זיכערהייט טימס פאלן זעלטן דורך ווייל זיי פעלן דאטן. מער אָפט, פאלן זיי דורך ווייל זיי פאַרריכטן די אומרעכטע פּראָבלעמען ערשט. דאָס איז פּונקט פארוואס באַקאַנטע-עקספּלויט אינטעליגענץ, ריזיקאָ-באַזירטע וואַלנעראַביליטי פאַרוואַלטונג, די סייבער ריזיליענס אַקט, און די CISא קאַטאַלאָג פון באַקאַנטע אויסגעניצטע וואַלנעראַביליטיעס קומט איצט צוזאַמען אין מאָדערנע AppSec וואָרקפלאָוז.
יעדע וואָך באַריכטן סקאַנערס הונדערטער שוואַכקייטן. אָבער, אַטאַקירער נוצן אויס בלויז אַ קליינע טייל פון זיי. דערפֿאַר, מאַנשאַפֿטן וואָס שטעלן פּריאָריטעטן אָן עקספּלויט קאָנטעקסט פֿאַרלירן צייט בשעת עכטע סכנות שלעפּן זיך דורך. באַקאַנטע עקספּלויט אינטעליגענץ פֿאַרמאַכט דעם ריס דורך אויפֿדעקן די שוואַכקייטן וואָס אַטאַקירער נוצן טאַקע, נישט נאָר די וואָס זעען אויס ערנסט אויף פּאַפּיר.
וואָס איז באַקאַנט - אויסנוצן אינטעליגענץ
באַקאַנטע-עקספּלויט אינטעליגענץ אידענטיפיצירט שוואַכקייטן וואָס אַטאַקערס נוצן אַקטיוו אויס אין פאַקטישע סביבות. מיט אַנדערע ווערטער, עס טיילט אָפּ טעאָרעטישע ריזיקע פֿון באַשטעטיקטע אַטאַק נאַטור.
אנשטאט צו פרעגן צי א שוואכקייט קען אויסגענוצט ווערן, קענען מאַנשאַפֿטן ענדלעך פֿרעגן:
ווערט דאָס שוין אויסגענוצט, און צי עס אַפעקטירט מײַן פּראָדוקט?
יענע אונטערשיידונג איז וויכטיק אפעראציאנעל און, נאך מער, לעגאל.
פארוואס טראדיציאנעלע פריאריטיזאציע צעברעכט זיך
רובֿ מאַנשאַפֿטן פֿאַרלאָזן זיך נאָך אויף סטאַטישע סיגנאַלן צו פּריאָריטיזירן ריזיקע.
טיפּישערװײַז סאָרטירן זיי שװאַכקײטן לויט:
- CVSS שטרענגקייט
- סקאַנער בטחון
- פּעקל פּאָפּולאַריטעט
כאָטש די סיגנאַלן העלפֿן רעדוצירן ראַש, פֿאַרפעלן זיי איין קריטישן פֿאַקטאָר: אַטאַקירער נאַטור. צוליב דעם, יאָגן זיך טימז אָפֿט צו פֿאַרריכטן הויך-ערנסטע פּראָבלעמען וואָס ווערן קיינמאָל נישט אויסגענוצט, בשעת זיי פֿאַרפעלן נידעריקער-ערנסטע חסרונות וואָס אַטאַקירער צילן אַקטיוו.
די ריס דערקלערט פארוואס סטאטישע פריאריטיזאציע סקאלט מער נישט.
פארוואס דער סייבער ריזיליענס אקט ענדערט די רעגולאציעס
אונטער די סייבער ריזיליאַנס אקט, שיפּינג ווייכווארג מיט באַקאַנטע אויסניצבאַרע וואַלנעראַביליטיז ווערט אַ קאַמפּליאַנס פּראָבלעם, נישט נאָר אַ זיכערהייט זאָרג.
די רעגולאציע פארלאנגט אז:
- פּראָדוקטן מיט דיגיטאַלע עלעמענטן טאָרן נישט אַרײַן אין דעם אי.יו. מאַרק מיט באַקאַנטע אויסניצבאַרע שוואַכקייטן
- פאַבריקאַנטן ימפּלאַמענטירן וואַלנעראַביליטי האַנדלינג און קליראַנס טויערן
- עקספּלויטאַציע אין פאַקטישע סביבות טראָגט מער וואָג ווי טעאָרעטישע שטרענגקייט
אלס רעזולטאט, טוישט זיך די פריאריטעט פון בעסטע פראקטיק צו לעגאלע פארפליכטונג.
דאָס איז פּונקט וואו עקספּלויט אינטעליגענץ ווערט וויכטיק.
