Kichanganuzi cha udhaifu huchanganua mfumo kwa ajili ya udhaifu wowote ulioorodheshwa kama CVE na kuuweka kwenye foleni kwa ajili ya marekebisho. Lakini hilo bado linawaacha timu za TEHAMA na swali muhimu: Je, udhaifu huu unahitaji hatua za haraka, au unaweza kusubiri hatari zaidi?
Hili linakuwa gumu zaidi wakati timu zinapodhibiti maelfu ya udhaifu katika sehemu za mwisho, programu, na miundombinu. Alama za ukali hutoa muktadha muhimu, lakini hazionyeshi kila wakati ikiwa washambuliaji wanatumia vibaya udhaifu katika mazingira halisi.
Katalogi ya CISA KEV husaidia kujaza pengo hilo. Inatambua udhaifu kwa ushahidi uliothibitishwa wa unyonyaji. Hii inawapa timu za TEHAMA na usalama ishara ya ziada ya kuweka kipaumbele marekebisho kulingana na shughuli halisi ya mshambuliaji badala ya ukali pekee.
CISA ni nini?
Wakala wa Usalama wa Mtandao na Miundombinu (CISA) ni wakala wa shirikisho wa Marekani ndani ya Idara ya Usalama wa Nchi. Unalenga kupunguza hatari za usalama wa mtandao na TEHAMA zinazoathiri mashirika ya serikali, miundombinu muhimu, biashara, na mfumo mpana wa kidijitali.
Kama sehemu ya jukumu hili, CISA huchapisha mwongozo wa usalama wa mtandao, arifa, taarifa za udhaifu, na rasilimali zingine ambazo mashirika yanaweza kutumia ili kuimarisha mkao wao wa usalama. Mojawapo ya rasilimali hizo ni orodha ya KEV.
KEV ni nini?
Udhaifu Unaojulikana wa Kunyonywa (KEVs) hurejelea udhaifu wa usalama ambao kuna ushahidi wa kuaminika kwamba washambuliaji wameutumia vibaya katika mazingira halisi.
Udhaifu unaoweza kutumiwa kitaalamu hauufanyi kuwa KEV kiotomatiki. Kulingana na vigezo vilivyoelezwa kwa orodha na CISA, udhaifu lazima uwe na kitambulisho cha CVE, ushahidi uliothibitishwa wa unyonyaji na mshambuliaji, na mwongozo wa urekebishaji unaoweza kuchukuliwa hatua kabla ya kuhitimu kujumuishwa.
Hii inafanya KEV kuwa kipimo muhimu cha kuweka kipaumbele udhaifu. Badala ya kuonyesha jinsi mshambuliaji anavyofanya nguvu kutumia vibaya, inaangazia udhaifu ambao washambuliaji tayari wameonyesha uwezo na nia ya kuutumia.
Katalogi ya CISA KEV ni nini?
Katalogi ya CISA KEV ni orodha inayopatikana hadharani na inayosasishwa kila mara ya udhaifu wa vifaa na programu ambao umetumika kikamilifu katika mashambulizi ya ulimwengu halisi.
Kila udhaifu katika orodha unahusishwa na taarifa zinazosaidia timu kutambua na kurekebisha tatizo, ikiwa ni pamoja na maelezo kama vile:
- Kitambulisho cha CVE
- Muuzaji na bidhaa iliyoathiriwa
- Jina na maelezo ya udhaifu
- Tarehe ambapo udhaifu uliongezwa
- Hatua ya kurekebisha inayohitajika
- Tarehe ya mwisho ya marekebisho
- Maelezo au marejeleo husika
Katalogi hii hufanya kazi kama zaidi ya hifadhidata nyingine ya udhaifu na hutoa mashirika na kundi la udhaifu unaojulikana ambapo unyonyaji wa ulimwengu halisi tayari umeanzishwa.
