Àwọn ẹgbẹ́ ààbò kìí sábà máa ń kùnà nítorí wọn kò ní ìwífún. Lọ́pọ̀ ìgbà, wọ́n máa ń kùnà nítorí wọ́n kọ́kọ́ yanjú àwọn ìṣòro tí kò tọ́. Ìdí nìyẹn gan-an tí ìmọ̀ ìjìnlẹ̀ Known-Exploit, ìṣàkóso àìlera tí ó dá lórí ewu, Òfin Ìdènà Ìkọlù lórí Íńtánẹ́ẹ̀tì, àti CISÌwé Àkójọ Àwọn Ìpalára Tí A Mọ̀ Tí A Lò Lórí Àkókò Wàyí ti ń para pọ̀ nínú àwọn iṣẹ́ AppSec òde òní.
Ní gbogbo ọ̀sẹ̀, àwọn onímọ̀ ẹ̀rọ amóhùnmáwòrán máa ń ròyìn ọgọ́rọ̀ọ̀rún àwọn ìṣòro. Síbẹ̀síbẹ̀, àwọn olùkọlù máa ń lo díẹ̀ lára wọn. Nítorí náà, àwọn ẹgbẹ́ tí wọ́n ń fi àkókò wọn sí ipò àkọ́kọ́ láìlo àǹfààní ibi tí ó wà, nígbà tí àwọn ewu gidi bá ń yọjú. Ìmọ̀ ẹ̀rọ Kọ́n-Ìlò-Lílóye máa ń pa àlàfo yẹn nípa wíwo àwọn ìṣòro tí àwọn olùkọlù ń lò ní gidi, kì í ṣe àwọn tí ó dàbí ẹni pé wọ́n le koko lórí ìwé nìkan.
Ohun tí a mọ̀—Lo ọgbọ́n ní lílo
Ọgbọ́n ìlòkulò tí a mọ̀ mọ́ àwọn tí wọ́n ń gbógun ti ń lo agbára wọn ní àyíká gidi. Ní ọ̀rọ̀ mìíràn, ó ya ewu ìwádìí kúrò lára ìwà ìkọlù tí a ti fìdí rẹ̀ múlẹ̀.
Dípò kí a béèrè bóyá a ní ìṣòro kan le ni a le lo nilokulo, awọn ẹgbẹ le beere nikẹhin:
Ṣé wọ́n ti ń lo èyí tẹ́lẹ̀, ṣé ó sì ní ipa lórí ọjà mi?
Iyatọ yẹn ṣe pataki ni iṣiṣẹ ati, ni afikun, ni ofin.
Ìdí Tí Ìṣàájú Àtijọ́ Fi Ń Pọ̀ Sílẹ̀
Ọpọlọpọ awọn ẹgbẹ tun gbẹkẹle awọn ifihan agbara aiduro lati ṣe pataki fun ewu.
Ni igbagbogbo, wọn ṣe atunto awọn ailagbara nipasẹ:
- Ìwọ̀n CVSS tí ó le koko
- Ìgbẹ́kẹ̀lé ẹ̀rọ ìṣàyẹ̀wò
- Gbajumo awọn package
Bó tilẹ̀ jẹ́ pé àwọn àmì wọ̀nyí ń dín ariwo kù, wọ́n máa ń pàdánù ohun pàtàkì kan: ìwà àwọn akọ̀lù. Nítorí náà, àwọn ẹgbẹ́ sábà máa ń sáré láti yanjú àwọn ìṣòro líle koko tí a kò lè lò nígbà tí wọ́n sì máa ń pàdánù àwọn àléébù kékeré tí àwọn akọ̀lù ń fojú sí.
Ààlà yìí ṣàlàyé ìdí tí ìforúkọsílẹ̀ àìdúróṣinṣin kò fi ń gùn mọ́.
Ìdí Tí Òfin Ìdènà Àìní-Ìmọ́-ayélujára Ṣe Yí Àwọn Òfin Padà
labẹ awọn Cyber Resilience Ìṣirò, fifiranṣẹ́ sọ́fítíwè tí a mọ̀ pé ó lè jẹ́ àléébù tí a lè lò di ọ̀ràn ìgbọ́ràn, kìí ṣe ọ̀ràn ààbò nìkan.
Ofin naa nilo pe:
- Àwọn ọjà tí ó ní àwọn èròjà oní-nọ́ńbà kò gbọdọ̀ wọ ọjà EU pẹ̀lú àwọn àìlera tí a mọ̀ tí a lè lo.
- Àwọn olùṣelọpọ ṣe àgbékalẹ̀ ìtọ́jú àìlera àti àwọn ẹnu ọ̀nà ìparẹ́
- Ìlòkulò ní àyíká gidi gbé ẹrù ju bí ìmọ̀ ṣe le tó lọ
Nítorí náà, ìforúkọsílẹ̀ yípadà láti iṣẹ́ tó dára jùlọ sí iṣẹ́ òfin.
Ibí gan-an ni ọgbọ́n ìlòkulò ṣe pàtàkì.