סייבער ריזיליאַנס אקט
די סייבער ריזיליאַנס אקט איז א רעגולאציע פון דער אייראפעישער יוניאן וואס שטעלט פעסט פארפליכטעטע סייבער-זיכערהייט רעקווייערמענטס פאר פראדוקטן מיט דיגיטאלע עלעמענטן וואס ווערן פארקויפט אין דער אייראפעישער יוניאן.
אין פּשוטע ווערטער, עס פארלאנגט פון פאַבריקאַנטן צו דיזיינען, אַנטוויקלען און וישאַלטן ווייכווארג וואָס כּולל נישט באַקאַנטע עקספּלויטאַבל וואַלנעראַביליטיז אין דער צייט פון מעלדונג. דערצו, עס פאַרפליכטעט קאָמפּאַניעס צו מאָניטאָרירן וואַלנעראַביליטיז נאָך מעלדונג און מעלדן אַקטיוו עקספּלויטאַבל פּראָבלעמען אין שטרענגע צייט-ראַמען.
די רעגולאציע איז אריין אין קראַפט אין דעצעמבער 2024. אָבער, פולע דורכפירונג הייבט זיך אָן אין דעצעמבער 2027. אָנהייבנדיק אין 2026, מוזן פירמעס מעלדן אַקטיוו אויסגעניצטע שוואַכקייטן צו אי.יו. אויטאריטעטן אין 24 שעה נאָך דעם ווי זיי ווערן אַנטדעקט.
מיט אנדערע ווערטער, דער סייבער ריזיליענס אקט פארוואנדלט וואַלנעראַביליטי פאַרוואַלטונג פון אַ בעסטע פּראַקטיק אין אַ מאַרק-צוטריט פאָדערונג.
פארוואס KEVs זיצן אין צענטער פון CRA קאמפלייענס
די CISא באַקאַנטע אויסגעניצטע וואַלנעראַביליטיז קאַטאַלאָג ליסטירט CVEs וואָס אַטאַקערס נוצן שוין אויס אין דער ווילדער וועלט. דער קאַטאַלאָג נעמט אַוועק אַמביגיואַטי.
אנשטאט דעבאַטירן ריזיקע, קענען טימז זיך פארלאזן אויף וועריפיצירטע עקספּלויטאַציע דאַטן. דערפֿאַר ווערן KEVs דער שטאַרקסטער טריגער פֿאַר רעמעדיאַציע SLAs און מעלדונג בלאָקירונג.
די צוגאַנג פּאַסט נאַטירלעך מיט ריזיקאָ-באזירט וואַלנעראַביליטי פאַרוואַלטונג, ווייל עס פאָקוסירט מי דאָרט וואו דער עכטער שאָדן פּאַסירט.
CVSS, EPSS, און KEVs דינען פארשידענע צוועקן
עפעקטיווע פריאָריטיזאַציע פארלאנגט צו פֿאַרשטיין ווי סיגנאַלן אַנדערשן זיך.
- CVSS ווייזט פּאָטענציעלע ווירקונג
- אי.פּי.עס.עס. שאַצט די ליקעליהאָאָד פון עקספּלויטאַציע
- די CISא באַקאַנטע עקספּלויטירטע וואַלנעראַביליטיז קאַטאַלאָג באַשטעטיקט אַקטיווע עקספּלויטאַציע
גענוצט אליין, פירט יעדער סיגנאל אויף א פארפיר. גענוצט צוזאמען, געבן זיי קאנטעקסט. יענע קאמבינאציע פארמירט די יסודות פון מאדערנער ריזיקע-באזירטער שוואכקייט-פארוואלטונג.
ווי באַקאַנט-עקספּלויט אינטעליגענץ אַרבעט אין פּראַקסיס
א פּראַקטישער פּריאָריטיזאַציע מאָדעל פֿאָלגט אַ קלאָרער סעקווענץ:
- דעטעקטירן וואַלנעראַביליטיז אַריבער קאָד און דיפּענדאַנסיז
- גלייַכן רעזולטאַטן קעגן די CISא באַקאַנטע אויסגעניצטע וואַלנעראַביליטיז קאַטאַלאָג
- אָפּשאַצן די מעגלעכקייט פון עקספּלויט ניצן EPSS
- באַשטעטיקן דערגרייכבאַרקייט אין דער אַפּליקאַציע אָדער pipeline
- צולייגן רעמעדיאַציע כּללים באַזירט אויף ויסשטעלן און פּראָדוקט ראָלע
אלס רעזולטאט, הערן טימז אויף צו באהאנדלען וואַלנעראַביליטי ליסטעס ווי באַקלאָגס און אָנהייבן זיי צו באהאנדלען ווי דעcisייאַנז.
