ලාභ:
- ආයතනික සන්දර්භය (නිරාවරණය, විවේචනාත්මක බව, වන්දි පාලනය) සමඟ CVSS (තීව්රතාවය), EPSS (අපයෝජනය වීමේ සම්භාවිතාව) සහ KEV (සැබෑ අපයෝජනය) ඒකාබද්ධ කිරීමෙන් නිවැරදිව ප්රමුඛත්වය දීමට ඇති හැකියාව
- කෘතිම බුද්ධියට NVD/EPSS/KEV මූලාශ්රවල නිර්මාණය කළ හැකි CVE අංක සහ ලකුණු සත්යාපනය කිරීමේ හැකියාව සහ වෙනස් කිරීමේ කළමනාකරණ ද්වාරය හරහා පැච් කිරීමේ සැලැස්ම සම්මත කිරීම
- ඉහළ CVSS යන්නෙන් පමණක් ප්රමුඛත්වය අදහස් නොවන බව තේරුම් ගන්න, නමුත් සැබෑ අවදානම තීරණය වන්නේ සන්දර්භය අනුව බව.
සෑම ආයතනයකම දුර්වලතා දහස් ගණනක් ඇත: මෘදුකාංගයක අවදානමක්, වැරදි වින්යාස කිරීමක් හෝ ප්රහාරකයෙකුට ගසාකෑමට හැකි යල් පැන ගිය සංරචකයකි. දුර්වලතා ස්කෑනරයක් - පද්ධති පරිලෝකනය කරන මෙවලමක් සහ දන්නා දුර්වලතා ලැයිස්තුගත කරයි - මධ්යම ප්රමාණයේ සංවිධානයක පහසුවෙන් සොයාගැනීම් 10,000-50,000 ලබා දෙයි. ගැටලුව ඔවුන් සොයා නොගැනීමයි; ඒ සියල්ල එකවර වසා දැමිය නොහැකි මෙම ගොඩේ, මුලින්ම පැච් කළ යුත්තේ කුමන එකද යන්න තීරණය කිරීම වැදගත්ය. වැරදි ප්රමුඛතා ක්රම දෙකකින් හානියක් සිදු කරයි: ඔබ සැබවින්ම භයානක දේ ප්රමාද කරයි, නැතහොත් නොවැදගත් සොයාගැනීම් දහස් ගණනකට වඩා ඔබ කණ්ඩායම සහ ව්යාපාරික අඛණ්ඩතාවය වෙහෙසකරයි.
කෘතිම බුද්ධිය මෙම ප්රමුඛතාවයේ ප්රබල ආධාරකයකි. එයට ස්කෑන් ප්රතිදානයේ පේළි දහස් ගණනක් සමූහගත කිරීමට, අනුපිටපත් ඒකාබද්ධ කිරීමට, එක් එක් සොයා ගැනීම මිනිස් භාෂාවට පරිවර්තනය කිරීමට, “මෙය වැදගත් වන්නේ ඇයි” යන්න පැහැදිලි කිරීමට සහ ප්රමුඛතා දළ සටහනක් සැපයිය හැකිය. නමුත් AI ඔබේ ආයතනයේ කුමන සේවාදායකය අන්තර්ජාලයට විවෘතද සහ තීරණාත්මක දත්ත ගබඩා කරන්නේ කුමක්දැයි නොදනී; සහ වඩාත්ම භයානක ලෙස, එය නොපවතින අවදානම් අනන්යතාවයක් (CVE) ගොතනු ඇත. එබැවින් AI ශ්රේණිගත කිරීමේ දළ සටහන ජනනය කර පැහැදිලි කරයි, නමුත් අවසාන ප්රමුඛතා තීරණය ගනු ලබන්නේ ආයතනික සන්දර්භය සහ වලංගු දත්ත සමඟ විශ්ලේෂක විසිනි.
