Các nhóm bảo mật hiếm khi thất bại vì thiếu dữ liệu. Thường thì, họ thất bại vì khắc phục sai vấn đề trước tiên. Đó chính là lý do tại sao thông tin tình báo về các lỗ hổng đã biết, quản lý lỗ hổng dựa trên rủi ro, Đạo luật về khả năng phục hồi mạng và... CISDanh mục các lỗ hổng đã bị khai thác hiện nay được tích hợp vào quy trình bảo mật ứng dụng hiện đại.
Mỗi tuần, các công cụ quét báo cáo hàng trăm lỗ hổng bảo mật. Tuy nhiên, tin tặc chỉ khai thác một phần nhỏ trong số đó. Do đó, các nhóm ưu tiên xử lý lỗi mà không xem xét ngữ cảnh khai thác sẽ lãng phí thời gian trong khi các mối đe dọa thực sự lại lọt lưới. Known-Exploit Intelligence (Tình báo về các lỗ hổng đã biết) giúp thu hẹp khoảng cách đó bằng cách phát hiện ra các lỗ hổng mà tin tặc thực sự sử dụng, chứ không chỉ những lỗ hổng trông có vẻ nghiêm trọng trên lý thuyết.
Những gì đã biết - Thông tin tình báo khai thác
Thông tin tình báo về các lỗ hổng đã được xác định giúp nhận diện những điểm yếu mà kẻ tấn công đang chủ động khai thác trong môi trường thực tế. Nói cách khác, nó phân biệt rủi ro lý thuyết với hành vi tấn công đã được xác nhận.
Thay vì hỏi liệu có lỗ hổng nào không có thể Nếu bị khai thác, các đội cuối cùng có thể hỏi:
Liệu lỗ hổng này đã bị khai thác chưa, và điều đó có ảnh hưởng đến sản phẩm của tôi không?
Sự khác biệt đó có ý nghĩa quan trọng về mặt vận hành và ngày càng quan trọng về mặt pháp lý.
Vì sao phương pháp ưu tiên truyền thống lại thất bại?
Hầu hết các nhóm vẫn dựa vào các tín hiệu tĩnh để ưu tiên rủi ro.
Thông thường, họ phân loại các lỗ hổng bảo mật theo:
- mức độ nghiêm trọng của CVSS
- Sự tự tin của máy quét
- Mức độ phổ biến của gói hàng
Mặc dù các tín hiệu này giúp giảm nhiễu, nhưng chúng lại bỏ sót một yếu tố quan trọng: hành vi của kẻ tấn công. Kết quả là, các nhóm thường vội vàng vá các vấn đề nghiêm trọng mà không bao giờ bị khai thác, trong khi bỏ sót các lỗ hổng ít nghiêm trọng hơn mà kẻ tấn công chủ động nhắm đến.
Khoảng cách này giải thích tại sao việc ưu tiên tĩnh không còn khả thi trên quy mô lớn.
Vì sao Đạo luật về Khả năng phục hồi mạng lại thay đổi các quy tắc?
Bên dưới Đạo luật phục hồi mạngViệc phát hành phần mềm với các lỗ hổng bảo mật đã biết có thể bị khai thác trở thành vấn đề tuân thủ quy định, chứ không chỉ là vấn đề an ninh.
Quy định này yêu cầu rằng:
- Các sản phẩm có yếu tố kỹ thuật số không được phép đưa vào thị trường EU nếu đã biết có các lỗ hổng bảo mật dễ bị khai thác.
- Các nhà sản xuất triển khai các cơ chế xử lý lỗ hổng và cổng kiểm soát truy cập.
- Việc khai thác trong môi trường thực tế có sức nặng hơn so với mức độ nghiêm trọng trên lý thuyết.
Do đó, thứ tự ưu tiên chuyển từ thực tiễn tốt nhất sang nghĩa vụ pháp lý.
Đây chính là lúc trí tuệ khai thác lỗ hổng trở nên thiết yếu.
