ದುರ್ಬಲತೆ ಸ್ಕ್ಯಾನಿಂಗ್ ಮತ್ತು ಆದ್ಯತೆ: CVE, CVSS, EPSS ಮತ್ತು ಸಂದರ್ಭದೊಂದಿಗೆ ಸರಿಯಾಗಿ ವಿಂಗಡಿಸುವುದು

ಲಾಭಗಳು:

• CVSS (ತೀವ್ರತೆ), EPSS (ದುರುಪಯೋಗದ ಸಾಧ್ಯತೆ) ಮತ್ತು KEV (ನಿಜವಾದ ನಿಂದನೆ) ಅನ್ನು ಸಾಂಸ್ಥಿಕ ಸಂದರ್ಭದೊಂದಿಗೆ (ಮಾನ್ಯತೆ, ವಿಮರ್ಶಾತ್ಮಕತೆ, ಪರಿಹಾರ ನಿಯಂತ್ರಣ) ಸಂಯೋಜಿಸುವ ಮೂಲಕ ನಿಖರವಾಗಿ ಆದ್ಯತೆ ನೀಡುವ ಸಾಮರ್ಥ್ಯ
• NVD/EPSS/KEV ಮೂಲಗಳಲ್ಲಿ ಕೃತಕ ಬುದ್ಧಿಮತ್ತೆ ರಚಿಸಬಹುದಾದ CVE ಸಂಖ್ಯೆಗಳು ಮತ್ತು ಸ್ಕೋರ್‌ಗಳನ್ನು ಪರಿಶೀಲಿಸುವ ಸಾಮರ್ಥ್ಯ ಮತ್ತು ಬದಲಾವಣೆ ನಿರ್ವಹಣಾ ಗೇಟ್ ಮೂಲಕ ಪ್ಯಾಚಿಂಗ್ ಯೋಜನೆಯನ್ನು ರವಾನಿಸುವ ಸಾಮರ್ಥ್ಯ
• ಹೆಚ್ಚಿನ CVSS ಮಾತ್ರ ಆದ್ಯತೆಯ ಅರ್ಥವಲ್ಲ, ಆದರೆ ನಿಜವಾದ ಅಪಾಯವನ್ನು ಸಂದರ್ಭದಿಂದ ನಿರ್ಧರಿಸಲಾಗುತ್ತದೆ ಎಂದು ಅರ್ಥಮಾಡಿಕೊಳ್ಳಿ.

ಪ್ರತಿ ಸಂಸ್ಥೆಯಲ್ಲಿ ಸಾವಿರಾರು ದುರ್ಬಲತೆಗಳಿವೆ: ಸಾಫ್ಟ್‌ವೇರ್‌ನಲ್ಲಿನ ದುರ್ಬಲತೆ, ತಪ್ಪು ಕಾನ್ಫಿಗರೇಶನ್ ಅಥವಾ ಆಕ್ರಮಣಕಾರರು ಬಳಸಿಕೊಳ್ಳಬಹುದಾದ ಹಳತಾದ ಘಟಕ. ದುರ್ಬಲತೆ ಸ್ಕ್ಯಾನರ್-ಸಿಸ್ಟಮ್‌ಗಳನ್ನು ಸ್ಕ್ಯಾನ್ ಮಾಡುವ ಮತ್ತು ತಿಳಿದಿರುವ ದುರ್ಬಲತೆಗಳನ್ನು ಪಟ್ಟಿ ಮಾಡುವ ಸಾಧನ-ಮಧ್ಯಮ-ಗಾತ್ರದ ಸಂಸ್ಥೆಯಲ್ಲಿ ಸುಲಭವಾಗಿ 10,000-50,000 ಸಂಶೋಧನೆಗಳನ್ನು ನೀಡುತ್ತದೆ. ಸಮಸ್ಯೆಯೆಂದರೆ ಅವರನ್ನು ಹುಡುಕದಿರುವುದು; ಒಂದೇ ಬಾರಿಗೆ ಎಲ್ಲವನ್ನೂ ಮುಚ್ಚುವುದು ಅಸಾಧ್ಯವಾದ ಈ ರಾಶಿಯಲ್ಲಿ, ಯಾವುದನ್ನು ಮೊದಲು ಪ್ಯಾಚ್ ಮಾಡಬೇಕೆಂದು ನಿರ್ಧರಿಸುವುದು ಮುಖ್ಯ. ತಪ್ಪಾದ ಆದ್ಯತೆಯು ಎರಡು ರೀತಿಯಲ್ಲಿ ಹಾನಿಯನ್ನುಂಟುಮಾಡುತ್ತದೆ: ನೀವು ನಿಜವಾಗಿಯೂ ಅಪಾಯಕಾರಿಯಾದುದನ್ನು ವಿಳಂಬಗೊಳಿಸುತ್ತೀರಿ, ಅಥವಾ ಸಾವಿರಾರು ಪ್ರಮುಖವಲ್ಲದ ಸಂಶೋಧನೆಗಳ ಮೇಲೆ ತಂಡ ಮತ್ತು ವ್ಯಾಪಾರದ ನಿರಂತರತೆಯನ್ನು ನೀವು ಹೊರಹಾಕುತ್ತೀರಿ.

