ทีมรักษาความปลอดภัยไม่ค่อยล้มเหลวเพราะขาดข้อมูล ส่วนใหญ่แล้ว พวกเขาล้มเหลวเพราะแก้ไขปัญหาที่ผิดก่อน นั่นคือเหตุผลที่ Known-Exploit Intelligence, การจัดการช่องโหว่ตามความเสี่ยง, กฎหมาย Cyber Resilience Act และ... CISปัจจุบันแคตตาล็อกช่องโหว่ที่ถูกใช้ประโยชน์ (Aknown Exploited Vulnerabilities Catalog) ได้ถูกรวมเข้าไว้ในเวิร์กโฟลว์ด้านความปลอดภัยแอปพลิเคชันสมัยใหม่แล้ว
ทุกสัปดาห์ เครื่องมือสแกนจะรายงานช่องโหว่นับร้อยรายการ อย่างไรก็ตาม ผู้โจมตีใช้ประโยชน์จากช่องโหว่เพียงส่วนน้อยเท่านั้น ส่งผลให้ทีมที่จัดลำดับความสำคัญโดยปราศจากบริบทของการโจมตีเสียเวลาไปโดยเปล่าประโยชน์ ในขณะที่ภัยคุกคามที่แท้จริงกลับเล็ดลอดไปได้ Known-Exploit Intelligence ช่วยอุดช่องว่างนี้โดยการเปิดเผยช่องโหว่ที่ผู้โจมตีใช้จริง ไม่ใช่แค่ช่องโหว่ที่ดูร้ายแรงบนกระดาษเท่านั้น
สิ่งที่ทราบ - การใช้ประโยชน์จากข้อมูลข่าวกรอง
ข้อมูลข่าวกรองเกี่ยวกับการโจมตีที่ทราบแล้ว (Known-exploit intelligence) ระบุช่องโหว่ที่ผู้โจมตีใช้ประโยชน์ในสภาพแวดล้อมจริง กล่าวอีกนัยหนึ่งคือ แยกความเสี่ยงเชิงทฤษฎีออกจากพฤติกรรมการโจมตีที่ได้รับการยืนยันแล้ว
แทนที่จะถามว่ามีช่องโหว่หรือไม่ ได้ หากถูกเอาเปรียบ ทีมต่างๆ ก็สามารถถามคำถามนี้ได้ในที่สุดว่า:
มีการใช้ประโยชน์จากช่องโหว่นี้แล้วหรือไม่ และมันส่งผลกระทบต่อผลิตภัณฑ์ของฉันหรือไม่?
ความแตกต่างดังกล่าวมีความสำคัญทั้งในเชิงปฏิบัติและในเชิงกฎหมายมากขึ้นเรื่อยๆ
เหตุใดการจัดลำดับความสำคัญแบบดั้งเดิมจึงล้มเหลว
ทีมส่วนใหญ่ยังคงอาศัยสัญญาณคงที่ในการจัดลำดับความสำคัญของความเสี่ยง
โดยทั่วไป พวกเขาจะจัดเรียงช่องโหว่ตามเกณฑ์ดังนี้:
- ความรุนแรงของ CVSS
- ความมั่นใจของเครื่องสแกน
- ความนิยมของแพ็คเกจ
แม้ว่าสัญญาณเหล่านี้จะช่วยลดสัญญาณรบกวนได้ แต่ก็มองข้ามปัจจัยสำคัญไปหนึ่งอย่าง นั่นคือ พฤติกรรมของผู้โจมตี ส่งผลให้ทีมงานมักรีบแก้ไขปัญหาที่มีความรุนแรงสูงซึ่งไม่เคยถูกโจมตีจริง ในขณะที่มองข้ามช่องโหว่ที่มีความรุนแรงต่ำกว่าซึ่งผู้โจมตีมุ่งเป้าหมายไปที่นั่นโดยตรง
ช่องว่างนี้อธิบายได้ว่าทำไมการจัดลำดับความสำคัญแบบคงที่จึงไม่สามารถใช้งานได้ในวงกว้างอีกต่อไป
เหตุใดพระราชบัญญัติความยืดหยุ่นทางไซเบอร์จึงเปลี่ยนแปลงกฎเกณฑ์