CISA hapo awali ilitumia orodha hiyo kama sehemu ya Maelekezo ya Uendeshaji ya Kufunga (BOD) 22-01. Hata hivyo, agizo hilo lilibadilishwa na BOD 26-04, ambayo sasa inawataka mashirika ya Tawi la Utendaji la Raia la Shirikisho la Marekani kurekebisha udhaifu ulioorodheshwa kwa kutumia mbinu ya ngazi, inayotegemea hatari badala ya tarehe za mwisho zilizowekwa. Mashirika mengine ambayo hayatii mahitaji haya ya shirikisho bado yanaweza kutumia KEV kama mchango wa kuweka kipaumbele udhaifu wao wenyewe na michakato ya viraka.
KEV dhidi ya CVE: Tofauti ni ipi?
KEV na CVE zina uhusiano wa karibu, lakini zinatimiza malengo tofauti.
CVE ni orodha iliyofichuliwa hadharani ya udhaifu wa usalama wa kompyuta na programu. Kitambulisho cha CVE huwapa timu za usalama, wachuuzi, vitambazaji, na zana zingine marejeleo ya kawaida ya kujadili udhaifu huo huo.
Kwa upande mwingine, KEV inaonyesha kwamba CVE ina ushahidi wa unyonyaji katika mashambulizi ya ulimwengu halisi. Kwa hivyo, kila ingizo la KEV lina kitambulisho cha CVE, lakini ni kundi dogo tu la CVE linalokuwa sehemu ya orodha ya KEV.
| Mtazamo | CVE | KEV |
|---|---|---|
| Imara na | Shirika la MITER | CISA |
| Kusudi | Hutambua udhaifu unaojulikana hadharani | Hutambua udhaifu unaojulikana kuwa umetumiwa vibaya |
| Kinachowaambia timu za TEHAMA | Kuna udhaifu | Washambuliaji wametumia vibaya udhaifu huo porini |
| Scope | Orodha pana ya udhaifu uliofichuliwa hadharani | Sehemu ndogo na iliyopangwa ya CVEs |
| Unyonyaji Uliothibitishwa | Hapana | Ndiyo |
| Matumizi ya msingi | Utambuzi na ufuatiliaji wa udhaifu | Uwekaji kipaumbele na urekebishaji wa udhaifu |
| Mwongozo wa marekebisho | Inategemea muuzaji au taarifa za udhaifu zinazoambatana nazo | Inajumuisha kitendo kinachohitajika kwa maingizo ya katalogi |
Tofauti hiyo inakuwa muhimu wakati wa kuweka kipaumbele. Kichanganuzi kinaweza kutambua CVE nyingi katika mazingira, ikiwa ni pamoja na kadhaa zenye ukadiriaji wa hali ya juu. Ikiwa baadhi ya udhaifu huo pia unaonekana katika KEV, timu hupata sababu nyingine kubwa ya kuzihamisha juu katika foleni ya urekebishaji kwa sababu unyonyaji si wa kinadharia tena.
KEV haipaswi kuchukua nafasi ya ufuatiliaji mpana wa CVE au ishara zingine za hatari. Udhaifu ambao haujaorodheshwa kwa sasa katika KEV bado unaweza kuwakilisha hatari kubwa kulingana na unyonyaji, ufichuzi wa mali, umuhimu wa biashara, na athari inayowezekana.
Katalogi ya KEV inawasaidiaje timu za TEHAMA?
Kwa timu za TEHAMA zinazoshughulika na mrundikano mkubwa wa udhaifu, KEV hutoa njia inayotegemea ushahidi wa kuamua ni wapi rasilimali za urekebishaji zinapaswa kukusanywa.
Hapa kuna baadhi ya njia kuu ambazo KEV inaweza kusaidia usimamizi wa udhaifu:
- Weka kipaumbele katika udhaifu unaotumiwa kikamilifu: Timu zinaweza kutambua CVE zinazoonekana katika KEV na kuzisonga mbele ya udhaifu ambao unyonyaji haujaonekana.