ප්රමුඛත්වය පිළිබඳ මූලික සංකල්ප
අපි නියමයන් කිහිපයක් පැහැදිලි කරමු. CVE (පොදු අවදානම් සහ නිරාවරණ) යනු සෑම දන්නා අවදානමකටම ලබා දී ඇති අනන්ය ID වේ (උදා: CVE-2021-44228, කුප්රකට Log4Shell). CVSS (Common Vulnerability Scoring System) යනු අවදානමක තාක්ෂණික බරපතලකම 0 සිට 10 දක්වා ලකුණු කරන සම්මතයයි. 9.0+ "විවේචනාත්මක" ලෙස සැලකේ. නමුත් CVSS පමණක් ප්රමාණවත් නොවන්නේ එය "එය කෙතරම් බරපතල විය හැකිද" කියා පවසන නිසා මිස "එය ඇත්ත වශයෙන්ම අපයෝජනයට ලක් වීමට ඇති ඉඩකඩ කෙතරම්ද" යන්න නොවේ. EPSS (EPSS (Exploit Prediction Scoring System)) පැමිණෙන්නේ මෙහිදීය: එය ඉදිරි දින 30 තුළ අවදානමක් ඇත්ත වශයෙන්ම සූරාකෑමේ සම්භාවිතාව පුරෝකථනය කරයි. KEV (දැනගත් සූරාකෑමට ලක් වූ අවදානම්) ලැයිස්තුව ද ඇත: සත්ය ප්රහාරවලදී භාවිතා කරන බවට ඔප්පු වී ඇති අවදානම්; මේවා නිරපේක්ෂ ප්රමුඛතාවයකි.
නිසි ප්රමුඛතාවය මෙම තුන සහ ව්යවසාය සන්දර්භය ඒකාබද්ධ කරයි: ඉහළ CVSS + ඉහළ EPSS + KEV ලැයිස්තුවේ + විවේචනාත්මක සේවාදායකය අන්තර්ජාලයට විවෘතයි = වහාම පැච් කරන්න. ඉහළ CVSS නමුත් අඩු EPSS + අභ්යන්තර ජාලයේ + සීමා කළ ප්රවේශය = නියමිත පැච් කිරීම.
ප්රමුඛතා සාධක වගුව
සාධකය
එය පවසන්නේ කුමක්ද
මූලාශ්රය
ඒක විතරක් මදිද?
CVSS ලකුණු
තාක්ෂණික බරපතලකම (0-10)
NVD / වෙළෙන්දා
නැත - එය සම්භාවිතාව නොකියයි
EPSS ලකුණු
සූරාකෑමේ සම්භාවිතාව (%)
FIRST.org
නැත - සන්දර්භය පවසන්නේ නැත
KEV ලැයිස්තුව
ඇත්තටම එය සූරාකෑමකට ලක් වෙනවාද?
CISA KEV
ප්රබල සංඥාව, එකම එක නොවේ
වත්කම් විවේචනය
සේවාදායකය කොතරම් වටිනවාද?
ආයතනික ඉන්වෙන්ටරි
සන්දර්භය සපයයි
නිරාවරණය
එය අන්තර්ජාලයට විවෘතද නැතිනම් හුදකලාද?
ජාල ගෘහ නිර්මාණ ශිල්පය
සන්දර්භය සපයයි
වන්දි පාලනය
WAF, ඛණ්ඩනයක් තිබේද?
ආයතන තොරතුරු
අවදානම අඩු කරයි
AI මෙම වගුව පිරවීමට ඉක්මන් වේ; නමුත් නිල මූලාශ්රයෙන් CVSS/EPSS/KEV අගයන් තහවුරු කිරීම සහ ආයතනික දැනුම සමඟ වත්කම් විවේචනය සහ නිරාවරණය එකතු කිරීම ඔබේ වගකීමකි.
අවදානම් ප්රමුඛතා පියවර
- ස්කෑන් ප්රතිදානය එකතු කර නිර්නාමික කරන්න. අභ්යන්තර ධාරක නාම සහ IP මාස්ක් කරන්න.
- කණ්ඩායම් සහ පුනරාවර්තනය අඩු කරන්න. විවිධ යන්ත්රවල එකම අවදානමේ පුනරාවර්තන ඒකාබද්ධ කර අද්විතීය CVE ලැයිස්තුවක් නිර්මාණය කිරීමට AI හට ඉඩ දෙන්න.