ווי מיר האָבן געבויט באַקאַנט-עקספּלויט אינטעליגענץ ביי Xygeni
מיר האָבן געבויט די פֿונקציע נאָכדעם וואָס מיר האָבן ריפּיטידלי געזען ווי טימז האָבן געפיקסט הויך-CVSS פּראָבלעמען בשעת באַקאַנטע אויסגעניצטע וואַלנעראַביליטיז האָבן דערגרייכט פּראָדוקציע. יענע דערפֿאַרונג האָט געפֿאָרעמט ווי מיר האָבן דיזיינט די סיסטעם.
מיט ווקסנומקס, Xygeni אינטעגרירט וועריפֿיצירטע עקספּלויט אינטעליגענץ גלייך אין די פּריאָריטיזאַציע מאָטאָר.
וואָס פּאַסירט אונטער דער קאַפּאָטע
- Xygeni נעמט כסדר אריין פארטרויטע עקספּלויט קאַטאַלאָגן ווי KEV און אַנדערע עפנטלעכע עקספּלויט קוועלער.
- יעדע וואַלנעראַביליטי באַקומט עקספּלויט-פּרעזענץ מעטאַדאַטאַ
- דער פּריאָריטיזאַציע טריכטער קאָמבינירט:
- באַקאַנטער עקספּלויט סטאַטוס
- EPSS וואַרשיינלעכקייט
- דערגרייכבאַרקייט קאָנטעקסט
- קאָד און דעפּענדענסי ויסשטעל
די פּלאַטפאָרמע רעכנט אַ קאָמפּאָזיט פאַקטיש-וועלט ריזיקירן כעזשבן
אנשטאט צו פארטרעטן עקזיסטירנדע סיגנאלן, פארבעסערט דאס מאדעל זיי.
דעטעקציע → עקספּלויט גלייַכן → דערגרייכבאַרקייט → פאַרריכטן
דיזער שטראָם טרייבט יעדן דעcisיאָן:
דעוועלאָפּערס זען עקספּלויט קאָנטעקסט גלייך אין pull requests. Pipelineס בלאָק פֿאַראייניקט זיך נאָר ווען דערגרייכבאַרער קאָד כולל באַקאַנטע אויסגעניצטע שוואַכקייטן. אויטאָמאַטישע רעמעדיאַציע פֿאָרשלאָגט זיכערע אַפּגרעידס גלייך.
קיין זיצונגען. קיין שאַצונגען. קיין פּאַניק פּאַטשאַז.
פארוואס דאָס איז וויכטיק ווייטער ווי קאָנפאָרמאַנס
כאָטש דער סייבער ריזיליענס אקט האט אויסגערופן דעם ענדערונג, גייען די בענעפיטן ווייטער.
טימז וואָס שטעלן פּריאָריטעט צו ניצן עקספּלויט אינטעליגענץ:
- רעדוצירן אַלערט מידקייט
- פֿאַרקירצן די צייט פֿאַר רעמעדיאַציע
- פֿאַרמייַדן נויטפֿאַל פּאַטש ציקלען
- שיקט זיכערער ווייכווארג מיט בטחון
קאָנפאָרמאַנס ווערט אַ זייַט-עפֿעקט פֿון טאָן זיכערהייט ריכטיק.
לעצטע געדאנקען: CRA מאכט ריזיקאָ-באזירט פאַרוואַלטונג פארלאנגט
דער סייבער-רעזיליענס אקט פארמאליזירט וואס ערפארענע טימס האבן שוין געלערנט. נישט אלע שוואכקייטן זענען גלייך וויכטיג.
די CISא באַקאַנטע אויסגעניצטע וואַלנעראַביליטיז קאַטאַלאָג ווייזט וואָס אַטאַקירער נוצן הייַנט. קאָנטעקסט און דערגרייכבאַרקייט ווייַזן צי עס אַפעקטירט איר. צוזאַמען, זיי דעפינירן מאָדערן ריזיקאָ-באזירט וואַלנעראַביליטי פאַרוואַלטונג.
Xygeni ווענדט דעם מאָדעל אָן קאָנטינויִערלעך, אויטאָמאַטיש, און וואו דעוועלאָפּערס אַרבעטן שוין.
וועגן די מחבר
געשריבן דורך פאַטימאַ Said, אינהאַלט מאַרקעטינג מאַנאַדזשער ספּעציאַליזירט אין אַפּליקאַציע זיכערהייט ביי Xygeni סעקוריטי. זי שאַפט דעוועלאָפּער-פאָקוסירט, פאָרשונג-געטריבן אינהאַלט אויף AppSec, ASPM, און DevSecOps, איבערזעצן רעאל-וועלט זיכערהייט שוועריקייטן אין קלארע, אויספירבארע אנווייזונגען.
