المكاسب:
- القدرة على تحديد الأولويات بدقة من خلال الجمع بين CVSS (الشدة)، وEPSS (احتمالية سوء الاستخدام) وKEV (سوء المعاملة الفعلي) مع السياق المؤسسي (التعرض، والحرجية، والتحكم التعويضي).
- القدرة على التحقق من أرقام ونتائج CVE التي يمكن للذكاء الاصطناعي إنشاؤها في مصادر NVD/EPSS/KEV وتمرير خطة التصحيح من خلال بوابة إدارة التغيير
- افهم أن ارتفاع CVSS وحده لا يعني الأولوية، ولكن يتم تحديد هذا الخطر الحقيقي حسب السياق.
هناك الآلاف من نقاط الضعف في كل مؤسسة: ثغرة أمنية في أحد البرامج، أو تكوين خاطئ، أو مكون قديم يمكن للمهاجم استغلاله. أداة فحص الثغرات الأمنية - وهي أداة تقوم بمسح الأنظمة وسرد نقاط الضعف المعروفة - تنتج بسهولة ما بين 10000 إلى 50000 نتيجة في مؤسسة متوسطة الحجم. المشكلة ليست في العثور عليهم؛ في هذه الكومة حيث من المستحيل إغلاقها جميعًا في نفس الوقت، من المهم أن تقرر أي منها يجب تصحيحه أولاً. إن التحديد الخاطئ للأولويات يسبب الضرر بطريقتين: إما تأخير ما هو خطير حقًا، أو إرهاق الفريق واستمرارية العمل بسبب آلاف النتائج غير المهمة.
ويعد الذكاء الاصطناعي أداة مساعدة قوية في تحديد هذه الأولويات. يمكنه تجميع آلاف الأسطر من نتائج المسح، والجمع بين التكرارات، وترجمة كل نتيجة إلى لغة بشرية، وشرح "سبب أهمية هذا"، وتقديم مخطط تفصيلي للأولويات. لكن الذكاء الاصطناعي لا يعرف أي خادم في مؤسستك مفتوح على الإنترنت وأي خادم يحمل البيانات المهمة؛ والأخطر من ذلك أنه يمكنه اختلاق هوية ضعف (CVE) غير موجودة. لذلك يقوم الذكاء الاصطناعي بإنشاء مخطط التصنيف وشرحه، ولكن القرار النهائي للأولوية يتم اتخاذه من قبل المحلل مع السياق المؤسسي والبيانات التي تم التحقق من صحتها.
المفاهيم الأساسية لتحديد الأولويات
دعونا نوضح بعض المصطلحات. CVE (الثغرات والتعرضات الشائعة) هو المعرف الفريد الممنوح لكل ثغرة أمنية معروفة (على سبيل المثال، CVE-2021-44228، Log4Shell سيئ السمعة). CVSS (نظام تسجيل نقاط الضعف الشائعة) هو المعيار الذي يسجل مدى الخطورة الفنية للثغرة الأمنية من 0 إلى 10؛ 9.0+ يعتبر "حرجًا". لكن نظام CVSS وحده لا يكفي لأنه يوضح "مدى خطورة الأمر"، وليس "مدى احتمال إساءة استخدامه بالفعل". هذا هو المكان الذي يأتي فيه نظام EPSS (نظام تسجيل نقاط الاستغلال): فهو يتنبأ باحتمالية استغلال الثغرة فعليًا خلال الثلاثين يومًا القادمة. هناك أيضًا قائمة KEV (الثغرات المستغلة المعروفة): الثغرات الأمنية التي ثبت استخدامها في الهجمات الفعلية؛ هذه هي الأولوية المطلقة.
يجمع تحديد الأولويات الصحيحة بين هذه الثلاثة وسياق المؤسسة: CVSS عالي + EPSS عالي + قائمة KEV + خادم مهم مفتوح على الإنترنت = التصحيح على الفور. ارتفاع CVSS ولكن EPSS منخفض + على الشبكة الداخلية + وصول مقيد = تصحيح مجدول.