- පොහොසත් කරන්න. එක් එක් CVE සඳහා CVSS, EPSS සහ KEV තත්ත්වය ඇතුළත් කරන්න - නමුත් ඒවා නිල මූලාශ්රයෙන් තහවුරු කරන්න.
- සන්දර්භය එක් කරන්න. කුමන පද්ධතිය අන්තර්ජාලයට විවෘතද, කුමන තීරනාත්මක දත්ත දරයි, කුමන වන්දි පාලනයක් පවතීද - ඔබ එය එකතු කරන්න.
- අනුව තෝරන්න. බරපතලකම + සම්භාවිතාව + සන්දර්භය ඒකාබද්ධ කරන ප්රමුඛතා ලැයිස්තුවක් සකස් කර ගන්න.
- තහවුරු කර තීරණය කරන්න. ඉහත සොයාගැනීම්වල CVEs අව්යාජ බවත්, එම අනුවාදයන් ඔබේ ආයතනයේ ඇත්ත වශයෙන්ම පවතින බවත් තහවුරු කරන්න; විශ්ලේෂකයෙකු ලෙස පැච් කිරීමේ සැලැස්ම අනුමත කරන්න.
කුඩා නඩු තුනක්
සිද්ධි 1 — සොයාගැනීම් 12,000ක්, සැබෑ ප්රමුඛතා 40ක්. විශ්ලේෂකයෙකු විසින් නිර්නාමික ස්කෑන් ප්රතිදානය රේඛා 12,000ක් AI වෙත ලබා දෙයි. AI පුනරාවර්තන ඒකාබද්ධ කර ඒවා අද්විතීය CVEs 380 දක්වා අඩු කරයි, EPSS සහ KEV දත්ත සමඟ ඒවා පොහොසත් කරයි, සහ "KEV ලැයිස්තුවේ ඇති සහ අන්තර්ජාලයට විවෘත සේවාදායකයේ පිහිටා ඇති අවදානම් 40" ඉස්මතු කරයි. විශ්ලේෂක විසින් මෙම CVEs 40 NVD සහ KEV නාමාවලියෙහි තහවුරු කරයි, ඇත්ත වශයෙන්ම පැය 24ක් ඇතුළත පවතින තීරනාත්මක දුර්වලතා 3ක් ගැලපේ. තොගය 12,000 සිට කළමනාකරණය කළ හැකි 40 දක්වා අඩු වී ඇත. විශ්ලේෂක තීරණය කළේය.
නඩුව 2 - ව්යාජ CVE. තවත් විශ්ලේෂකයෙකුට AI ප්රමුඛත්වය ලබා දී ඇත; AI පවසන්නේ "CVE-2023-88888, CVSS 9.8, දැන් පැච් කරන්න." විශ්ලේෂක NVD හි මෙම අංකය සොයයි - වාර්තාවක් නැත, ආකෘතිය සෑදී ඇත. ඒක කන්ෆර්ම් වුනේ නැත්නම් කට්ටියම නැති පැච් එකක් හොයනවා. පාඩම: සෑම CVE අංකයක්ම NVD/වෙළෙන්දා රෙජිස්ට්රියේ සත්යාපනය කරන තෙක් ප්රමුඛත්වය ලබා නොදේ.
නඩුව 3 - CVSS ඉහළ නමුත් අවදානම අඩුය. ස්කෑනරයක් අභ්යන්තර ජාලයේ පරීක්ෂණ සේවාදායකයක් මත CVSS 9.1 අවදානමක් සොයා ගනී. AI මෙයට මුල් තැන දෙයි. නමුත් විශ්ලේෂකයා සන්දර්භය එකතු කරයි: සේවාදායකය අන්තර්ජාලයට වසා ඇත, විවේචනාත්මක දත්ත නොමැත, එය ඉදිරියෙන් ජාල ඛණ්ඩනයක් ඇත, සහ EPSS ලකුණු 0.4% කි. එම ලැයිස්තුවේම, CVSS 7.5 වන නමුත් අන්තර්ජාලයට විවෘතව ඇති සහ KEV හි ඇති තවත් අවදානමක් ඇත. විශ්ලේෂක ශ්රේණිගත කිරීම නිවැරදි කරයි: අඩු CVSS සහිත නමුත් ඇත්ත වශයෙන්ම සූරාකෑමට ලක්වන KEV හි ඇති අවදානම පළමුව පැමිණේ. පාඩම: CVSS පමණක් ප්රමුඛතාවයක් නොවේ; සන්දර්භය තීරණය කරයි.
