ריזיקע-באזירטע וואַלנעראַביליטי פּריאָריטיזאַציע איז ראַנגירן זיכערהייט געפינסן לויט דעם ריזיקע וואָס זיי טאַקע שטעלן פאר אייער אַפּלאַקיישאַן, אלא ווי לויט דעם ערנסטקייט כעזשבן וואָס איז אַטאַטשט צו זיי. די אונטערשיידונג איז וויכטיק ווייל ערנסטקייט איז אַן אייגנשאַפט פון דער וואַלנעראַביליטי אין אַבסטראַקט, בשעת ריזיקע איז אַן אייגנשאַפט פון דער וואַלנעראַביליטי אין אייער קאָד: צי די וואַלנעראַבאַל פונקציע ווערט אלץ גערופן, צי עמעצער נוצט עס אויס אין דער ווילדער וועלט, ווי אויסגעשטעלט דער אַפעקטירטער סערוויס איז, און ווי שווער די פארריכטונג וואָלט זיין. א CVSS 9.8 אין אַ דעפּענדענסי וואָס אייער אַפּלאַקיישאַן רופט קיינמאָל נישט אָן איז אַ נידעריקערע פּריאָריטעט ווי אַ 6.1 אויף אַן אינטערנעט-פייסינג ענדפּוינט מיט אַ עפנטלעך עקספּלויט. ערנסטקייט קען אייך דאָס נישט זאָגן. ריזיקע-באזירטע פּריאָריטיזאַציע איז דער סכום סיגנאַלן וואָס קענען.
וואָס איז ריזיקאָ-באַזירטע וואַלנעראַביליטי פּריאָריטיזאַציע? אַן אַרבעט דעפֿיניציע #
יעדער סקאַנער וואָס איר לויפט פּראָדוצירט מער געפינסן ווי אייער מאַנשאַפֿט קען פאַרריכטן. דאָס איז נישט קיין טולינג דורכפאַל, דאָס איז אַריטמעטיק: די קאַווערידזש גייט אַרויף יעדעס יאָר, די צאָל אַרבעטער נישט. די קשיא האָט אויפגעהערט צו זיין "וואָס האָבן מיר געפֿונען" שוין לאַנג. דאָס איז "וואָס טוען מיר מאָנטיק".
שטרענגקייט-באזירט טריאזש ענטפערט דאס שלעכט. עס סארטירט לויט א נומער אויסגערעכנט אן קיין וויסן פון אייער סיסטעם, וואס מיינט אז עס שטעלט א טעארעטישע קאטאסטראפע העכער א פראקטישע. טימס לערנען דאס שנעל און רעאגירן דורך איגנארירן די ליסטע, וואס איז דער ערגסטער מעגליכער רעזולטאט ווייל די דריי געפינסן וואס זענען געווען וויכטיג זענען געווען דערין.
אַזוי די אַרבעט דעפֿיניציע: ריזיקע-באזירטע וואַלנעראַביליטי פּריאָריטיזאַציע איז די פּראַקטיק פון אָרדערן געפינסן ניצן קאָנטעקסטואַלע סיגנאַלן וועגן עקספּלויטאַביליטי, דערגרייכבאַרקייט, ויסשטעלן און רעמעדיאַציע קאָסטן, אַזוי אַז די שפּיץ פון די ריי שפּיגלט אָפּ וואָס אַן אַטאַקער קען טאַקע טאָן צו דעם סיסטעם אלא ווי וואָס אַ סקאָרינג גוף האָט געאורטיילט מעגלעך אין אַלגעמיין.
די פארשיבונג איז פון אן אייגנשאפט פון דער שוואכקייט צו אן אייגנשאפט פון דער שוואכקייט פלוס אייער אפליקאציע. די זעלבע CVE, אנדערע פריאריטעט, דעפענדינג אויף וואו עס געפינט זיך.
ריזיקע-באזירטע וואַלנעראַביליטי פּרייאָראַטיזאַציע באַדייטונג, אין פיר סיגנאַלן #
דער קלארסטער וועג אריין אין דער ריזיקע-באזירטער וואַלנעראַביליטי פּריאָריטיזאַציע באַדייטונג איז צו קוקן אויף וואָס ווערט צוגעגעבן צו שטרענגקייט, ווייַל שטרענגקייט אַליין פאַרשווינדט נישט. עס ווערט איין אַרייַנשרייַב צווישן עטלעכע.
- רעאַטשאַביליטי. ווערט די שוואכע פונקציע טאקע גערופן פון אייער קאוד? א שוואכע פעקל איז נישט קיין שוואכע אפליקאציע. ריטשאַביליטי אנאליז טרעקט דעם רוף וועג און ווייזט עס, וואס פארוואנדלט "מיר האבן 400 קריטישע אפהענגיקייט געפינסן" אין א פיל קירצערע ליסטע פון די וואס עקסעקוטירן.