ಈ ಆದ್ಯತೆಯಲ್ಲಿ ಕೃತಕ ಬುದ್ಧಿಮತ್ತೆಯು ಪ್ರಬಲವಾದ ಸಹಾಯವಾಗಿದೆ. ಇದು ಸ್ಕ್ಯಾನ್ ಔಟ್‌ಪುಟ್‌ನ ಸಾವಿರಾರು ಸಾಲುಗಳನ್ನು ಗುಂಪು ಮಾಡಬಹುದು, ನಕಲುಗಳನ್ನು ಸಂಯೋಜಿಸಬಹುದು, ಪ್ರತಿ ಶೋಧನೆಯನ್ನು ಮಾನವ ಭಾಷೆಗೆ ಭಾಷಾಂತರಿಸಬಹುದು, "ಇದು ಏಕೆ ಮುಖ್ಯ" ಎಂದು ವಿವರಿಸಬಹುದು ಮತ್ತು ಆದ್ಯತೆಯ ರೂಪರೇಖೆಯನ್ನು ಒದಗಿಸಬಹುದು. ಆದರೆ ನಿಮ್ಮ ಸಂಸ್ಥೆಯಲ್ಲಿ ಯಾವ ಸರ್ವರ್ ಇಂಟರ್ನೆಟ್‌ಗೆ ತೆರೆದಿರುತ್ತದೆ ಮತ್ತು ಯಾವುದು ನಿರ್ಣಾಯಕ ಡೇಟಾವನ್ನು ಹೊಂದಿದೆ ಎಂದು AI ಗೆ ತಿಳಿದಿಲ್ಲ; ಮತ್ತು ಅತ್ಯಂತ ಅಪಾಯಕಾರಿಯಾಗಿ, ಇದು ಅಸ್ತಿತ್ವದಲ್ಲಿಲ್ಲದ ದುರ್ಬಲತೆಯ ಗುರುತನ್ನು (CVE) ರೂಪಿಸಬಹುದು. ಆದ್ದರಿಂದ AI ಶ್ರೇಯಾಂಕದ ರೂಪರೇಖೆಯನ್ನು ಉತ್ಪಾದಿಸುತ್ತದೆ ಮತ್ತು ವಿವರಿಸುತ್ತದೆ, ಆದರೆ ಅಂತಿಮ ಆದ್ಯತೆಯ ನಿರ್ಧಾರವನ್ನು ಸಾಂಸ್ಥಿಕ ಸಂದರ್ಭ ಮತ್ತು ಮೌಲ್ಯೀಕರಿಸಿದ ಡೇಟಾದೊಂದಿಗೆ ವಿಶ್ಲೇಷಕರು ತೆಗೆದುಕೊಳ್ಳುತ್ತಾರೆ.

ಆದ್ಯತೆಯ ಮೂಲ ಪರಿಕಲ್ಪನೆಗಳು

ಕೆಲವು ನಿಯಮಗಳನ್ನು ಸ್ಪಷ್ಟಪಡಿಸೋಣ. CVE (ಸಾಮಾನ್ಯ ದುರ್ಬಲತೆಗಳು ಮತ್ತು ಮಾನ್ಯತೆಗಳು) ಪ್ರತಿ ತಿಳಿದಿರುವ ದುರ್ಬಲತೆಗೆ ನೀಡಲಾದ ಅನನ್ಯ ID ಆಗಿದೆ (ಉದಾ. CVE-2021-44228, ಕುಖ್ಯಾತ Log4Shell). CVSS (ಸಾಮಾನ್ಯ ದುರ್ಬಲತೆ ಸ್ಕೋರಿಂಗ್ ಸಿಸ್ಟಮ್) 0 ರಿಂದ 10 ರವರೆಗಿನ ದುರ್ಬಲತೆಯ ತಾಂತ್ರಿಕ ತೀವ್ರತೆಯನ್ನು ಸ್ಕೋರ್ ಮಾಡುವ ಮಾನದಂಡವಾಗಿದೆ; 9.0+ ಅನ್ನು "ನಿರ್ಣಾಯಕ" ಎಂದು ಪರಿಗಣಿಸಲಾಗುತ್ತದೆ. ಆದರೆ CVSS ಮಾತ್ರ ಸಾಕಾಗುವುದಿಲ್ಲ ಏಕೆಂದರೆ ಅದು "ಅದು ಎಷ್ಟು ಗಂಭೀರವಾಗಿದೆ" ಎಂದು ಹೇಳುತ್ತದೆ, "ಅದು ನಿಜವಾಗಿ ದುರುಪಯೋಗಪಡಿಸಿಕೊಳ್ಳುವ ಸಾಧ್ಯತೆ ಎಷ್ಟು" ಅಲ್ಲ. ಇಪಿಎಸ್‌ಎಸ್ (ಎಕ್ಸ್‌ಪ್ಲೋಯಿಟ್ ಪ್ರಿಡಿಕ್ಷನ್ ಸ್ಕೋರಿಂಗ್ ಸಿಸ್ಟಮ್) ಇಲ್ಲಿ ಬರುತ್ತದೆ: ಮುಂದಿನ 30 ದಿನಗಳಲ್ಲಿ ದುರ್ಬಲತೆಯನ್ನು ವಾಸ್ತವವಾಗಿ ಬಳಸಿಕೊಳ್ಳುವ ಸಾಧ್ಯತೆಯನ್ನು ಇದು ಊಹಿಸುತ್ತದೆ. KEV (ತಿಳಿದಿರುವ ಶೋಷಿತ ದುರ್ಬಲತೆಗಳು) ಪಟ್ಟಿಯೂ ಇದೆ: ನಿಜವಾದ ದಾಳಿಯಲ್ಲಿ ಬಳಸಲಾಗಿದೆ ಎಂದು ಸಾಬೀತಾಗಿರುವ ದುರ್ಬಲತೆಗಳು; ಇವುಗಳು ಸಂಪೂರ್ಣ ಆದ್ಯತೆಗಳಾಗಿವೆ.

ಸರಿಯಾದ ಆದ್ಯತೆಯು ಈ ಮೂರು ಮತ್ತು ಎಂಟರ್‌ಪ್ರೈಸ್ ಸಂದರ್ಭವನ್ನು ಸಂಯೋಜಿಸುತ್ತದೆ: ಹೆಚ್ಚಿನ CVSS + ಹೆಚ್ಚಿನ EPSS + KEV ಪಟ್ಟಿಯಲ್ಲಿ + ನಿರ್ಣಾಯಕ ಸರ್ವರ್ ಇಂಟರ್ನೆಟ್‌ಗೆ ತೆರೆಯುತ್ತದೆ = ತಕ್ಷಣವೇ ಪ್ಯಾಚ್ ಮಾಡಿ. ಹೆಚ್ಚಿನ CVSS ಆದರೆ ಕಡಿಮೆ EPSS + ಆಂತರಿಕ ನೆಟ್‌ವರ್ಕ್‌ನಲ್ಲಿ + ನಿರ್ಬಂಧಿತ ಪ್ರವೇಶ = ನಿಗದಿತ ಪ್ಯಾಚಿಂಗ್.

ಆದ್ಯತೆಯ ಅಂಶಗಳ ಕೋಷ್ಟಕ

ಅಂಶ

ಅದು ಏನು ಹೇಳುತ್ತದೆ

ಮೂಲ

ಬರೀ ಸಾಕೇ?