ภายใต้ พ.ร.บ. ความยืดหยุ่นทางไซเบอร์การจัดส่งซอฟต์แวร์ที่มีช่องโหว่ที่ทราบกันดีอยู่แล้ว กลายเป็นปัญหาด้านการปฏิบัติตามกฎระเบียบ ไม่ใช่แค่ปัญหาด้านความปลอดภัยเท่านั้น
ระเบียบดังกล่าวระบุว่า:
- ผลิตภัณฑ์ที่มีส่วนประกอบดิจิทัลจะต้องไม่เข้าสู่ตลาดสหภาพยุโรปหากมีช่องโหว่ที่ทราบกันดีอยู่แล้วซึ่งสามารถถูกโจมตีได้
- ผู้ผลิตนำระบบการจัดการช่องโหว่และการตรวจสอบความปลอดภัยมาใช้
- การเอารัดเอาเปรียบในสภาพแวดล้อมจริงมีน้ำหนักมากกว่าความรุนแรงตามทฤษฎี
ด้วยเหตุนี้ ลำดับความสำคัญจึงเปลี่ยนจากแนวปฏิบัติที่ดีที่สุดไปเป็นข้อผูกพันทางกฎหมาย
นี่คือจุดที่การใช้ข้อมูลเพื่อโจมตีเป้าหมายกลายเป็นสิ่งสำคัญอย่างยิ่ง
พ.ร.บ. ความยืดหยุ่นทางไซเบอร์
การขอ พ.ร.บ. ความยืดหยุ่นทางไซเบอร์ เป็นระเบียบข้อบังคับของสหภาพยุโรปที่กำหนดข้อกำหนดด้านความปลอดภัยทางไซเบอร์ที่บังคับใช้สำหรับผลิตภัณฑ์ที่มีองค์ประกอบดิจิทัลที่จำหน่ายในสหภาพยุโรป
กล่าวโดยง่ายคือ ข้อกำหนดนี้บังคับให้ผู้ผลิตออกแบบ พัฒนา และบำรุงรักษาซอฟต์แวร์ที่ไม่มีช่องโหว่ที่สามารถถูกโจมตีได้ ณ เวลาที่วางจำหน่าย นอกจากนี้ยังบังคับให้บริษัทต่างๆ ตรวจสอบช่องโหว่หลังจากวางจำหน่ายและรายงานปัญหาที่ถูกโจมตีจริงภายในกรอบเวลาที่กำหนดอย่างเคร่งครัด
กฎระเบียบนี้มีผลบังคับใช้ในเดือนธันวาคม 2024 อย่างไรก็ตาม การบังคับใช้เต็มรูปแบบจะเริ่มในเดือนธันวาคม 2027 และเริ่มตั้งแต่ปี 2026 บริษัทต่างๆ ต้องรายงานช่องโหว่ที่ถูกใช้ประโยชน์อย่างต่อเนื่องต่อหน่วยงานของสหภาพยุโรปภายใน 24 ชั่วโมงหลังจากที่ตรวจพบ
กล่าวอีกนัยหนึ่ง พระราชบัญญัติความยืดหยุ่นทางไซเบอร์ (Cyber Resilience Act) เปลี่ยนการจัดการช่องโหว่จากแนวปฏิบัติที่ดีที่สุดไปเป็นข้อกำหนดในการเข้าถึงตลาด
เหตุใด KEV จึงมีความสำคัญอย่างยิ่งต่อการปฏิบัติตามกฎระเบียบของ CRA
การขอ CISแคตตาล็อกช่องโหว่ที่ถูกใช้ประโยชน์ที่ทราบแล้ว รายการนี้รวบรวมช่องโหว่ CVE ที่ผู้โจมตีใช้ประโยชน์อยู่แล้วในโลกแห่งความเป็นจริง แคตตาล็อกนี้ช่วยขจัดความคลุมเครือ
แทนที่จะถกเถียงเรื่องความเสี่ยง ทีมงานสามารถอาศัยข้อมูลการโจมตีที่ได้รับการตรวจสอบแล้วได้ ดังนั้น KEV จึงกลายเป็นตัวกระตุ้นที่สำคัญที่สุดสำหรับ SLA ในการแก้ไขปัญหาและการบล็อกการปล่อยเวอร์ชันใหม่
