்டியல்களைத் தொடர்ந்து உள்ளீடாகப் பெறுகிறது.
- ஒவ்வொரு பாதிப்பும் சுரண்டல் இருப்பு மெட்டாடேட்டாவைப் பெறுகிறது.
- முன்னுரிமை புனல் பின்வருவனவற்றை ஒருங்கிணைக்கிறது:
- அறியப்பட்ட சுரண்டல் நிலை
- EPSS நிகழ்தகவு
- அணுகல் சூழல்
- குறியீடு மற்றும் சார்பு வெளிப்பாடு
இந்தத் தளம், நிஜ உலக இடர் மதிப்பீடுகளின் தொகுப்பைக் கணக்கிடுகிறது.
தற்போதுள்ள சமிக்ஞைகளை மாற்றுவதற்குப் பதிலாக, இந்த மாதிரி அவற்றைச் செம்மைப்படுத்துகிறது.
கண்டறிதல் → சுரண்டல் பொருத்தம் → சென்றடைதல் → சரிசெய்தல்
இந்த ஓட்டம் ஒவ்வொரு இயக்கத்தையும் இயக்குகிறதுcisஅயனி:
டெவலப்பர்கள் சுரண்டல் சூழலை நேரடியாகப் பார்க்கிறார்கள் pull requests. Pipelineஅணுகக்கூடிய குறியீட்டில் அறியப்பட்ட சுரண்டல் பாதிப்புகள் அடங்கியிருக்கும்போது மட்டுமே தொகுதி ஒன்றிணைக்கப்படுகிறது. தானியங்கு சரிசெய்தல் உடனடியாகப் பாதுகாப்பான மேம்படுத்தல்களைப் பரிந்துரைக்கிறது.
கூட்டங்கள் இல்லை. யூகங்களுக்கு இடமில்லை. பதற்றமூட்டும் திருத்தங்கள் இல்லை.
இணக்கத்திற்கு அப்பாற்பட்டு இது ஏன் முக்கியமானது
சைபர் மீள்திறன் சட்டம் இந்த மாற்றத்தைத் தூண்டியபோதிலும், அதன் நன்மைகள் மேலும் விரிவடைகின்றன.
சுரண்டல் நுண்ணறிவைப் பயன்படுத்துவதற்கு முன்னுரிமை அளிக்கும் அணிகள்:
- எச்சரிக்கை சோர்வைக் குறைக்கவும்
- சீரமைப்பு நேரத்தைக் குறைக்கவும்
- அவசரகால இணைப்பு சுழற்சிகளைத் தவிர்க்கவும்
- பாதுகாப்பான மென்பொருளை நம்பிக்கையுடன் வழங்குங்கள்.
பாதுகாப்பைச் சரியாகச் செய்வதன் ஒரு பக்க விளைவாகவே விதிமுறைகளுக்கு இணங்குதல் அமைகிறது.
இறுதிக் கருத்துகள்: இடர் அடிப்படையிலான மேலாண்மையை CRA கட்டாயமாக்குகிறது
சைபர் மீள்திறன் சட்டம், அனுபவம் வாய்ந்த குழுக்கள் ஏற்கனவே கற்றுக்கொண்டதை முறைப்படுத்துகிறது. எல்லாப் பாதுகாப்புக் குறைபாடுகளும் சமமான முக்கியத்துவம் வாய்ந்தவை அல்ல.
தி CISஅறியப்பட்ட சுரண்டல் பாதிப்புகளின் பட்டியல், தாக்குபவர்கள் இன்று எவற்றைப் பயன்படுத்துகிறார்கள் என்பதைக் காட்டுகிறது. சூழலும் சென்றடைதலும் அது உங்களைப் பாதிக்கிறதா என்பதைக் காட்டுகின்றன. இவை இரண்டும் சேர்ந்து நவீனத்துவத்தை வரையறுக்கின்றன. இடர் அடிப்படையிலான பாதிப்பு மேலாண்மை.
சைஜெனி இந்த மாதிரியைத் தொடர்ச்சியாகவும், தானாகவும், டெவலப்பர்கள் ஏற்கனவே பணிபுரியும் இடங்களிலும் செயல்படுத்துகிறது.
எழுத்தாளர் பற்றி
ஆல் எழுதப்பட்டது பாத்திமா Saidசைஜெனி செக்யூரிட்டியில் பயன்பாட்டுப் பாதுகாப்பில் நிபுணத்துவம் பெற்ற உள்ளடக்க சந்தைப்படுத்தல் மேலாளரான இவர், AppSec குறித்து டெவலப்பர்களை மையமாகக் கொண்ட, ஆராய்ச்சி அடிப்படையிலான உள்ளடக்கத்தை உருவாக்குகிறார். ASPMமற்றும் DevSecOps, நிஜ உலகப் பாதுகாப்புச் சவால்களைத் தெளிவான, செயல்படுத்தக்கூடிய வழிகாட்டுதலாக மொழிபெயர்க்கின்றன.