- עקספּלאָיטאַביליטי. נוצט איינער דאָס אויס אין דער פאַקטישער וועלט? אי.פּי.עס.עס. שאַצט די וואַרשיינלעכקייט פון עקספּלויטאַציע אין די קומענדיקע 30 טעג, די CISא באַקאַנטע אויסגעניצטע וואַלנעראַביליטיז קאַטאַלאָג רעקאָרדירט וואָס ווערט שוין גענוצט אין דער ווילדער וועלט, און די עפנטלעכע עקספּלויט אַוויילאַביליטי זאָגט אײַך וויפֿל אַרבעט אַן אַטאַקירער וואָלט געדאַרפֿט טאָן. דאָס איז די אַטאַקירערס מיינונג, און זיי רירן זיך טעגלעך בשעת אַ CVSS די כעזשבן בלייבט פאַרפעסטיקט פֿון דעם טאָג וואָס עס איז געגעבן געוואָרן.
- געשעפט קאנטעקסט. ווי אויסגעשטעלט איז דער באַטראָפענער אַסעט, און וואָס טוט עס? אַן אינטערנעט-פייסינג צאָלונג סערוויס און אַן אינערלעכער באַריכט געצייַג מיט די זעלבע געפינס טראָגן נישט די זעלבע ריזיקע, און נאָר אייער אָרגאַניזאַציע ווייסט וועלכע איז וועלכע.
- רעמעדיאַציע קאָסטן. ווי שווער איז די פארריכטונג, און וואס גייט נישט גוט אויב מען לייגט עס צו? א קליינע פאטש בום און א גרויסע ווערסיע אפגרעיד וואס גייט נישט גוט צו די קאמפילאציע זענען אנדערש.cisיאָנען, און אַ פּריאָריטעט וואָס איגנאָרירט מי פּראָדוצירט אַ ריי אַרום וועלכער קיינער קען נישט פּלאַנירן אַ שפּרינט.
צוזאַמען, די ריזיקאָ-באַזירטע וואַלנעראַביליטי פּריאָריטיזאַציע מיינט אַז רובֿ טימז קומען צוזאַמען אויף: הער אויף צו פרעגן ווי שלעכט דאָס קען זיין, הייב אן פרעגן ווי שלעכט דאָס איז דאָ, און וויפיל עס קאָסט עס צו ענדיגן.
שטרענגקייט-באזירט קעגן ריזיקע-באזירט: וואָס ענדערונגען #
ערנסטקייט פארשווינדט נישט אין א ריזיקע-באזירטן מאָדעל. עס ווערט איין אינפוט צווישן עטלעכע, און די אנדערע אינפוטס זענען די וואס ווייסן עפּעס וועגן אייער אַפּליקאַציע.
| ויסמעסטונג | שטרענגקייט-באזירט | ריזיקירן-באזירט |
|---|---|---|
| ערשטיק סיגנאַל | CVSS כעזשבן | דערגרייכבארקייט, אויסניצבארקייט, אויסשטעלונג, פאררעכטן קאסטן |
| פרעגן עס ענטפֿערס | ווי ערנסט איז די דאזיגע שוואַכקייט בכלל? | וואָס קען אַן אַטאַקער טאָן צו דעם סיסטעם? |
| קאָנטעקסט געניצט | גאָרניט | דיין קאָד, דיין דיפּלוימאַנט, דיין געשעפט |
| טיפּיש רעזולטאַט | א לאַנגע ליסטע סאָרטירט לויט נומער | א קורצע ליסטע סאָרטירט לויט קאָנסעקווענץ |
| ווירקונג אויף דעוועלאָפּערס | ווארענונג מידקייט, ליסטע איגנארירט | ווייניקער בילעטן, יעדער איינער גערעכטפארטיקט |
| וואָס עס פעלט | צי דער קאָד ווערט בכלל אויסגעפירט | גאָרנישט, אויב די סיגנאַלן זענען ריכטיק פֿאַרבונדן |
דער פּראַקטישער אונטערשייד ווייזט זיך אין דער שמועס צווישן זיכערהייט און אינזשעניריע. א ערנסטקייט-געסארטירטער טיקעט זאגט "דאָס איז קריטיש, פארריכט עס". א ריזיקאָ-געסארטירטער זאגט "דאָס איז דערגרייכלעך פון דיין טשעק-אויט קאנטראלער, עס איז דא א פובליק עקספלויט, און די פארריכטונג איז א פּעטש באַמפּ". נאָר איינער פון די ווערט באַהאַנדלט אָן אַן אַרגומענט.