แนวทางนี้สอดคล้องกับธรรมชาติอย่างเป็นธรรมชาติ การจัดการช่องโหว่ตามความเสี่ยงเพราะเป็นการมุ่งเน้นความพยายามไปยังจุดที่เกิดความเสียหายจริง
CVSS, EPSS และ KEV มีวัตถุประสงค์การใช้งานที่แตกต่างกัน
การจัดลำดับความสำคัญอย่างมีประสิทธิภาพจำเป็นต้องเข้าใจความแตกต่างระหว่างสัญญาณต่างๆ
- CVSS แสดงให้เห็นถึงผลกระทบที่อาจเกิดขึ้น
- กำไรต่อหุ้น ประเมินความน่าจะเป็นของการถูกเอารัดเอาเปรียบ
- การขอ CISแคตตาล็อกช่องโหว่ที่ถูกโจมตีที่ทราบแล้ว ยืนยันว่ามีการโจมตีช่องโหว่นี้อยู่จริง
หากใช้สัญญาณแต่ละอย่างแยกกัน จะทำให้เข้าใจผิด แต่หากใช้ร่วมกัน จะช่วยให้เข้าใจบริบทได้ดียิ่งขึ้น การผสมผสานนี้จึงเป็นรากฐานของการบริหารจัดการช่องโหว่ตามความเสี่ยงในยุคปัจจุบัน
วิธีการทำงานของระบบข่าวกรองช่องโหว่ที่ทราบแล้วในทางปฏิบัติ
แบบจำลองการจัดลำดับความสำคัญเชิงปฏิบัติจะปฏิบัติตามลำดับที่ชัดเจน:
- ตรวจจับช่องโหว่ในโค้ดและส่วนประกอบต่างๆ
- ผลการจับคู่กับ CISแคตตาล็อกช่องโหว่ที่ถูกใช้ประโยชน์ที่ทราบแล้ว
- ประเมินโอกาสการโจมตีโดยใช้ EPSS
- ตรวจสอบการเชื่อมต่อในแอปพลิเคชันหรือ pipeline
- ใช้กฎการแก้ไขปัญหาโดยพิจารณาจากระดับความเสี่ยงและบทบาทของผลิตภัณฑ์
ด้วยเหตุนี้ ทีมต่างๆ จึงเลิกมองรายการช่องโหว่ว่าเป็นงานที่ค้างอยู่ และเริ่มมองว่าเป็นงานที่ต้องทำcisไอออน
เราสร้างระบบข่าวกรองช่องโหว่ที่รู้จักได้อย่างไรที่ Xygeni
เราสร้างฟีเจอร์นี้ขึ้นมาหลังจากที่ได้เห็นทีมต่างๆ แก้ไขปัญหาที่มีค่า CVSS สูงซ้ำแล้วซ้ำเล่า ในขณะที่ช่องโหว่ที่ถูกโจมตีอยู่แล้วกลับเข้าสู่ขั้นตอนการใช้งานจริง ประสบการณ์นั้นเป็นตัวกำหนดแนวทางการออกแบบระบบของเรา
ด้วยระบบเส้นทาง v5.36, Xygeni ผสานรวมข้อมูลข่าวกรองการโจมตีที่ได้รับการตรวจสอบแล้วเข้ากับกลไกการจัดลำดับความสำคัญโดยตรง
เกิดอะไรขึ้นภายในฝากระโปรงรถ
- Xygeni นำเข้าแคตตาล็อกช่องโหว่ที่เชื่อถือได้อย่างต่อเนื่อง เช่น KEV และแหล่งข้อมูลช่องโหว่สาธารณะอื่นๆ
- ช่องโหว่แต่ละรายการจะได้รับเมตาเดต้าที่แสดงถึงการมีอยู่ของการโจมตี
- กระบวนการจัดลำดับความสำคัญประกอบด้วย:
- สถานะการโจมตีที่ทราบ
- ความน่าจะเป็น EPSS
- บริบทการเข้าถึง
- การเปิดเผยโค้ดและการพึ่งพา