CVSS ಸ್ಕೋರ್

ತಾಂತ್ರಿಕ ಗಂಭೀರತೆ (0-10)

NVD / ಮಾರಾಟಗಾರ

ಇಲ್ಲ — ಇದು ಸಂಭವನೀಯತೆಯನ್ನು ಹೇಳುವುದಿಲ್ಲ

ಇಪಿಎಸ್ಎಸ್ ಸ್ಕೋರ್

ಶೋಷಣೆಗೆ ಒಳಗಾಗುವ ಸಂಭವನೀಯತೆ (%)

FIRST.org

ಇಲ್ಲ - ಸಂದರ್ಭವು ಹೇಳುವುದಿಲ್ಲ

KEV ಪಟ್ಟಿ

ಇದು ನಿಜವಾಗಿಯೂ ಶೋಷಣೆಗೆ ಒಳಗಾಗುತ್ತಿದೆಯೇ?

CISA KEV

ಬಲವಾದ ಸಂಕೇತ, ಒಂದೇ ಅಲ್ಲ

ಆಸ್ತಿಯ ನಿರ್ಣಾಯಕತೆ

ಸರ್ವರ್ ಎಷ್ಟು ಮೌಲ್ಯಯುತವಾಗಿದೆ?

ಸಾಂಸ್ಥಿಕ ದಾಸ್ತಾನು

ಸಂದರ್ಭವನ್ನು ಒದಗಿಸುತ್ತದೆ

ಮಾನ್ಯತೆ

ಇದು ಇಂಟರ್ನೆಟ್‌ಗೆ ತೆರೆದಿದೆಯೇ ಅಥವಾ ಪ್ರತ್ಯೇಕವಾಗಿದೆಯೇ?

ನೆಟ್ವರ್ಕ್ ಆರ್ಕಿಟೆಕ್ಚರ್

ಸಂದರ್ಭವನ್ನು ಒದಗಿಸುತ್ತದೆ

ಪರಿಹಾರ ನಿಯಂತ್ರಣ

WAF, ವಿಭಜನೆ ಇದೆಯೇ?

ಸಂಸ್ಥೆಯ ಮಾಹಿತಿ

ಅಪಾಯವನ್ನು ಕಡಿಮೆ ಮಾಡುತ್ತದೆ

AI ಈ ಕೋಷ್ಟಕವನ್ನು ತ್ವರಿತವಾಗಿ ತುಂಬುತ್ತದೆ; ಆದರೆ ಅಧಿಕೃತ ಮೂಲದಿಂದ CVSS/EPSS/KEV ಮೌಲ್ಯಗಳನ್ನು ದೃಢೀಕರಿಸುವುದು ಮತ್ತು ಸಾಂಸ್ಥಿಕ ಜ್ಞಾನದೊಂದಿಗೆ ಆಸ್ತಿ ವಿಮರ್ಶಾತ್ಮಕತೆ ಮತ್ತು ಮಾನ್ಯತೆ ಸೇರಿಸುವುದು ನಿಮ್ಮ ಜವಾಬ್ದಾರಿಯಾಗಿದೆ.

ದುರ್ಬಲತೆಯ ಆದ್ಯತೆಯ ಹಂತಗಳು

1. ಸ್ಕ್ಯಾನ್ ಔಟ್‌ಪುಟ್ ಅನ್ನು ಸಂಗ್ರಹಿಸಿ ಮತ್ತು ಅನಾಮಧೇಯಗೊಳಿಸಿ. ಆಂತರಿಕ ಹೋಸ್ಟ್ ಹೆಸರುಗಳು ಮತ್ತು IP ಗಳನ್ನು ಮಾಸ್ಕ್ ಮಾಡಿ.
2. ಗುಂಪು ಮತ್ತು ಪುನರಾವರ್ತನೆಯನ್ನು ಕಡಿಮೆ ಮಾಡಿ. AI ವಿವಿಧ ಯಂತ್ರಗಳಲ್ಲಿ ಒಂದೇ ದುರ್ಬಲತೆಯ ಪುನರಾವರ್ತನೆಗಳನ್ನು ಸಂಯೋಜಿಸಲು ಮತ್ತು ಅನನ್ಯ CVE ಪಟ್ಟಿಯನ್ನು ರಚಿಸಲು ಅವಕಾಶ ಮಾಡಿಕೊಡಿ.
3. ಪುಷ್ಟೀಕರಿಸು. ಪ್ರತಿ CVE ಗಾಗಿ CVSS, EPSS ಮತ್ತು KEV ಸ್ಥಿತಿಯನ್ನು ಸೇರಿಸಿ - ಆದರೆ ಅಧಿಕೃತ ಮೂಲದಿಂದ ಅವುಗಳನ್ನು ಪರಿಶೀಲಿಸಿ.
4. ಸಂದರ್ಭವನ್ನು ಸೇರಿಸಿ. ಯಾವ ವ್ಯವಸ್ಥೆಯು ಇಂಟರ್ನೆಟ್‌ಗೆ ತೆರೆದಿರುತ್ತದೆ, ಇದು ನಿರ್ಣಾಯಕ ಡೇಟಾವನ್ನು ಹೊಂದಿದೆ, ಇದು ಸರಿದೂಗಿಸುವ ನಿಯಂತ್ರಣ ಅಸ್ತಿತ್ವದಲ್ಲಿದೆ - ನೀವು ಅದನ್ನು ಸೇರಿಸಿ.
5. ವಿಂಗಡಿಸಿ. ಗಂಭೀರತೆ + ಸಂಭವನೀಯತೆ + ಸಂದರ್ಭವನ್ನು ಸಂಯೋಜಿಸುವ ಆದ್ಯತೆಯ ಪಟ್ಟಿಯನ್ನು ರಚಿಸಿ.
6. ಪರಿಶೀಲಿಸಿ ಮತ್ತು ನಿರ್ಧರಿಸಿ. ಮೇಲಿನ ಸಂಶೋಧನೆಗಳ CVE ಗಳು ನಿಜವಾದವು ಮತ್ತು ನಿಮ್ಮ ಸಂಸ್ಥೆಯಲ್ಲಿ ಆವೃತ್ತಿಗಳು ನಿಜವಾಗಿ ಅಸ್ತಿತ್ವದಲ್ಲಿವೆ ಎಂದು ದೃಢೀಕರಿಸಿ; ವಿಶ್ಲೇಷಕರಾಗಿ ಪ್ಯಾಚಿಂಗ್ ಯೋಜನೆಯನ್ನು ಅನುಮೋದಿಸಿ.