דאָס איז איצט די אפיציעלע שטעלונג, נישט נאָר גוטע פּראַקטיק #
ריזיקע-באזירטע וואַלנעראַביליטי פּריאָריטיזאַציע פלעגט זיין די סאָפיסטיקירטע אָלטערנאַטיוו צו פּאַטשן לויט ערנסטקייט. עס ווערט די באַזע.
ססווק, אנטוויקלט דורך קארנעגי מעלאן'ס ווייכווארג אינזשעניריע אינסטיטוט און אנגענומען דורך CISא, ערזעצט די סקאָר מיט אַ דעcisיאָן בוים וואָס גיט ארויס אַן אַקציע אַנשטאָט אַ נומער, באַזירט אויף עקספּלויטיישאַן סטאַטוס, אָטאַמאַטאַביליטי, טעכנישער השפּעה און מיסיע פּרעוואַלאַנס. און אין יוני 2026 CISא ארויסגעגעבן ביינדינג אַפּעריישאַנאַל דירעקטיוו 26-04, וואס איבערנעמט BOD 22-01, וואס גיט די פעדעראלע אגענטורן די מעגלעכקייט צו פריאריטיזירן אפדעיטס ניצנדיג אסעט עקספאוזשער, KEV סטאטוס, עקספלויט אויטאמאציע און טעכנישע אימפאקט אנשטאט אליין ערנסטקייט.
דער סיגנאַל פֿאַר אַלעמען אַנדערש איז גאַנץ קלאָר. די אַגענטור וואָס האַלט דעם אויטאָריטעטיוון קאַטאַלאָג פֿון אויסגעניצטע שוואַכקייטן זאָגט מער נישט אירע אייגענע אַגענטורן צו סאָרטירן לויט CVSS. אויב איר טוט דאָס נאָך אַלץ, ניצט איר אַ מעטאָד וואָס אירע אייגענע היטער האָבן שוין פֿאַרבייגעגאַנגען.
ווי אַרבעט אַ פּרייאָראַטיזאַציע טריכטער? #
סיגנאַלן אַליין שטעלן נישט קיין פּריאָריטעט אויף גאָרנישט. זיי מוזן זיין קייטן, אַזוי אַז יעדער איינער זאָל פֿאַרענגערן וואָס דער נעקסטער דאַרף באַטראַכטן. יענע קייט איז וואָס קסיגעני רופט אַ פּרייאָריטיזאַציע טריכטער.
א טריכטער לויפט די געפינסן דורך ביז אכט געארדענטע שטאפלען. די פאראויס-קאנפיגורירטע זענען דערגרייכבארקייט, אויסניצבארקייט, פארראכטן, קינסטלעכע אינטעליגענץ טריאזש רעזולטאט און פאררעכטן דרינגלעכקייט, און איר קענט צולייגן אייערע אייגענע אייגנשאפטן ווי ביזנעס קריטישקייט אדער אויסשטעלונג. גרייטע טריכטער דעקן יעדע ריזיקע פאמיליע, און איר קענט פילטערן יעדע טאבעלע לויט טריכטער פאזע צו זען וואס האט איבערגעלעבט יעדע שטאפלען. א ריי פון עטליכע הונדערט געפינסן ווערט שמאלער צו די האנטפול וואס זענען רעאל, דערגרייכבאר, אויסניצבאר און ווערט דעם שפרינט.
צוויי פון די שטאפלען קומען פון קינסטלעכע אינטעליגענץ טריאַזשפֿאַר געפינסן אין אייער אייגענעם קאָד, לייענט AI Triage דעם געפינסן אין קאָנטעקסט, דעם קאָד פֿלוס פֿאַר סטאַטישע אַנאַליז אָדער די HTTP באַווײַז פֿאַר DAST, און גיט צוריק אַ ווערדיקט פון אמת פּאָזיטיוו, פאַלש פּאָזיטיוו אָדער דאַרף איבערבליק, פּלוס אַ רעמעדיאַציע דרינגלעכקייט פֿון באַלדיק צו באַקלאָג און אַ פֿיקס קאָמפּלעקסיטי פֿון גרינג צו שווער. יעדער קומט מיט די סיבה הינטער אים, יעדער רעזולטאַט איז באַצייכנט ווי AI-גענערירט, און אייער מאַנשאַפֿט קען אָווועררייד יעדן ווערדיקט. פֿאַר אָפֿן-מקור געפינסן איז דער פּלאַן באַוואוסטזיניק אַנדערש: עס איז קיין AI ווערדיקט, ווייַל ריטשאַביליטי טוט די ארבעט בעסער. קינסטלעכע אינטעליגענץ טריאַזש ביישטייערט אנשטאט דרינגלעכקייט און קאָמפּלעקסיטעט.