แพลตฟอร์มนี้คำนวณคะแนนความเสี่ยงในโลกแห่งความเป็นจริงแบบผสมผสาน
แทนที่จะแทนที่สัญญาณที่มีอยู่เดิม โมเดลนี้จะทำการปรับปรุงสัญญาณเหล่านั้นให้ดียิ่งขึ้น
การตรวจจับ → การจับคู่ช่องโหว่ → การเข้าถึง → การแก้ไข
กระแสนี้ขับเคลื่อนทุกสิ่งทุกอย่างcisไอออน:
นักพัฒนาจะเห็นบริบทการโจมตีโดยตรงใน pull requests. Pipelineการรวมบล็อก s จะเกิดขึ้นก็ต่อเมื่อโค้ดที่เข้าถึงได้มีช่องโหว่ที่ถูกโจมตีอยู่แล้วเท่านั้น การแก้ไขอัตโนมัติจะเสนอการอัปเกรดที่ปลอดภัยทันที
ไม่มีการประชุม ไม่มีการคาเดา ไม่มีการแก้ไขปัญหาเฉพาะหน้า
เหตุใดเรื่องนี้จึงสำคัญนอกเหนือจากการปฏิบัติตามกฎระเบียบ
แม้ว่ากฎหมายว่าด้วยความยืดหยุ่นทางไซเบอร์ (Cyber Resilience Act) จะเป็นตัวกระตุ้นให้เกิดการเปลี่ยนแปลงนี้ แต่ประโยชน์ที่ได้รับนั้นครอบคลุมไปไกลกว่านั้น
ทีมที่ให้ความสำคัญกับการใช้ข้อมูลเชิงลึกจากการโจมตีช่องโหว่:
- ลดความเหนื่อยล้าจากการตื่นตัว
- ลดระยะเวลาในการแก้ไขปัญหา
- หลีกเลี่ยงการซ่อมแซมฉุกเฉิน
- ส่งมอบซอฟต์แวร์ที่ปลอดภัยยิ่งขึ้นด้วยความมั่นใจ
การปฏิบัติตามกฎระเบียบกลายเป็นผลพลอยได้จากการดำเนินการด้านความปลอดภัยอย่างถูกต้อง
ข้อคิดส่งท้าย: CRA กำหนดให้การบริหารจัดการตามความเสี่ยงเป็นข้อบังคับ
กฎหมาย Cyber Resilience Act ได้ทำให้สิ่งที่ทีมผู้มีประสบการณ์ได้เรียนรู้มาแล้วนั้นเป็นรูปธรรม ไม่ใช่ว่าช่องโหว่ทุกอย่างจะมีความสำคัญเท่ากัน
การขอ CISแคตตาล็อกช่องโหว่ที่ถูกใช้ประโยชน์ (Known Exploited Vulnerabilities Catalog) แสดงให้เห็นว่าผู้โจมตีใช้ช่องโหว่อะไรบ้างในปัจจุบัน บริบทและการเข้าถึงได้จะแสดงให้เห็นว่าช่องโหว่นั้นส่งผลกระทบต่อคุณหรือไม่ เมื่อรวมกันแล้ว สิ่งเหล่านี้จะกำหนดนิยามของความทันสมัย การจัดการช่องโหว่ตามความเสี่ยง.
Xygeni นำโมเดลนี้ไปใช้อย่างต่อเนื่องโดยอัตโนมัติ และในสถานที่ที่นักพัฒนาทำงานอยู่แล้ว
เกี่ยวกับผู้เขียน
เขียนโดย ฟาติมา Saidเธอเป็นผู้จัดการฝ่ายการตลาดเนื้อหาผู้เชี่ยวชาญด้านความปลอดภัยของแอปพลิเคชันที่ Xygeni Security เธอสร้างเนื้อหาที่เน้นนักพัฒนาและขับเคลื่อนด้วยงานวิจัยเกี่ยวกับความปลอดภัยของแอปพลิเคชัน ASPMและ DevSecOps ซึ่งเป็นการแปลงความท้าทายด้านความปลอดภัยในโลกแห่งความเป็นจริงให้เป็นแนวทางที่ชัดเจนและนำไปปฏิบัติได้จริง