ಮೂರು ಸಣ್ಣ ಪ್ರಕರಣಗಳು

ಪ್ರಕರಣ 1 — 12,000 ಸಂಶೋಧನೆಗಳು, 40 ನೈಜ ಆದ್ಯತೆಗಳು. ವಿಶ್ಲೇಷಕರು AI ಗೆ ಅನಾಮಧೇಯ 12,000 ಲೈನ್‌ಗಳ ಸ್ಕ್ಯಾನ್ ಔಟ್‌ಪುಟ್ ಅನ್ನು ನೀಡುತ್ತಾರೆ. AI ಪುನರಾವರ್ತನೆಗಳನ್ನು ಸಂಯೋಜಿಸುತ್ತದೆ ಮತ್ತು ಅವುಗಳನ್ನು 380 ಅನನ್ಯ CVE ಗಳಿಗೆ ಕಡಿಮೆ ಮಾಡುತ್ತದೆ, ಅವುಗಳನ್ನು EPSS ಮತ್ತು KEV ಡೇಟಾದೊಂದಿಗೆ ಸಮೃದ್ಧಗೊಳಿಸುತ್ತದೆ ಮತ್ತು "KEV ಪಟ್ಟಿಯಲ್ಲಿರುವ ಮತ್ತು ಇಂಟರ್ನೆಟ್‌ಗೆ ತೆರೆದಿರುವ ಸರ್ವರ್‌ನಲ್ಲಿರುವ 40 ದುರ್ಬಲತೆಗಳನ್ನು" ಹೈಲೈಟ್ ಮಾಡುತ್ತದೆ. ವಿಶ್ಲೇಷಕರು ಈ 40 CVE ಗಳನ್ನು NVD ಮತ್ತು KEV ಕ್ಯಾಟಲಾಗ್‌ನಲ್ಲಿ ದೃಢೀಕರಿಸುತ್ತಾರೆ, ವಾಸ್ತವವಾಗಿ 24 ಗಂಟೆಗಳ ಒಳಗೆ ಇರುವ 3 ನಿರ್ಣಾಯಕ ದೋಷಗಳನ್ನು ಪ್ಯಾಚ್ ಮಾಡುತ್ತಾರೆ. ಸ್ಟಾಕ್ 12,000 ರಿಂದ ನಿರ್ವಹಿಸಬಹುದಾದ 40 ಕ್ಕೆ ಕುಗ್ಗಿದೆ; ವಿಶ್ಲೇಷಕರು ನಿರ್ಧಾರ ತೆಗೆದುಕೊಂಡರು.

ಪ್ರಕರಣ 2 - ನಕಲಿ CVE. ಇನ್ನೊಬ್ಬ ವಿಶ್ಲೇಷಕ AI ಆದ್ಯತೆಯನ್ನು ಹೊಂದಿದೆ; AI ಹೇಳುತ್ತದೆ "CVE-2023-88888, CVSS 9.8, ಪ್ಯಾಚ್ ನೌ." ವಿಶ್ಲೇಷಕರು ಈ ಸಂಖ್ಯೆಯನ್ನು NVD ಯಲ್ಲಿ ಹುಡುಕುತ್ತಾರೆ - ಯಾವುದೇ ದಾಖಲೆಯಿಲ್ಲ, ಮಾಡೆಲ್ ಮಾಡಿಲ್ಲ. ಇದು ದೃಢೀಕರಿಸದಿದ್ದರೆ, ತಂಡವು ಅಸ್ತಿತ್ವದಲ್ಲಿಲ್ಲದ ತೇಪೆಯನ್ನು ಹುಡುಕುತ್ತಿತ್ತು. ಪಾಠ: NVD/ವೆಂಡರ್ ರಿಜಿಸ್ಟ್ರಿಯಲ್ಲಿ ಪರಿಶೀಲಿಸುವವರೆಗೆ ಪ್ರತಿಯೊಂದು CVE ಸಂಖ್ಯೆಯು ಆದ್ಯತೆಯನ್ನು ಪಡೆಯುವುದಿಲ್ಲ.

ಪ್ರಕರಣ 3 - CVSS ಹೆಚ್ಚು ಆದರೆ ಅಪಾಯ ಕಡಿಮೆ. ಆಂತರಿಕ ನೆಟ್‌ವರ್ಕ್‌ನಲ್ಲಿ ಪರೀಕ್ಷಾ ಸರ್ವರ್‌ನಲ್ಲಿ ಸ್ಕ್ಯಾನರ್ CVSS 9.1 ದುರ್ಬಲತೆಯನ್ನು ಕಂಡುಕೊಳ್ಳುತ್ತದೆ. AI ಇದನ್ನು ಮೊದಲು ಇರಿಸುತ್ತದೆ. ಆದರೆ ವಿಶ್ಲೇಷಕರು ಸಂದರ್ಭವನ್ನು ಸೇರಿಸುತ್ತಾರೆ: ಸರ್ವರ್ ಇಂಟರ್ನೆಟ್‌ಗೆ ಮುಚ್ಚಲ್ಪಟ್ಟಿದೆ, ಯಾವುದೇ ನಿರ್ಣಾಯಕ ಡೇಟಾ ಇಲ್ಲ, ಅದರ ಮುಂದೆ ನೆಟ್‌ವರ್ಕ್ ವಿಭಾಗವಿದೆ ಮತ್ತು ಇಪಿಎಸ್‌ಎಸ್ ಸ್ಕೋರ್ 0.4% ಆಗಿದೆ. ಅದೇ ಪಟ್ಟಿಯಲ್ಲಿ, CVSS 7.5 ಆದರೆ ಇಂಟರ್ನೆಟ್‌ಗೆ ತೆರೆದಿರುವ ಮತ್ತು KEV ನಲ್ಲಿರುವ ಮತ್ತೊಂದು ದುರ್ಬಲತೆ ಇದೆ. ವಿಶ್ಲೇಷಕರು ಶ್ರೇಯಾಂಕವನ್ನು ಸರಿಪಡಿಸುತ್ತಾರೆ: KEV ಯಲ್ಲಿನ ದುರ್ಬಲತೆ, ಕಡಿಮೆ CVSS ನೊಂದಿಗೆ ಆದರೆ ವಾಸ್ತವವಾಗಿ ಬಳಸಿಕೊಳ್ಳಲಾಗುತ್ತದೆ, ಮೊದಲು ಬರುತ್ತದೆ. ಪಾಠ: ಸಿವಿಎಸ್ಎಸ್ ಮಾತ್ರ ಆದ್ಯತೆಯಲ್ಲ; ಸಂದರ್ಭವನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ.