Cyber Resilience Ìṣirò
awọn Cyber Resilience Ìṣirò jẹ́ ìlànà European Union tí ó gbé àwọn ìbéèrè ààbò ààbò kalẹ̀ fún àwọn ọjà tí ó ní àwọn èròjà oní-nọ́ńbà tí a tà ní EU.
Ní ṣókí, ó nílò àwọn olùpèsè láti ṣe àgbékalẹ̀, ṣe àgbékalẹ̀, àti ṣe àbójútó sọ́fítíwè tí kò ní àwọn àìlera tí a mọ̀ nígbà tí a bá tú u sílẹ̀. Jù bẹ́ẹ̀ lọ, ó fipá mú àwọn ilé-iṣẹ́ láti máa ṣe àbójútó àwọn àìlera lẹ́yìn tí a bá tú u sílẹ̀ kí wọ́n sì máa ròyìn àwọn ọ̀ràn tí a ti lò pẹ̀lú agbára láàrín àkókò tí ó yẹ.
Òfin náà bẹ̀rẹ̀ sí í ṣiṣẹ́ ní oṣù Kejìlá ọdún 2024. Síbẹ̀síbẹ̀, ìfìdí múlẹ̀ pátápátá bẹ̀rẹ̀ ní oṣù Kejìlá ọdún 2027. Bẹ̀rẹ̀ láti ọdún 2026, àwọn ilé-iṣẹ́ gbọ́dọ̀ fi ìròyìn àwọn àìlera tí wọ́n ti lò fún àwọn aláṣẹ EU hàn láàrín wákàtí mẹ́rìnlélógún lẹ́yìn tí wọ́n bá ti ṣàwárí rẹ̀.
Ní ọ̀rọ̀ mìíràn, Òfin Ìdènà Àìlera Íńtánẹ́ẹ̀tì yí ìṣàkóso àìlera padà láti ibi tí ó dára jùlọ sí ohun tí a nílò láti wọ̀lé sí ọjà.
Idi ti awọn KEVs fi joko ni aarin ti ibamu CRA
awọn CISÀkójọ Àwọn Ìpalára Tí A Mọ̀ Nípa Lílo ṣe àkójọ àwọn CVE tí àwọn olùkọlù ti ń lò tẹ́lẹ̀ ní ìgbẹ́. Àkójọ ìwé yìí mú àìdájú kúrò.
Dípò kí àwọn ẹgbẹ́ máa jiyàn lórí ewu, wọ́n lè gbẹ́kẹ̀lé ìwádìí ìlòkulò tí a ti fìdí rẹ̀ múlẹ̀. Nítorí náà, àwọn KEV di ohun tó lágbára jùlọ fún àtúnṣe SLAs àti ìdènà ìtúsílẹ̀.
Ọ̀nà yìí bá ara mu pẹ̀lú ìṣàkóso àìlera tí ó dá lórí ewu, nítorí pé ó darí ìsapá níbi tí ìbàjẹ́ gidi bá ti ṣẹlẹ̀.
CVSS, EPSS, àti KEVs ṣiṣẹ́ fún ète ọ̀tọ̀ọ̀tọ̀
Ṣíṣe àfiyèsí tó gbéṣẹ́ nílò òye bí àwọn àmì ṣe yàtọ̀ síra.
- CVSS fihan ipa ti o ṣeeṣe
- EPS ṣe àkíyèsí pé ó ṣeéṣe kí a lo agbára náà
- awọn CISÌwé Àkójọ Àwọn Ìpalára Tí A Mọ̀ Nípa Ìlòkulò jẹ́rìí sí ìlòkulò tí ń lọ lọ́wọ́
Lílo àmì kọ̀ọ̀kan nìkan ni a máa ń ṣì lọ́nà. Lílo wọn papọ̀, wọ́n máa ń mú kí ọ̀rọ̀ náà yéni. Ìdàpọ̀ yẹn ló jẹ́ ìpìlẹ̀ ìṣàkóso ewu òde òní.
Báwo ni Ọgbọ́n Ìlò-Ìlò-Ọgbọ́n-Ṣíṣe-Ṣíṣiṣẹ́ ní Ìṣe
Àpẹẹrẹ ìṣàfilọ́lẹ̀ tó wúlò máa ń tẹ̀lé ìlànà tó ṣe kedere:
- Ṣawari awọn ailera kọja koodu ati awọn igbẹkẹle
- Àwọn àbájáde ìbáramu sí àwọn CISÀkójọ Àwọn Ìpalára Tí A Mọ̀ Nípa Lílo
- Ṣe ayẹwo iṣeeṣe lilo lilo nipa lilo EPSS
- Ṣe àyẹ̀wò bóyá a lè dé ibi tí a fẹ́ dé nínú ohun èlò náà tàbí pipeline
- Lo awọn ofin atunṣe ti o da lori ifihan ati ipa ọja
Nítorí náà, àwọn ẹgbẹ́ náà dẹ́kun lílo àwọn àkójọ àwọn aláìlera gẹ́gẹ́ bí àkójọpọ̀ tí ó wà ní ipò àìlera, wọ́n sì bẹ̀rẹ̀ sí í tọ́jú wọn gẹ́gẹ́ bí àkójọpọ̀ tí kò dára.cisawọn ions.