Đạo luật phục hồi mạng
Đạo luật phục hồi mạng Đây là một quy định của Liên minh Châu Âu đặt ra các yêu cầu bắt buộc về an ninh mạng đối với các sản phẩm có yếu tố kỹ thuật số được bán tại EU.
Nói một cách đơn giản, nó yêu cầu các nhà sản xuất phải thiết kế, phát triển và duy trì phần mềm không chứa các lỗ hổng bảo mật đã biết có thể khai thác được tại thời điểm phát hành. Hơn nữa, nó buộc các công ty phải giám sát các lỗ hổng sau khi phát hành và báo cáo các vấn đề đang bị khai thác trong thời hạn nghiêm ngặt.
Quy định này có hiệu lực từ tháng 12 năm 2024. Tuy nhiên, việc thực thi đầy đủ bắt đầu vào tháng 12 năm 2027. Bắt đầu từ năm 2026, các công ty phải báo cáo các lỗ hổng bảo mật đang bị khai thác cho các cơ quan chức năng của EU trong vòng 24 giờ kể từ khi phát hiện.
Nói cách khác, Đạo luật về khả năng phục hồi mạng biến việc quản lý lỗ hổng bảo mật từ một biện pháp thực hành tốt nhất thành một yêu cầu bắt buộc để tiếp cận thị trường.
Vì sao xe điện chủ chốt (KEV) lại đóng vai trò trung tâm trong việc tuân thủ luật CRA?
CISDanh mục các lỗ hổng bảo mật đã bị khai thác Danh mục này liệt kê các lỗ hổng CVE mà tin tặc đã khai thác trong thực tế. Danh mục này giúp loại bỏ sự mơ hồ.
Thay vì tranh luận về rủi ro, các nhóm có thể dựa vào dữ liệu khai thác đã được xác minh. Do đó, các KEV trở thành yếu tố kích hoạt mạnh mẽ nhất cho các SLA khắc phục sự cố và việc chặn phát hành.
Cách tiếp cận này phù hợp một cách tự nhiên với quản lý lỗ hổng dựa trên rủi roBởi vì nó tập trung nỗ lực vào những nơi xảy ra thiệt hại thực sự.
CVSS, EPSS và KEV phục vụ các mục đích khác nhau.
Việc ưu tiên hiệu quả đòi hỏi phải hiểu được sự khác biệt giữa các tín hiệu.
- CVSS cho thấy tác động tiềm tàng
- EPSS ước tính khả năng bị bóc lột
- CISDanh mục các lỗ hổng đã bị khai thác xác nhận việc khai thác đang diễn ra.
Nếu chỉ sử dụng riêng lẻ, mỗi tín hiệu đều gây hiểu nhầm. Nhưng khi sử dụng cùng nhau, chúng cung cấp bối cảnh phù hợp. Sự kết hợp đó tạo nên nền tảng của quản lý lỗ hổng bảo mật dựa trên rủi ro hiện đại.
Cách thức hoạt động của thông tin tình báo về các lỗ hổng đã biết trong thực tế
Mô hình ưu tiên thực tiễn tuân theo một trình tự rõ ràng:
- Phát hiện các lỗ hổng bảo mật trong mã nguồn và các thư viện phụ thuộc.
- So sánh kết quả với... CISDanh mục các lỗ hổng bảo mật đã bị khai thác
- Đánh giá khả năng bị khai thác bằng EPSS
- Xác minh khả năng truy cập trong ứng dụng hoặc pipeline
- Áp dụng các quy tắc khắc phục dựa trên mức độ phơi nhiễm và vai trò của sản phẩm.
Kết quả là, các nhóm không còn coi danh sách lỗ hổng bảo mật như những công việc tồn đọng nữa mà bắt đầu coi chúng như những vấn đề cần giải quyết.ciscác ion.