ದುರ್ಬಲ ಪ್ರಾಂಪ್ಟ್ / ಬಲವಾದ ಪ್ರಾಂಪ್ಟ್

ದುರ್ಬಲ ಪ್ರಾಂಪ್ಟ್:

ಈ ದೋಷಗಳನ್ನು ಅತ್ಯಂತ ಅಪಾಯಕಾರಿಯಿಂದ ಅತ್ಯಂತ ಅಪಾಯಕಾರಿ ಎಂದು ಶ್ರೇಣೀಕರಿಸಿ ಮತ್ತು ಅವುಗಳ CVSS ಸ್ಕೋರ್‌ಗಳನ್ನು ಬರೆಯಿರಿ. [ಸ್ಕ್ಯಾನ್ ಔಟ್ಪುಟ್]

ಈ ಹಕ್ಕು CVSS (ಸಂಭವನೀಯತೆ ಮತ್ತು ಸಂದರ್ಭವನ್ನು ನಿರ್ಲಕ್ಷಿಸುವುದು) ಮೇಲೆ ಮಾತ್ರ ಅವಲಂಬಿತವಾಗಿದೆ, CVSS/CVE ಮೌಲ್ಯಗಳಿಗೆ ಹೊಂದಿಕೊಳ್ಳಲು AI ಗೆ ಬಾಗಿಲು ತೆರೆದಿರುತ್ತದೆ ಮತ್ತು ಏಜೆನ್ಸಿ ಮಾನ್ಯತೆಯನ್ನು ಗಣನೆಗೆ ತೆಗೆದುಕೊಳ್ಳುವುದಿಲ್ಲ.

ಶಕ್ತಿಯುತ ಪ್ರಾಂಪ್ಟ್:

ನಿಮ್ಮ ಪಾತ್ರ: ಭದ್ರತಾ ವಿಶ್ಲೇಷಕರಿಗೆ ಆದ್ಯತೆಯ ಡ್ರಾಫ್ಟ್ ಸಹಾಯಕ. ನಿರ್ಧಾರ ತೆಗೆದುಕೊಳ್ಳುವುದು; ಪ್ಯಾಚಿಂಗ್ ಅನ್ನು ಆದೇಶಿಸಬೇಡಿ. ಕೆಳಗಿನ ಅನಾಮಧೇಯ ಸ್ಕ್ಯಾನ್ ಔಟ್‌ಪುಟ್ ಅನ್ನು ಪ್ರಕ್ರಿಯೆಗೊಳಿಸಿ:(1) ನಕಲುಗಳನ್ನು ವಿಲೀನಗೊಳಿಸಿ, ಅನನ್ಯ CVE ಪಟ್ಟಿಯನ್ನು ಔಟ್‌ಪುಟ್ ಮಾಡಿ, (2) ಪ್ರತಿ CVE ಗಾಗಿ CVSS, EPSS ಮತ್ತು KEV ಸ್ಥಿತಿಯನ್ನು ಜನಪ್ರಿಯಗೊಳಿಸಿ ಆದರೆ ಪ್ರತಿ ಮೌಲ್ಯವನ್ನು "[NVD/EPSS/KEV ನಿಂದ ಪರಿಶೀಲಿಸಬೇಕು]" ಎಂದು ಗುರುತಿಸಿ; ಯಾವುದೇ ಮೌಲ್ಯಗಳನ್ನು ರೂಪಿಸಬೇಡಿ, ನಿಮಗೆ ಖಚಿತವಿಲ್ಲದಿದ್ದರೆ "[ಅಜ್ಞಾತ]" ಎಂದು ಬರೆಯಿರಿ, (3) ಸಾಂಸ್ಥಿಕ ಸಂದರ್ಭಕ್ಕಾಗಿ ನಾನು ಕೇಳಬೇಕಾದ 3 ಪ್ರಶ್ನೆಗಳನ್ನು ನನಗೆ ಬರೆಯಿರಿ (ಮಾನ್ಯತೆ, ಆಸ್ತಿ ವಿಮರ್ಶಾತ್ಮಕತೆ, ಪರಿಹಾರ ನಿಯಂತ್ರಣ), (4) ತಾಂತ್ರಿಕ ಡೇಟಾದ ಆಧಾರದ ಮೇಲೆ ಪ್ರಾಥಮಿಕ ಶ್ರೇಯಾಂಕವನ್ನು ಒದಗಿಸಿ, ನಾನು ಅದನ್ನು ಎಂಟರ್‌ಪ್ರೈಸ್ ಸಂದರ್ಭದೊಂದಿಗೆ ಸರಿಪಡಿಸುತ್ತೇನೆ ಎಂದು ಹೇಳಿ. ಔಟ್‌ಪುಟ್: [ಅನಾಮಧೇಯ ಸ್ಕ್ಯಾನ್ ಫಲಿತಾಂಶ]

ಪ್ರಬಲ ಪ್ರಾಂಪ್ಟ್ CVSS/EPSS/KEV ಟ್ರಿಯೊವನ್ನು ಕೇಳುತ್ತದೆ, ಪ್ರತಿ ಮೌಲ್ಯವನ್ನು ಪರಿಶೀಲಿಸಲು ಬಿಡುತ್ತದೆ, ನಿಮ್ಮಿಂದ ಸಾಂಸ್ಥಿಕ ಸಂದರ್ಭವನ್ನು ತೆಗೆದುಕೊಳ್ಳುತ್ತದೆ ಮತ್ತು ನಿಮಗೆ ಅಂತಿಮ ನಿರ್ಧಾರವನ್ನು ನೀಡುತ್ತದೆ.