- Boresha uwekaji kipaumbele wa kiraka: KEV huwapa timu za usimamizi wa viraka kipaumbele cha ziada pamoja na alama za ukali, umuhimu wa mali, mfiduo, na athari za biashara.
- Punguza kelele zisizo za lazima: KEV husaidia timu za TEHAMA kuzingatia udhaifu unaohusishwa na shughuli za washambuliaji zilizoonyeshwa badala ya zile zinazoweza kuathiriwa.
- Tathmini upya udhaifu uliopo: CVE ambayo hapo awali ilikuwa na kipaumbele cha chini cha urekebishaji inaweza kuhitaji kuzingatiwa upya mara moja ikiwa CISA baadaye itaiongeza kwenye KEV.
- Saidia usimamizi wa udhaifu unaotegemea hatari: KEV inaongeza ushahidi wa unyonyaji halisi kwenye data ya udhaifu wa kiufundi, na kusaidia timu kufanya maamuzi ya kurekebisha kulingana na zaidi ya alama za ukali pekee.
- Vitendo vya kurekebisha mwongozo: Maingizo ya katalogi yanatambua hatua ambazo mashirika yanapaswa kuchukua ili kushughulikia mifumo iliyoathiriwa, kama vile kutumia masasisho ya wachuuzi au kufuata mwongozo maalum wa kupunguza athari.
- Washa uwekaji kipaumbele kiotomatiki: Kwa kuwa taarifa za KEV zinapatikana katika miundo inayoweza kusomwa na mashine, mashirika yanaweza kuzijumuisha katika uchanganuzi wa udhaifu, uwekaji tiketi, usimamizi wa kiraka, au mtiririko wa kazi za usalama ili kuashiria mifumo iliyoathiriwa haraka zaidi.
Kwa mfano, tuseme skana ya udhaifu itagundua udhaifu mbili: moja ina alama ya ukali wa juu sana lakini hakuna ushahidi wa unyonyaji unaoendelea, huku nyingine ikiwa na alama ya chini lakini inaonekana katika KEV. Ukali unabaki kuwa muhimu, lakini orodha ya KEV inaiambia timu ya TEHAMA kwamba washambuliaji tayari wanatumia udhaifu wa pili dhidi ya mifumo halisi.
Taarifa hiyo inaweza kubadilisha kimsingi ni kiraka gani kinachoanza kutumika.
Kwa hivyo, KEV ni muhimu zaidi inapojumuishwa na muktadha wa ziada. Umuhimu wa mali, uwazi wa intaneti, njia za kupunguza athari zinazopatikana, alama za CVSS, ujasusi wa vitisho, na athari inayowezekana ya biashara kutokana na maelewano bado inapaswa kuchangia katika uamuzi wa mwisho wa kurekebisha.
Tumia KEV kama ishara ya uwekaji kipaumbele wa udhaifu wa haraka na wa muktadha zaidi
Katalogi ya CISA KEV huwapa timu za TEHAMA na usalama njia ya vitendo ya kutofautisha udhaifu unaojulikana tu kutoka kwa wale walio na ushahidi uliothibitishwa wa unyonyaji. Hilo hufanya KEV kuwa muhimu hasa wakati timu zinahitaji kuamua wapi uwezo mdogo wa kurekebisha unapaswa kulenga.
Veltar programu ya usimamizi wa udhaifu Huleta muktadha huu kwenye udhaifu wa mwisho kwa kuchanganya data ya CISA KEV na muktadha wa CVSS, EPSS, na mwisho. Hii husaidia timu za TEHAMA kulenga udhaifu kwa kutumia shughuli za unyonyaji zilizothibitishwa, kuelewa ni vipi vya mwisho vinavyosimamiwa vinavyoathiriwa, na kuweka kipaumbele marekebisho kulingana na zaidi ya ukali pekee.