Cách chúng tôi xây dựng hệ thống thông tin về các lỗ hổng bảo mật đã biết tại Xygeni
Chúng tôi đã xây dựng tính năng này sau khi liên tục chứng kiến các nhóm khắc phục các sự cố có điểm CVSS cao trong khi các lỗ hổng bảo mật đã biết vẫn được đưa vào sản xuất. Kinh nghiệm đó đã định hình cách chúng tôi thiết kế hệ thống.
Với v5.36, Xygeni tích hợp thông tin tình báo về các lỗ hổng đã được xác minh trực tiếp vào công cụ ưu tiên.
Điều gì xảy ra bên trong nắp ca-pô?
- Xygeni liên tục thu thập các danh mục khai thác lỗ hổng đáng tin cậy như KEV và các nguồn khai thác công khai khác.
- Mỗi lỗ hổng đều nhận được siêu dữ liệu về sự hiện diện của khai thác.
- Phễu ưu tiên kết hợp:
- Trạng thái khai thác đã biết
- Xác suất EPSS
- Ngữ cảnh khả năng tiếp cận
- Tiếp xúc với mã và các phụ thuộc
Nền tảng này tính toán điểm rủi ro thực tế tổng hợp.
Thay vì thay thế các tín hiệu hiện có, mô hình này tinh chỉnh chúng.
Phát hiện → Khai thác khớp → Khả năng truy cập → Khắc phục
Luồng này thúc đẩy mọi thứcision:
Các nhà phát triển có thể thấy trực tiếp ngữ cảnh khai thác trong pull requests. PipelineKhối s chỉ được hợp nhất khi mã có thể truy cập được bao gồm các lỗ hổng đã biết và bị khai thác. Quá trình khắc phục tự động đề xuất các bản nâng cấp an toàn ngay lập tức.
Không họp hành. Không phỏng đoán. Không hoảng loạn.
Vì sao điều này quan trọng hơn cả việc tuân thủ quy định
Mặc dù Đạo luật về khả năng phục hồi mạng đã thúc đẩy sự thay đổi này, nhưng lợi ích của nó còn lan rộng hơn nữa.
Các nhóm ưu tiên sử dụng thông tin tình báo về lỗ hổng bảo mật:
- Giảm mệt mỏi do cảnh báo
- Rút ngắn thời gian khắc phục sự cố
- Tránh các chu kỳ vá lỗi khẩn cấp
- Cung cấp phần mềm an toàn hơn với sự tự tin.
Tuân thủ trở thành hệ quả tất yếu của việc thực hiện bảo mật đúng cách.
Lời kết: Cơ quan Thuế Canada (CRA) bắt buộc áp dụng quản lý rủi ro dựa trên thực tiễn.
Đạo luật về khả năng phục hồi mạng (Cyber Resilience Act) chính thức hóa những gì các nhóm chuyên gia giàu kinh nghiệm đã học được. Không phải tất cả các lỗ hổng bảo mật đều có mức độ nghiêm trọng như nhau.
CISDanh mục các lỗ hổng đã bị khai thác cho thấy những gì kẻ tấn công đang sử dụng hiện nay. Ngữ cảnh và khả năng tiếp cận cho thấy liệu nó có ảnh hưởng đến bạn hay không. Cả hai cùng nhau định nghĩa nên chủ nghĩa tấn công mạng hiện đại. quản lý lỗ hổng dựa trên rủi ro.
Xygeni áp dụng mô hình này một cách liên tục, tự động và tại chính nơi các nhà phát triển đang làm việc.
Lưu ý
Được viết bởi Fatima SaidCô là Quản lý Tiếp thị Nội dung chuyên về Bảo mật Ứng dụng tại Xygeni Security. Cô tạo ra nội dung hướng đến nhà phát triển, dựa trên nghiên cứu về Bảo mật Ứng dụng. ASPMvà DevSecOps, chuyển đổi các thách thức bảo mật thực tế thành hướng dẫn rõ ràng, dễ thực hiện.