جدول عوامل الأولوية
عامل
ماذا يقول
المصدر
هل يكفي وحده؟
نقاط CVSS
الجدية الفنية (0-10)
NVD / البائع
لا - لا يقول الاحتمال
نقاط EPSS
احتمالية الاستغلال (%)
FIRST.org
لا - السياق لا يقول
قائمة KEV
فهل يتم استغلالها فعلا؟
سيسا كيف
إشارة قوية وليست الوحيدة
أهمية الأصول
ما مدى قيمة الخادم؟
الجرد المؤسسي
يوفر السياق
التعرض
هل هو مفتوح على الانترنت أم معزول؟
بنية الشبكة
يوفر السياق
السيطرة التعويضية
واف، هل هناك تجزئة؟
معلومات المؤسسة
يقلل من المخاطر
الذكاء الاصطناعي سريع في ملء هذا الجدول؛ ولكن تقع على عاتقك مسؤولية تأكيد قيم CVSS/EPSS/KEV من المصدر الرسمي وإضافة أهمية الأصول والتعرض للمعرفة المؤسسية.
خطوات تحديد أولويات الضعف
- جمع وإخفاء هوية مخرجات المسح. إخفاء أسماء المضيفين الداخليين وعناوين IP.
- المجموعة وتقليل التكرار. اسمح للذكاء الاصطناعي بدمج تكرار نفس الثغرة الأمنية على أجهزة مختلفة وإنشاء قائمة CVE فريدة.
- إثراء. قم بتضمين حالة CVSS وEPSS وKEV لكل CVE - ولكن تحقق منها من المصدر الرسمي.
- أضف السياق. ما هو النظام المفتوح على الإنترنت، والذي يحتفظ بالبيانات المهمة، وما هو التحكم التعويضي الموجود - يمكنك جمعها.
- الترتيب حسب. قم بإعداد قائمة أولويات تجمع بين الجدية + الاحتمالية + السياق.
- تحقق وقرر. تأكد من أن التهديدات الشائعة الواردة في النتائج المذكورة أعلاه حقيقية وأن الإصدارات موجودة بالفعل في مؤسستك؛ الموافقة على خطة الترقيع كمحلل.
ثلاث حالات صغيرة
الحالة 1 - 12000 نتيجة، 40 أولوية حقيقية. يقدم المحلل مجهول الهوية 12000 سطر من مخرجات المسح إلى الذكاء الاصطناعي. يجمع الذكاء الاصطناعي التكرارات ويقللها إلى 380 من التهديدات الشائعة الفريدة، ويثريها ببيانات EPSS وKEV، ويسلط الضوء على "40 نقطة ضعف موجودة في قائمة KEV وموجودة على الخادم المفتوح على الإنترنت." يؤكد المحلل وجود 40 مشكلة خطيرة خطيرة في NVD وكتالوج KEV، مما يؤدي إلى تصحيح نقاط الضعف الحرجة الثلاثة الموجودة بالفعل في غضون 24 ساعة. لقد تقلصت المكدس من 12000 إلى 40 يمكن التحكم فيه؛ اتخذ المحلل القرار.
الحالة 2 – مكافحة التطرف العنيف الزائفة. محلل آخر لديه الأولوية للذكاء الاصطناعي؛ يقول الذكاء الاصطناعي "CVE-2023-88888، CVSS 9.8، التصحيح الآن." يبحث المحلل عن هذا الرقم في NVD - لا يوجد سجل، النموذج مكون. إذا لم يتم تأكيد ذلك، لكان الفريق يبحث عن تصحيح غير موجود. الدرس المستفاد: لا يتم إعطاء الأولوية لكل رقم من أرقام CVE حتى يتم التحقق منه في سجل NVD/المورد.
الحالة 3 - CVSS مرتفع ولكن المخاطر منخفضة. يعثر الماسح الضوئي على ثغرة أمنية في CVSS 9.1 على خادم اختبار على الشبكة الداخلية. الذكاء الاصطناعي يضع هذا أولاً. لكن المحلل يضيف السياق: الخادم مغلق أمام الإنترنت، ولا توجد بيانات مهمة، وهناك تجزئة للشبكة أمامه، ودرجة EPSS هي 0.4%. وفي نفس القائمة، هناك ثغرة أخرى وهي CVSS 7.5 ولكنها مفتوحة للإنترنت وموجودة في KEV. يقوم المحلل بتصحيح الترتيب: الثغرة الأمنية في KEV، مع انخفاض CVSS ولكن يتم استغلالها بالفعل، تأتي أولاً. الدرس المستفاد: نظام CVSS وحده لا يمثل أولوية؛ يحدد السياق.