දුර්වල ක්ෂණික / ශක්තිමත් විමසුම
දුර්වල ක්ෂණික:
මෙම දුර්වලතා වඩාත් භයානක සිට භයානක දක්වා ශ්රේණිගත කර ඒවායේ CVSS ලකුණු ලියන්න. [ස්කෑන් ප්රතිදානය]
මෙම හිමිකම් පෑම CVSS මත පමණක් රඳා පවතී (සම්භාවිතාව සහ සන්දර්භය නොසලකා හරිමින්), CVSS/CVE අගයන්ට ගැලපෙන පරිදි AI සඳහා දොර විවෘත කරයි, සහ නියෝජිතායතන නිරාවරණය සැලකිල්ලට නොගනී.
බලවත් විමසුම:
ඔබගේ කාර්යභාරය: ආරක්ෂක විශ්ලේෂක වෙත ප්රමුඛතා කෙටුම්පත් සහායක. තීරණ ගැනීම; පැච් කිරීම ඇණවුම් නොකරන්න. පහත සඳහන් නිර්නාමික ස්කෑන් ප්රතිදානය ක්රියාවට නංවන්න:(1) අනුපිටපත් ඒකාබද්ධ කිරීම, ප්රතිදානය අනන්ය CVE ලැයිස්තුව, (2) එක් එක් CVE සඳහා CVSS, EPSS සහ KEV තත්ත්වය ජනනය කරන්න, නමුත් එක් එක් අගය "[NVD/EPSS/KEV වෙතින් සත්යාපනය කළ යුතුය]" ලෙස සලකුණු කරන්න; කිසිදු අගයක් සාදන්න එපා, ඔබට විශ්වාස නැත්නම් "[නොදන්නා]" ලියන්න, (3) ආයතනික සන්දර්භය (නිරාවරණය, වත්කම් විවේචනය, වන්දි පාලනය) සඳහා මා ඇසිය යුතු ප්රශ්න 3ක් මට ලියන්න, (4) තාක්ෂණික දත්ත මත පමණක් මූලික ශ්රේණිගත කිරීමක් සපයන්න, මම එය ව්යවසාය සන්දර්භය සමඟ නිවැරදි කරන බව ප්රකාශ කරන්න. ප්රතිදානය: [නිර්නාමික ස්කෑන් ප්රතිඵලය]
බලවත් ප්රේරකය CVSS/EPSS/KEV ත්රිත්වය ඉල්ලා සිටින අතර, එක් එක් අගය සත්යාපනය කිරීමට තබයි, ආයතනික සන්දර්භය ඔබෙන් ලබාගෙන අවසාන තීරණය ඔබට ලබා දෙයි.