דער טייל וואָס איז וויכטיקסט פֿאַר טימז מיט אַן עקזיסטירנדיקן סטעק: די זעלבע פֿאַנעלס און די זעלבע טריאַזש גילטן פֿאַר געפינסן וואָס ווערן אײַנגענעמען פֿון אַנדערע סקאַנערס, נישט נאָר פֿאַר Xygeni'ס אייגענע. געפינסן פֿון 40 אָדער מער מכשירים און פֿאָרמאַטן, אַרײַנגערעכנט יעדע SARIF רעזולטאַט, ווערן דעדופּליקירט און ראַנגקט אין דער זעלבער ריי. אײַערע איצטיקע מכשירים לויפֿן ווײַטער. די פּריאָריטיזאַציע הערט אויף צו זײַן פּער-מכשיר.
דער מעסטבארער עפעקט, אין די ווערטער פון קאסטומערס וואס האבן עס געטוןארום 90% ווייניקער צייט צו אידענטיפיצירן, פּריאָריטיזירן און צוטיילן זיכערהייט געפינסן ביי באַנקאָ סערפינאַנזאַ, אַריבער מער ווי 100 רעפּאָזיטאָריעס אונטער קעסיידערדיק אַנאַליז, און אַ 90% רעדוקציע אין וואַלנעראַביליטי פּריאָריטיזאַציע צייט ביי פינטאָניק.
ספר אַ דעמאָ און ברענג דיין אייגענעם צוריקבלאג.
אָפֿט געשטעלטע פֿראַגעס: ריזיקאָ-באַזירטע וואַלנעראַביליטי פּריאָריטיזאַציע, אין קורצע ענטפֿערס #
סאָרטירן זיכערהייט געפינסן לויט וואָס אַן אַטאַקירער קען טאַקע טאָן צו דיין סיסטעם, אַנשטאָט לויט די ערנסטקייט כעזשבן אַטאַטשט צו די וואַלנעראַביליטי. די זעלבע CVE קען זיין דרינגלעך אין איין אַפּלאַקיישאַן און נישט באַטייַטיק אין אַן אַנדערער, און ריזיקאָ-באַזירט פּרייאָראַטיזאַציע איז וואָס אונטערשיידט די צוויי.
ניין, עס איז נישט פולשטענדיג. CVSS באשרייבט די שוואכקייט; עס איז קיינמאל נישט געווען דיזיינט צו באשרייבן אייער אויסשטעל דערצו. ריזיקע-באזירטע פריאריטיזאציע האלט די ערנסטקייט אלס איין סיגנאל און לייגט צו די וואס הענגען אפ פון אייער סביבה: צי דער קאוד איז דערגרייכבאר, צי עס פאסירט אויסניצן, ווי אויסגעשטעלט דער פארמעגן איז, און וואס די פארריכטונג קאסט.
צי די שוואַכע פונקציע אין אַ דעפּענדענסי ווערט טאַקע גערופן דורך אייער אַפּליקאַציע. אויב נישט, איז דער געפינס רעאַל אָבער נישט אויסניצלעך דורך אייער קאָד, אַזוי עס פאַלט אַראָפּ אין דער ריי אַנשטאָט צו פֿאַרשווינדן. דאָס איז דער איינציקער העכסט-לעווערידזש פילטער אויף אָפֿן-קוואַל געפינס, ווייַל רובֿ דעפּענדענסי שוואַכקייטן ליגן אין קאָד וואָס ווערט קיינמאָל נישט גערופן.
עס זאָל, און דאָס איז דער טעסט וואָס איז ווערט צו נוצן אויף יעדער פּלאַטפאָרמע וואָס באַהויפּטעט צו טאָן דאָס. פּריאָריטיזאַציע וואָס ראַנגקט נאָר אירע אייגענע רעזולטאַטן לאָזט אײַך מיט איין ראַנגקטע ריי און עטלעכע נישט-ראַנגקטע, וואָס איז נישט קיין פּריאָריטיזאַציע. Xygeni נוצט די זעלבע טריכטערס און די זעלבע AI טריאַזש אויף איינגענומענע רעזולטאַטן פון אַנדערע מכשירים.
נישט די צאָל אָפֿענע קריטישע פֿראַגעס. מעסט די צייט פֿון אַ געפֿינס וואָס ווערט אויפֿגעהויבן ביז עס דערגרייכט אַ דעוועלאָפּער וואָס קען האַנדלען דערויף, די פּראָפּאָרציע פֿון צוגעטיילטע געפֿינסן וואָס ווערן פֿאַרריכטעט אַנשטאָט אָפּגעשטעלט, און וויפֿל טיקעטן דעוועלאָפּערס שטופּן צוריק. ריזיקאָ-באַזירטע פּריאָריטיזאַציע אַרבעט ווען דער אָפּשטויס שטעלט זיך אָפּ.