ನಕಲು ಮಾಡಬಹುದಾದ ಪ್ರಾಂಪ್ಟ್ ಟೆಂಪ್ಲೇಟ್‌ಗಳು

ದುರ್ಬಲತೆ ಗ್ರೂಪಿಂಗ್ ಟೆಂಪ್ಲೇಟ್ ಕೆಳಗಿನ ಅನಾಮಧೇಯ ಸ್ಕ್ಯಾನ್ ಔಟ್‌ಪುಟ್ ಅನ್ನು ಪ್ರಕ್ರಿಯೆಗೊಳಿಸಿ: (1) ವಿಭಿನ್ನ ಯಂತ್ರಗಳಾದ್ಯಂತ ಒಂದೇ CVE ಸಂಭವಿಸುವಿಕೆಯನ್ನು ಸಂಯೋಜಿಸಿ, (2) ಅನನ್ಯ CVE ಮತ್ತು ಪೀಡಿತ ಯಂತ್ರಗಳ ಸಂಖ್ಯೆಯನ್ನು ಹೊರತೆಗೆಯಿರಿ, (3) ಉತ್ಪನ್ನ/ಘಟಕದ ಮೂಲಕ ಗುಂಪು. ಯಾವುದೇ CVE ಸಂಖ್ಯೆಗಳನ್ನು ಮಾಡಬೇಡಿ; ಮೂಲದಲ್ಲಿಲ್ಲದ ಯಾವುದನ್ನಾದರೂ ಸೇರಿಸಬೇಡಿ. ಔಟ್ಪುಟ್: [ಅಂಟಿಸಿ]

CVE ಪಟ್ಟಿಗಾಗಿ ಟ್ರಿಪಲ್ ಎನ್‌ರಿಚ್‌ಮೆಂಟ್ ಟೆಂಪ್ಲೇಟ್, CVSS ಬೇಸ್ ಸ್ಕೋರ್, EPSS ಸಂಭವನೀಯತೆ ಮತ್ತು ಅದು ಪ್ರತಿ ಸಾಲಿನಲ್ಲಿ KEVlist ನಲ್ಲಿದೆಯೇ ಎಂಬುದನ್ನು ಸೇರಿಸಿ. "[ಪರಿಶೀಲಿಸಿ: ಮೂಲ]" ಫ್ಲ್ಯಾಗ್‌ನೊಂದಿಗೆ ಪ್ರತಿ ಮೌಲ್ಯವನ್ನು ರಫ್ತು ಮಾಡಿ; ನಿಖರವಾದ ಡೇಟಾವನ್ನು ಪ್ರಸ್ತುತಪಡಿಸುವುದು, ಫ್ಯಾಬ್ರಿಕೇಶನ್. ನೀವು ಖಚಿತವಾಗಿರದ CVE ಗಾಗಿ "[NVD ನಲ್ಲಿ ದೃಢೀಕರಿಸಿ]" ಎಂದು ಟೈಪ್ ಮಾಡಿ. CVE ಗಳು: [ಅಂಟಿಸಿ]

ವಿಷಯದ ಪ್ರಶ್ನೆ ಟೆಂಪ್ಲೇಟ್ ಕೆಳಗಿನ ಆದ್ಯತೆಯ ದೋಷಗಳಿಗಾಗಿ, ಸಂಸ್ಥೆಯ ಸಂದರ್ಭದ ಕುರಿತು ನೀವು ನನ್ನನ್ನು ಕೇಳಬೇಕಾದ ಪ್ರಶ್ನೆಗಳನ್ನು ರಚಿಸಿ ಇದರಿಂದ ನಾನು ಅವುಗಳನ್ನು ಸರಿಯಾಗಿ ಶ್ರೇಣೀಕರಿಸಬಹುದು: ಮಾನ್ಯತೆ (ಅದು ಇಂಟರ್ನೆಟ್‌ಗೆ ಮುಕ್ತವಾಗಿದೆಯೇ), ಸ್ವತ್ತು ವಿಮರ್ಶಾತ್ಮಕತೆ, ಡೇಟಾ ಸೂಕ್ಷ್ಮತೆ, ಪರಿಹಾರ ನಿಯಂತ್ರಣಗಳು, ಪ್ಯಾಚ್ ವಿಂಡೋ. ನಾನು ಉತ್ತರಗಳನ್ನು ನೀಡುತ್ತೇನೆ; ಅದರ ನಂತರವೇ ನೀವು ಶ್ರೇಯಾಂಕವನ್ನು ನವೀಕರಿಸುತ್ತೀರಿ. ದುರ್ಬಲತೆಗಳು: [ಅಂಟಿಸಿ]

ಪ್ಯಾಚ್ ಪ್ಲಾನ್ ಡ್ರಾಫ್ಟ್ ಟೆಂಪ್ಲೇಟ್‌ಡ್ರಾಫ್ಟ್ ದೃಢೀಕರಿಸಿದ ಆದ್ಯತೆಯ ಪಟ್ಟಿ ಮತ್ತು ನಾನು ಒದಗಿಸುವ ಸಂದರ್ಭದ ಆಧಾರದ ಮೇಲೆ ಪ್ಯಾಚಿಂಗ್ ಪ್ಲಾನ್: ತಕ್ಷಣದ (24ಗಂ), ಅಲ್ಪಾವಧಿಯ (7ಡಿ), ಯೋಜಿತ (30ಡಿ) ಬಕೆಟ್‌ಗಳು; ಪ್ರತಿ ದುರ್ಬಲತೆ ಮತ್ತು ಸಂಭಾವ್ಯ ವ್ಯವಹಾರದ ಪರಿಣಾಮ/ನಿರುಪಯೋಗದ ಅಪಾಯಕ್ಕೆ ಸಮರ್ಥನೆ. ಇದು ಕರಡು; ಅನುಮೋದನೆ ಮತ್ತು ಅನುಷ್ಠಾನವು ವಿಶ್ಲೇಷಕ ಮತ್ತು ಬದಲಾವಣೆ ನಿರ್ವಹಣೆಗೆ ಸೇರಿದೆ. ಡೇಟಾ: [ಅಂಟಿಸಿ]