Báwo la ṣe kọ́ ìmọ̀ ọgbọ́n tí a mọ̀ nípa lílo ní Xygeni
A ṣe ẹ̀rọ yìí lẹ́yìn tí a ti rí àwọn ẹgbẹ́ tí wọ́n ń ṣe àtúnṣe àwọn ìṣòro CVSS gíga nígbà tí àwọn àìlera tí a mọ̀ tí a ti lò dé ìṣẹ̀dá. Ìrírí yẹn ló yí bí a ṣe ṣe ẹ̀rọ náà padà.
pẹlu v5.36, Xygeni ṣepọ ọgbọn exploit ti a fihan taara sinu ẹrọ prioritization.
Ohun ti o ṣẹlẹ labẹ hood
- Xygeni n gba awọn iwe-akọọlẹ ilokulo ti a gbẹkẹle nigbagbogbo gẹgẹbi KEV ati awọn orisun ilokulo gbogbogbo miiran
- Àìlera kọ̀ọ̀kan gba metadata wíwà lóòrèkóòrè
- Àwòrán ìṣàájú náà parapọ̀:
- Ipò ìlòkulò tí a mọ̀
- Iṣeeṣe EPSS
- Àlàyé bí a ṣe lè dé ọ̀dọ̀
- Ìfihàn Kóòdù àti ìgbẹ́kẹ̀lé
Pẹpẹ náà ṣírò àmì ewu gidi kan
Dípò kí wọ́n fi àwọn àmì tó wà tẹ́lẹ̀ rọ́pò wọn, àwòṣe yìí tún wọn ṣe.
Ṣíṣàwárí → Ìbáramu Lílo → Àǹfààní láti Rí → Ṣíṣe àtúnṣe
Ìṣàn yìí ń lọ sí gbogbo àwọncision:
Àwọn olùgbékalẹ̀ rí àyíká ìlòkulò ní tààrà nínú pull requests. PipelineÀkọsílẹ̀ s máa ń para pọ̀ nígbà tí kódì tí a lè dé bá ní àwọn àìlera tí a mọ̀ tí a ti lò. Àtúnṣe aládàáṣe dámọ̀ràn àwọn àtúnṣe ààbò lẹ́sẹ̀kẹsẹ̀.
Kò sí ìpàdé. Kò sí àbájáde. Kò sí ìpayà.
Ìdí Tí Èyí Fi Ṣe Pàtàkì Ju Ìbámu Lò
Bó tilẹ̀ jẹ́ pé Òfin Ìdènà Àìsíní-ayélujára ló fa ìyípadà yìí, àwọn àǹfààní náà tún pọ̀ sí i.
Àwọn ẹgbẹ́ tí wọ́n ń lo ọgbọ́n ìlòkulò ní pàtàkì:
- Din rirẹ gbigbọn ku
- Kúrú àkókò àtúnṣe
- Yẹra fun awọn iyipo alemo pajawiri
- Fi sọ́fítíwà tó ní ààbò ránṣẹ́ pẹ̀lú ìgbẹ́kẹ̀lé
Ìbámu pẹ̀lú òfin di àbájáde ẹ̀gbẹ́ ti ṣíṣe ààbò ní ọ̀nà tó tọ́.
Àwọn Èrò Ìkẹyìn: CRA Jẹ́ Kí Ìṣàkóso Tí Ó Dá lórí Ewu Jẹ́ Pàtàkì
Òfin Ìdènà Àìní-ẹ̀rọ-ayélujára (Cyber Resilience Act) sọ ohun tí àwọn ẹgbẹ́ tó ní ìrírí ti kọ́ tẹ́lẹ̀ di mímọ̀. Kìí ṣe gbogbo àwọn àìlera ló ṣe pàtàkì bákan náà.
awọn CISÌwé Àkójọ Àwọn Ìpalára Tí A Mọ̀ Nípa Ìlòkulò fi ohun tí àwọn olùkọlù ń lò lónìí hàn. Àyíká ọ̀rọ̀ àti bí a ṣe lè dé ọ̀dọ̀ rẹ fi hàn bóyá ó kàn ọ́. Papọ̀, wọ́n túmọ̀ òde òní sí ìtumọ̀ rẹ̀. ìṣàkóso àìlera tí ó dá lórí ewu.
Xygeni lo awoṣe yii nigbagbogbo, laifọwọyi, ati nibiti awọn olupilẹṣẹ ti n ṣiṣẹ tẹlẹ.
Nipa awọn Author
kọ nipa Fatima Said, Olùdarí Títà Àkóónú tí ó jẹ́ ògbóǹtarìgì nínú Ààbò Ohun èlò ní Xygeni Security. Ó ṣẹ̀dá àkóónú tí ó dá lórí àwọn olùgbékalẹ̀, tí ó darí ìwádìí lórí AppSec, ASPM, àti DevSecOps, tí wọ́n ń túmọ̀ àwọn ìpèníjà ààbò ayé gidi sí ìtọ́sọ́nà tó ṣe kedere, tó sì ṣeé gbéṣe.