موجه ضعيف / موجه قوي
حث ضعيف:
قم بتصنيف نقاط الضعف هذه من الأكثر خطورة إلى الأكثر خطورة واكتب نتائج CVSS الخاصة بها. [إخراج المسح]
يعتمد هذا الادعاء فقط على CVSS (متجاهلاً الاحتمالية والسياق)، ويترك الباب مفتوحًا أمام الذكاء الاصطناعي ليتناسب مع قيم CVSS/CVE، ولا يأخذ في الاعتبار تعرض الوكالة.
مطالبة قوية:
دورك: تحديد الأولويات كمساعد مسودة لمحلل الأمن. اتخاذ القرار؛ لا تأمر الترقيع. معالجة مخرجات الفحص المجهول التالية: (1) دمج التكرارات، وإخراج قائمة CVE الفريدة، (2) تعبئة حالة CVSS وEPSS وKEV لكل CVE ولكن ضع علامة على كل قيمة على أنها "[يجب التحقق من NVD/EPSS/KEV]"؛ لا تقم بتكوين أي قيم، اكتب "[غير معروف]" إذا لم تكن متأكدًا، (3) اكتب لي 3 أسئلة يجب أن أطرحها بالنسبة للسياق المؤسسي (التعرض، وأهمية الأصول، والرقابة التعويضية)، (4) قدم تصنيفًا أوليًا يعتمد على البيانات الفنية فقط، واذكر أنني سأصححه في سياق المؤسسة. الإخراج: [نتيجة المسح المجهول]
تطلب المطالبة القوية استخدام الثلاثي CVSS/EPSS/KEV، وتترك كل قيمة ليتم التحقق منها، وتأخذ السياق المؤسسي منك، وتمنحك القرار النهائي.
قوالب سريعة قابلة للنسخ
قالب تجميع الثغرات الأمنية معالجة مخرجات الفحص المجهول التالية: (1) دمج تكرارات نفس CVE عبر أجهزة مختلفة، (2) استخراج CVE الفريد وعدد الأجهزة المتأثرة، (3) التجميع حسب المنتج/المكون. لا تقم بتكوين أي أرقام لمكافحة التطرف العنيف؛ لا تضيف شيئًا غير موجود في المصدر. الإخراج: [لصق]
قالب الإثراء الثلاثي بالنسبة لقائمة CVE، أضف النتيجة الأساسية لـ CVSS واحتمالية EPSS وما إذا كانت موجودة في قائمة KEV في كل سطر. تصدير كل قيمة بعلامة "[التحقق: المصدر]"؛ تقديم بيانات دقيقة وتلفيق. اكتب "[confirm in NVD]" لـ CVE الذي لست متأكدًا منه. مكافحة التطرف العنيف: [لصق]
قالب سؤال السياق بالنسبة لنقاط الضعف ذات الأولوية التالية، قم بإنشاء الأسئلة التي تحتاج إلى طرحها علي حول سياق المؤسسة حتى أتمكن من تصنيفها بشكل صحيح: التعرض (هل هو مفتوح على الإنترنت)، وأهمية الأصول، وحساسية البيانات، والضوابط التعويضية، ونافذة التصحيح. سأعطي الإجابات. يمكنك تحديث الترتيب فقط بعد ذلك. نقاط الضعف: [لصق]
مسودة خطة التصحيح: خطة تصحيح تعتمد على قائمة الأولويات التي تم التحقق من صحتها والسياق الذي أقدمه: مجموعات فورية (24 ساعة)، قصيرة المدى (7 أيام)، مخططة (30 يومًا)؛ مبرر لكل ثغرة أمنية وتأثير محتمل على الأعمال/مخاطر انقطاع الخدمة. هذه مسودة؛ الموافقة والتنفيذ يعود للمحلل وإدارة التغيير. البيانات: [لصق]
الأخطاء الشائعة
- مجرد النظر إلى CVSS. قد يشير ارتفاع CVSS إلى انخفاض المخاطر الفعلية؛ خذ بعين الاعتبار EPSS (الاحتمالية) وKEV (الاستغلال الفعلي) والسياق معًا.