ಸಾಮಾನ್ಯ ತಪ್ಪುಗಳು

• ಕೇವಲ CVSS ಅನ್ನು ನೋಡುತ್ತಿದ್ದೇನೆ. ಹೆಚ್ಚಿನ CVSS ಕಡಿಮೆ ನೈಜ ಅಪಾಯವನ್ನು ಸೂಚಿಸುತ್ತದೆ; ಇಪಿಎಸ್ಎಸ್ (ಸಂಭವನೀಯತೆ), ಕೆಇವಿ (ನಿಜವಾದ ಶೋಷಣೆ) ಮತ್ತು ಸಂದರ್ಭವನ್ನು ಒಟ್ಟಿಗೆ ಪರಿಗಣಿಸಿ.
• CVE ಅನ್ನು ಪರಿಶೀಲಿಸುತ್ತಿಲ್ಲ. AI ಅಲ್ಲದ CVE ಸಂಖ್ಯೆಗಳು ಮತ್ತು ಸ್ಕೋರ್‌ಗಳನ್ನು ರಚಿಸಬಹುದು; NVD/ಡೀಲರ್ ನೋಂದಣಿಯೊಂದಿಗೆ ಪ್ರತಿಯೊಂದನ್ನು ದೃಢೀಕರಿಸಿ.
• ಸಾಂಸ್ಥಿಕ ಸಂದರ್ಭವನ್ನು ಬೈಪಾಸ್ ಮಾಡುವುದು. ಇದು ಇಂಟರ್ನೆಟ್‌ಗೆ ಮುಕ್ತವಾಗಿದೆಯೇ, ನಿರ್ಣಾಯಕ ಡೇಟಾ ಇದೆಯೇ, ಪರಿಹಾರ ನಿಯಂತ್ರಣವಿದೆಯೇ - ಇವುಗಳು ಶ್ರೇಯಾಂಕವನ್ನು ಸಂಪೂರ್ಣವಾಗಿ ಬದಲಾಯಿಸುತ್ತವೆ.
• ಆವೃತ್ತಿ ಹೊಂದಾಣಿಕೆಯನ್ನು ಊಹಿಸಿ. ಬ್ರೌಸರ್ ಕೆಲವೊಮ್ಮೆ ತಪ್ಪು ಆವೃತ್ತಿಯನ್ನು ಓದುತ್ತದೆ; ನಿಮ್ಮ ಸಂಸ್ಥೆಯಲ್ಲಿ ದುರ್ಬಲತೆಯು ನಿಜವಾಗಿ ಅಸ್ತಿತ್ವದಲ್ಲಿದೆಯೇ ಎಂದು ಪರಿಶೀಲಿಸಿ (ತಪ್ಪು ಧನಾತ್ಮಕ ಸ್ಕ್ಯಾನ್).
• ವ್ಯಾಪಾರದ ಪರಿಣಾಮವಿಲ್ಲದೆ ಪ್ಯಾಚ್ ಯೋಜನೆಯನ್ನು ಮಾತ್ರ ಅನುಷ್ಠಾನಗೊಳಿಸುವುದು. ನಿರ್ಣಾಯಕ ಪ್ಯಾಚ್ ವ್ಯವಹಾರದ ಅಡಚಣೆಯನ್ನು ಉಂಟುಮಾಡಬಹುದು; ಬದಲಾವಣೆ ನಿರ್ವಹಣೆ ಮತ್ತು ಪರೀಕ್ಷೆ ಅತ್ಯಗತ್ಯ.

ಸಲಹೆ: ಆದ್ಯತೆಯಲ್ಲಿ ಗೋಲ್ಡನ್ ಸಂಯೋಜನೆಯು "KEV ಪಟ್ಟಿಮಾಡಲಾಗಿದೆ + ಇಂಟರ್ನೆಟ್‌ಗೆ ತೆರೆದಿದೆ + ಹೆಚ್ಚಿನ EPSS" ಆಗಿದೆ. ಈ ಮೂರು ಛೇದಿಸಿದರೆ, ಆ ದುರ್ಬಲತೆಯು CVSS ಅನ್ನು ಲೆಕ್ಕಿಸದೆ ಪಟ್ಟಿಯ ಮೇಲ್ಭಾಗಕ್ಕೆ ಹೋಗುತ್ತದೆ.

ಎಚ್ಚರಿಕೆ: ದುರ್ಬಲತೆಯನ್ನು "ನಿರ್ಣಾಯಕ" ಎಂದು ಘೋಷಿಸುವುದು ಮತ್ತು ಅದನ್ನು ತಕ್ಷಣವೇ ತೇಪೆ ಹಾಕುವುದು ಕೂಡ ಅಪಾಯಕಾರಿಯಾಗಬಹುದು; ಪರೀಕ್ಷಿಸದ ಪ್ಯಾಚ್ ಉತ್ಪಾದನೆಯನ್ನು ಕ್ರ್ಯಾಶ್ ಮಾಡಬಹುದು. AI ಉತ್ಪಾದಿಸುವ ಯೋಜನೆಯು ನೀಲನಕ್ಷೆಯಾಗಿದೆ; ಅನುಷ್ಠಾನವು ಬದಲಾವಣೆ ನಿರ್ವಹಣೆ ಪ್ರಕ್ರಿಯೆ ಮತ್ತು ಪರೀಕ್ಷಾ ಗೇಟ್ ಮೂಲಕ ಹೋಗುತ್ತದೆ.