පිටපත් කළ හැකි ක්ෂණික සැකිලි
අවදානම් කණ්ඩායම් සැකිල්ල පහත සඳහන් නිර්නාමික ස්කෑන් ප්රතිදානය ක්රියාවට නංවන්න: (1) විවිධ යන්ත්ර හරහා එකම CVE හි සිදුවීම් ඒකාබද්ධ කිරීම, (2) අද්විතීය CVE සහ බලපෑමට ලක් වූ යන්ත්ර ගණන උපුටා ගැනීම, (3) නිෂ්පාදනය/සංරචක අනුව කණ්ඩායම්. කිසිදු CVE අංකයක් සාදන්න එපා; මූලාශ්රයේ නැති දෙයක් එකතු නොකරන්න. ප්රතිදානය: [පේස්ට්]
ත්රිත්ව පොහොසත් කිරීමේ අච්චුව CVE ලැයිස්තුව සඳහා, CVSS මූලික ලකුණු, EPSS සම්භාවිතාව සහ එය එක් එක් පේළියේ KEVlist මත තිබේද යන්න එක් කරන්න. "[සත්යාපනය: මූලාශ්රය]" ධජය සමඟ සෑම අගයක්ම අපනයනය කරන්න; නිවැරදි දත්ත ඉදිරිපත් කිරීම, නිර්මාණය කිරීම. ඔබට විශ්වාස නැති CVE සඳහා "[NVD හි තහවුරු කරන්න]" ටයිප් කරන්න. CVEs: [පේස්ට්]
සන්දර්භය ප්රශ්න සැකිල්ල පහත සඳහන් ප්රමුඛතා දුර්වලතා සඳහා, මට ඒවා නිවැරදිව ශ්රේණිගත කිරීමට හැකි වන පරිදි, සංවිධාන සන්දර්භය පිළිබඳව ඔබ මගෙන් ඇසීමට අවශ්ය ප්රශ්න උත්පාදනය කරන්න: නිරාවරණය (එය අන්තර්ජාලයට විවෘතද), වත්කම් විවේචනය, දත්ත සංවේදීතාව, වන්දි පාලන, පැච් කවුළුව. මම පිළිතුරු දෙන්නෙමි; ඔබ ශ්රේණිගත කිරීම යාවත්කාලීන කරන්නේ ඉන් පසුවය. අවදානම්: [පේස්ට්]
PATCH PLAN DRAFT TEMPLATEDRAFT වලංගු ප්රමුඛතා ලැයිස්තුව සහ මා සපයන සන්දර්භය මත පදනම්ව පැච් කිරීමේ සැලැස්මක්: ක්ෂණික (පැ. 24), කෙටි කාලීන (7d), සැලසුම් කළ (30d) බාල්දි; එක් එක් අවදානම සහ විභව ව්යාපාරික බලපෑම්/ඇනහිටීම් අවදානම සඳහා සාධාරණීකරණය කිරීම. මෙය කෙටුම්පතකි; අනුමැතිය සහ ක්රියාත්මක කිරීම විශ්ලේෂක සහ වෙනස් කළමණාකරණයට අයත් වේ. දත්ත: [පේස්ට්]
පොදු වැරදි
- නිකන් CVSS බලනවා. ඉහළ CVSS අඩු සැබෑ අවදානමක් දැක්විය හැක; EPSS (සම්භාවිතාව), KEV (සැබෑ සූරාකෑම) සහ සන්දර්භය එකට සලකා බලන්න.
- CVE සත්යාපනය නොකරයි. AI නොවන CVE අංක සහ ලකුණු සෑදිය හැක; NVD/ අලෙවි නියෝජිත ලියාපදිංචිය සමඟ එක් එක් තහවුරු කරන්න.
- ආයතනික සන්දර්භය මග හැරීම. එය අන්තර්ජාලයට විවෘතද, විවේචනාත්මක දත්ත තිබේද, වන්දි පාලනයක් තිබේද - මේවා ශ්රේණිගත කිරීම සම්පූර්ණයෙන්ම වෙනස් කරයි.
- අනුවාද ගැලපීම උපකල්පනය කිරීම. බ්රවුසරය සමහර විට වැරදි අනුවාදය කියවයි; අවදානම ඇත්ත වශයෙන්ම ඔබේ සංවිධානයේ පවතින බව තහවුරු කරන්න (ව්යාජ ධනාත්මක ස්කෑන්).
- ව්යාපාරික බලපෑමකින් තොරව පැච් සැලැස්ම තනිවම ක්රියාත්මක කිරීම. විවේචනාත්මක පැල්ලමක් ව්යාපාර බාධා ඇති කළ හැකිය; වෙනස් කළමණාකරණය සහ පරීක්ෂා කිරීම අත්යවශ්ය වේ.
ඉඟිය: ප්රමුඛතාවයේ රන් සංයෝජනය වන්නේ "KEV ලැයිස්තුගත කර ඇත + අන්තර්ජාලයට විවෘතයි + ඉහළ EPSS". මෙම තුන ඡේදනය වුවහොත්, එම අවදානම CVSS නොසලකා ලැයිස්තුවේ ඉහළට යයි.