- عدم التحقق من مكافحة التطرف العنيف. يمكن لغير الذكاء الاصطناعي تكوين أرقام ونتائج مكافحة التطرف العنيف؛ قم بتأكيد كل منها من خلال تسجيل NVD/التاجر.
- تجاوز السياق المؤسسي. هل هو مفتوح على الإنترنت، هل هناك بيانات مهمة، هل هناك سيطرة تعويضية - هذه تغير الترتيب تمامًا.
- على افتراض مطابقة الإصدار. يقرأ المتصفح أحيانًا الإصدار الخاطئ؛ تحقق من وجود الثغرة الأمنية بالفعل في مؤسستك (فحص إيجابي كاذب).
- تنفيذ خطة التصحيح وحدها دون التأثير على الأعمال. يمكن أن يتسبب التصحيح الحرج في انقطاع العمل؛ إدارة التغيير والاختبار ضرورية.
نصيحة: التركيبة الذهبية في تحديد الأولويات هي "KEV مدرج + مفتوح على الإنترنت + EPSS عالي". إذا تقاطعت هذه الثغرة الأمنية الثلاثة، فستنتقل هذه الثغرة الأمنية إلى أعلى القائمة بغض النظر عن نظام CVSS.
تنبيه: قد يكون الإعلان عن الثغرة الأمنية على أنها "خطيرة" وتصحيحها على الفور أمرًا محفوفًا بالمخاطر؛ يمكن أن يؤدي التصحيح غير المختبر إلى تعطيل الإنتاج. الخطة التي ينتجها الذكاء الاصطناعي هي مخطط؛ يمر التنفيذ عبر عملية إدارة التغيير وبوابة الاختبار.
في ملخص
إن الجزء الصعب في إدارة الثغرات الأمنية ليس العثور عليها، بل تسليط الضوء على الثغرة الصحيحة من بين آلاف النتائج. يقوم الذكاء الاصطناعي بتجميع مخرجات المسح، ويقلل التكرار، ويترجمها إلى لغة بشرية، ويوفر مخططًا تفصيليًا للتصنيف. لكن الأولوية المناسبة لا تأتي من رقم واحد: يتم تقييم CVSS (الشدة)، وEPSS (الاحتمالية)، وKEV (الاستغلال الفعلي)، والسياق المؤسسي (التعرض، والحرجية، والتحكم التعويضي) معًا. أخطر خطأ في الذكاء الاصطناعي هو عدم مكافحة التطرف العنيف وتلفيق النتائج؛ لذلك يتم التحقق من صحة كل قيمة في NVD/EPSS/KEV، وتتم إضافة سياق المؤسسة بواسطتك، وتمر خطة التصحيح عبر بوابة إدارة التغيير.
مهمة التطبيق
احصل على عينة من نتائج المسح (مجهولة المصدر منك أو من بيانات العينة). استخرج قائمة CVE الفريدة ومخطط CVSS/EPSS/KEV من الذكاء الاصطناعي باستخدام قوالب "تجميع الثغرات الأمنية" و"الإثراء الثلاثي". تحقق من أفضل 5 تحديات خطيرة للتطرف العنيف بنفسك في كتالوج NVD وCISA KEV؛ حاول التقاط قيمة وهمية أو خاطئة واحدة على الأقل. ثم أجب عن الأسئلة الموجودة في قالب "سؤال السياق" الخاص ببيئتك ولاحظ كيف يتغير الترتيب.
قائمة مرجعية
- [ ] لقد قمت بإخفاء هوية مخرجات المسح؛ المضيف وIP ملثمين.
- [ ] لقد قمت بدمج التكرارات للحصول على قائمة بـ CVEs الفريدة.
- [ ] لقد قمت بالتحقق من قيمة كل من CVE وCVSS/EPSS/KEV في المصدر الرسمي.
- [ ] مع العلم أنها قد تكون مزيفة أو خاطئة لنقاط CVE/، فقد أكدت ذلك.
- [ ] لقد أدرجت السياق المؤسسي (التعرض، والحرجية، والسيطرة التعويضية) في الترتيب.
- [ ] ليس فقط نظام CVSS؛ نظرت أيضًا إلى EPSS وKEV.
- [ ] لقد تعاملت مع خطة التصحيح كمسودة؛ أضفت باب الاختبار وإدارة التغيير.