ಸಾರಾಂಶದಲ್ಲಿ

ದುರ್ಬಲತೆ ನಿರ್ವಹಣೆಯ ಕಷ್ಟಕರವಾದ ಭಾಗವು ಅದನ್ನು ಕಂಡುಹಿಡಿಯುತ್ತಿಲ್ಲ, ಆದರೆ ಸಾವಿರಾರು ಸಂಶೋಧನೆಗಳಲ್ಲಿ ಸರಿಯಾದದನ್ನು ಎತ್ತಿ ತೋರಿಸುತ್ತದೆ. AI ಸ್ಕ್ಯಾನ್ ಔಟ್‌ಪುಟ್ ಅನ್ನು ಗುಂಪು ಮಾಡುತ್ತದೆ, ಪುನರಾವರ್ತನೆಯನ್ನು ಕಡಿಮೆ ಮಾಡುತ್ತದೆ, ಅದನ್ನು ಮಾನವ ಭಾಷೆಗೆ ಅನುವಾದಿಸುತ್ತದೆ ಮತ್ತು ಶ್ರೇಯಾಂಕದ ರೂಪರೇಖೆಯನ್ನು ಒದಗಿಸುತ್ತದೆ. ಆದರೆ ಸರಿಯಾದ ಆದ್ಯತೆಯು ಒಂದೇ ಸಂಖ್ಯೆಯಿಂದ ಬರುವುದಿಲ್ಲ: CVSS (ತೀವ್ರತೆ), EPSS (ಸಂಭವನೀಯತೆ), KEV (ನಿಜವಾದ ಶೋಷಣೆ) ಮತ್ತು ಸಾಂಸ್ಥಿಕ ಸಂದರ್ಭ (ಮಾನ್ಯತೆ, ವಿಮರ್ಶಾತ್ಮಕತೆ, ಪರಿಹಾರ ನಿಯಂತ್ರಣ) ಒಟ್ಟಿಗೆ ಮೌಲ್ಯಮಾಪನ ಮಾಡಲಾಗುತ್ತದೆ. AI ಯ ಅತ್ಯಂತ ಅಪಾಯಕಾರಿ ತಪ್ಪು ಎಂದರೆ CVE ಅಲ್ಲದ ಮತ್ತು ಸ್ಕೋರ್ ಫ್ಯಾಬ್ರಿಕೇಶನ್; ಆದ್ದರಿಂದ ಪ್ರತಿಯೊಂದು ಮೌಲ್ಯವನ್ನು NVD/EPSS/KEV ನಲ್ಲಿ ಮೌಲ್ಯೀಕರಿಸಲಾಗುತ್ತದೆ, ಎಂಟರ್‌ಪ್ರೈಸ್ ಸಂದರ್ಭವನ್ನು ನೀವು ಸೇರಿಸುತ್ತೀರಿ ಮತ್ತು ಪ್ಯಾಚಿಂಗ್ ಯೋಜನೆಯು ಬದಲಾವಣೆ ನಿರ್ವಹಣೆ ಗೇಟ್ ಮೂಲಕ ಹೋಗುತ್ತದೆ.

ಅಪ್ಲಿಕೇಶನ್ ಕಾರ್ಯ

ಮಾದರಿ ಸ್ಕ್ಯಾನ್ ಔಟ್‌ಪುಟ್ ಅನ್ನು ಪಡೆಯಿರಿ (ನಿಮ್ಮಿಂದ ಅಥವಾ ಮಾದರಿ ಡೇಟಾದಿಂದ ಅನಾಮಧೇಯವಾಗಿದೆ). ವಿಶಿಷ್ಟವಾದ CVE ಪಟ್ಟಿಯನ್ನು ಮತ್ತು CVSS/EPSS/KEV ಔಟ್‌ಲೈನ್ ಅನ್ನು AI ನಿಂದ "ದುರ್ಬಲತೆ ಗ್ರೂಪಿಂಗ್" ಮತ್ತು "ಟ್ರಿಪಲ್ ಎನ್‌ರಿಚ್‌ಮೆಂಟ್" ಟೆಂಪ್ಲೇಟ್‌ಗಳೊಂದಿಗೆ ಹೊರತೆಗೆಯಿರಿ. NVD ಮತ್ತು CISA KEV ಕ್ಯಾಟಲಾಗ್‌ನಲ್ಲಿ ಟಾಪ್ 5 CVE ಗಳನ್ನು ನೀವೇ ಪರಿಶೀಲಿಸಿ; ಕನಿಷ್ಠ ಒಂದು ಕಾಲ್ಪನಿಕ ಅಥವಾ ತಪ್ಪು ಮೌಲ್ಯವನ್ನು ಹಿಡಿಯಲು ಪ್ರಯತ್ನಿಸಿ. ನಂತರ ನಿಮ್ಮ ಪರಿಸರಕ್ಕಾಗಿ "ಸಂದರ್ಭ ಪ್ರಶ್ನೆ" ಟೆಂಪ್ಲೇಟ್‌ನಲ್ಲಿರುವ ಪ್ರಶ್ನೆಗಳಿಗೆ ಉತ್ತರಿಸಿ ಮತ್ತು ಆದೇಶವು ಹೇಗೆ ಬದಲಾಗುತ್ತದೆ ಎಂಬುದನ್ನು ಗಮನಿಸಿ.

ಪರಿಶೀಲನಾಪಟ್ಟಿ

• [ ] ನಾನು ಸ್ಕ್ಯಾನ್ ಔಟ್‌ಪುಟ್ ಅನ್ನು ಅನಾಮಧೇಯಗೊಳಿಸಿದ್ದೇನೆ; ಹೋಸ್ಟ್ ಮತ್ತು IP ಅನ್ನು ಮಾಸ್ಕ್ ಮಾಡಲಾಗಿದೆ.
• [ ] ಅನನ್ಯ CVE ಗಳ ಪಟ್ಟಿಯನ್ನು ಪಡೆಯಲು ನಾನು ನಕಲುಗಳನ್ನು ಸಂಯೋಜಿಸಿದೆ.
• [ ] ನಾನು ಪ್ರತಿ CVE ಮತ್ತು CVSS/EPSS/KEV ಮೌಲ್ಯವನ್ನು ಅಧಿಕೃತ ಮೂಲದಲ್ಲಿ ಪರಿಶೀಲಿಸಿದ್ದೇನೆ.
• [ ] ಇದು ನಕಲಿ ಅಥವಾ ತಪ್ಪು CVE/ಸ್ಕೋರ್ ಎಂದು ತಿಳಿದು, ನಾನು ಅದನ್ನು ದೃಢಪಡಿಸಿದೆ.
• [ ] ನಾನು ಶ್ರೇಯಾಂಕದಲ್ಲಿ ಸಾಂಸ್ಥಿಕ ಸಂದರ್ಭವನ್ನು (ಎಕ್ಸ್ಪೋಸರ್, ಕ್ರಿಟಿಕಲಿಟಿ, ಕಾಂಪೆನ್ಸೇಟರಿ ಕಂಟ್ರೋಲ್) ಸೇರಿಸಿದ್ದೇನೆ.
• [ ] ಕೇವಲ CVSS ಅಲ್ಲ; ನಾನು EPSS ಮತ್ತು KEV ಅನ್ನು ಸಹ ನೋಡಿದೆ.
• [ ] ನಾನು ಪ್ಯಾಚ್ ಯೋಜನೆಯನ್ನು ಡ್ರಾಫ್ಟ್ ಆಗಿ ಪರಿಗಣಿಸಿದೆ; ನಾನು ಪರೀಕ್ಷೆ ಮತ್ತು ಬದಲಾವಣೆ ನಿರ್ವಹಣೆ ಬಾಗಿಲು ಸೇರಿಸಿದೆ.