අවවාදයයි: අවදානමක් "විවේචනාත්මක" ලෙස ප්රකාශ කිරීම සහ එය වහාම ඇලවීම ද අවදානම් විය හැක; පරීක්ෂා නොකළ පැච් නිෂ්පාදනය බිඳ වැටිය හැක. AI නිෂ්පාදනය කරන සැලැස්ම සැලැස්මකි; ක්රියාත්මක කිරීම වෙනස් කළමණාකරණ ක්රියාවලිය සහ පරීක්ෂණ දොරටුව හරහා සිදු වේ.
සාරාංශයකින්
අවදානම් කළමනාකරණයේ දුෂ්කර කොටස වන්නේ එය සොයා ගැනීම නොව, සොයාගැනීම් දහස් ගණනක් අතරින් නිවැරදි එක ඉස්මතු කිරීමයි. AI විසින් ස්කෑන් ප්රතිදානය සමූහගත කරයි, පුනරාවර්තනය අඩු කරයි, එය මිනිස් භාෂාවට පරිවර්තනය කරයි, සහ ශ්රේණිගත දළ සටහනක් සපයයි. නමුත් නිසි ප්රමුඛතාවය තනි අංකයකින් නොලැබේ: CVSS (තීව්රතාවය), EPSS (සම්භාවිතාව), KEV (සැබෑ සූරාකෑම) සහ ආයතනික සන්දර්භය (නිරාවරණය, විවේචනාත්මකභාවය, වන්දි පාලනය) එකට ඇගයීමට ලක් කෙරේ. AI හි වඩාත්ම භයානක වැරැද්ද වන්නේ CVE නොවන සහ ලකුණු සැකසීමයි; එබැවින් සෑම අගයක්ම NVD/EPSS/KEV හි වලංගු වේ, ව්යවසාය සන්දර්භය ඔබ විසින් එකතු කරනු ලැබේ, සහ පැච් කිරීමේ සැලැස්ම වෙනස් කළමණාකරණ ද්වාරය හරහා යයි.
යෙදුම් කාර්යය
නියැදි ස්කෑන් ප්රතිදානයක් ලබා ගන්න (ඔබගෙන් හෝ නියැදි දත්ත වලින් නිර්නාමික). අද්විතීය CVE ලැයිස්තුව සහ CVSS/EPSS/KEV ලුහුඬු සටහන් AI වෙතින් "අවදානතා සමූහකරණය" සහ "ත්රිත්ව පොහොසත් කිරීම" සමඟින් උපුටා ගන්න. NVD සහ CISA KEV නාමාවලියෙහි ඉහළම CVEs 5 ඔබම සත්යාපනය කරන්න; අවම වශයෙන් එක් කල්පිත හෝ ව්යාජ අගයක් අල්ලා ගැනීමට උත්සාහ කරන්න. ඉන්පසු ඔබේ පරිසරය සඳහා "සන්දර්භය ප්රශ්නය" අච්චුවේ ඇති ප්රශ්නවලට පිළිතුරු සපයන අතර ඇණවුම වෙනස් වන ආකාරය සටහන් කරන්න.
පිරික්සුම් ලැයිස්තුව
- [ ] මම ස්කෑන් ප්රතිදානය නිර්නාමික කළෙමි; සත්කාරක සහ IP ආවරණ කර ඇත.
- [ ] අද්විතීය CVE ලැයිස්තුවක් ලබා ගැනීමට මම අනුපිටපත් ඒකාබද්ධ කළෙමි.
- [ ] මම නිල මූලාශ්රයේ එක් එක් CVE සහ CVSS/EPSS/KEV අගය සත්යාපනය කළෙමි.
- [ ] එය ව්යාජ හෝ වැරදි CVE/ලකුණු විය හැකි බව දැන, මම එය තහවුරු කළෙමි.
- [ ] මම ශ්රේණිගත කිරීමේදී ආයතනික සන්දර්භය (නිරාවරණය, විවේචනාත්මකභාවය, වන්දි පාලනය) ඇතුළත් කළෙමි.
- [ ] CVSS පමණක් නොවේ; මමත් බැලුවා EPSS සහ KEV.
- [ ] මම පැච් සැලැස්ම කෙටුම්පතක් ලෙස සැලකුවෙමි; මම පරීක්ෂණ සහ වෙනස් කිරීමේ කළමනාකරණ දොර එකතු කළා.