Timu za usalama zinapozungumzia udhaifu na usimamizi wa viraka, maneno mawili yanaonekana karibu kila mahali: CVE na CVSS. Mara nyingi hutumika pamoja, yote yana jukumu la kipekee katika kutathmini na kudhibiti udhaifu.
CVE hutambua udhaifu wa usalama wa mtandao unaojulikana hadharani, huku CVSS ikielezea jinsi ulivyo mkubwa. Moja huipa udhaifu jina la kawaida, huku nyingine ikiipa timu njia iliyopangwa ya kuelewa athari zake zinazowezekana.
Katika makala haya, tutachunguza tofauti kati ya CVE na CVSS, mambo ambayo yote mawili hufanya, na kwa nini ni muhimu kutathmini yote mawili linapokuja suala la udhaifu wa kufunga.
CVE ni nini?
Udhaifu wa Kawaida na Mifichuo (CVE) ni mfumo sanifu wa kutambua na kuorodhesha udhaifu wa usalama wa mtandao uliofichuliwa hadharani. Kila Rekodi ya CVE iliyochapishwa ina Kitambulisho cha kipekee cha CVE, kinachowapa wachuuzi, watafiti, zana za usalama, na timu za SecOps njia thabiti ya kurejelea udhaifu huo huo.
Mamlaka ya Kuhesabu Nambari za CVE (CNA) mara kwa mara hugawa Vitambulisho vya CVE na kuchapisha Rekodi za CVE zinazolingana. Kitambulisho cha CVE hufuata umbizo la CVE-YYYY-NNNN. Mwaka kwa ujumla huonyesha wakati Kitambulisho cha CVE kilipopewa au wakati udhaifu ulipofichuliwa hadharani kwa mara ya kwanza, huku sehemu ya mwisho ikiwa mfuatano wa kipekee wenye angalau tarakimu nne.
Kwa nini CVE ni muhimu?
Jukumu kuu la CVE ni utambulisho sanifu. Kitambulisho cha CVE huwapa wachuuzi, watafiti, zana za usalama, na watetezi marejeleo ya pamoja ya kujadili udhaifu huo huo katika mifumo, majukwaa, au teknolojia maalum.
Mfano wa CVE:
CVE-2021-44228 (Log4Shell): Udhaifu muhimu katika matoleo yaliyoathiriwa ya Apache Log4j2. Ilimruhusu mshambuliaji aliyedhibiti ingizo lililohifadhiwa kuanzisha utekelezaji wa msimbo wa mbali chini ya usanidi dhaifu.
CVSS ni nini?
Mfumo wa Uwekaji Alama wa Kawaida wa Udhaifu (CVSS) ni mfumo wa kuainisha, kukadiria, na kuwasilisha ukali wa kiufundi wa udhaifu wa programu. Ingawa CVE hutambua udhaifu, CVSS hutathmini sifa kama vile masharti yanayohitajika kwa unyonyaji na athari inayowezekana kwa usiri, uadilifu, na upatikanaji.
CVSS hutoa alama ya nambari kuanzia 0.0 hadi 10.0 ambayo inaweza kuunganishwa na ukadiriaji wa ubora kuanzia Hakuna hadi Muhimu. Alama hiyo hutoa ishara thabiti ya ukali, lakini haipaswi kuchukuliwa kama kipimo kamili cha hatari ya biashara au kipaumbele cha kurekebisha.
| Alama ya CVSS | Ukali unaohusiana |
|---|---|
| 0.0 | hakuna |
| 0.1 - 3.9 | Chini |
| 4.0 - 6.9 | Kati |
| 7.0 - 8.9 | High |
| 9.0 - 10.0 | Muhimu |
Alama za juu zinaonyesha ukali mkubwa wa kiufundi, lakini kipaumbele cha marekebisho kinapaswa pia kuzingatia mambo kama vile mfiduo, unyonyaji hai, umuhimu wa mali, na njia za kupunguza athari zinazopatikana.
Kwa nini CVSS ni muhimu?
CVSS huwapa timu za usalama njia sanifu ya kulinganisha ukali wa kiufundi na sifa za udhaifu wa programu. Hii inafanya iwe muhimu kwa majaribio ya awali, haswa wakati timu zinapitia idadi kubwa ya matokeo.
Hata hivyo, CVSS inapaswa kuwa sehemu moja ya kipaumbele badala ya pekee. Ufichuzi wa mali, umuhimu wa biashara, unyonyaji hai, na upatikanaji wa marekebisho unaweza kubadilisha udhaifu unaostahili kuzingatiwa kwanza.
CVE dhidi ya CVSS: Tofauti kuu
Ingawa CVE na CVSS zina uhusiano wa karibu, haziwezi kubadilishwa. CVE huwaambia timu ni udhaifu gani wanaoshughulika nao. CVSS huwasaidia kuelewa jinsi udhaifu huo unavyoweza kuwa mkubwa. Hapa kuna muhtasari mfupi wa jinsi wanavyotofautiana:
| Kiini | CVE | CVSS |
|---|---|---|
| Kusudi | Hutambua na kuorodhesha udhaifu unaojulikana hadharani | Inaelezea na kuwasilisha ukali wa udhaifu |
| kazi | Humpa mtu udhaifu kitambulisho cha kipekee | Huipa udhaifu alama ya ukali wa nambari |
| Vipimo muhimu vilivyotumika | Jina la muuzaji, matoleo ya bidhaa yaliyoathiriwa, maelezo, na tarehe za kuchapishwa | Vekta ya mashambulizi, ugumu, marupurupu yanayohitajika, mwingiliano wa mtumiaji, na athari |
| Imetunzwa na | Shirika la MITER kupitia Kituo cha Kitaifa cha Utafiti na Maendeleo kinachofadhiliwa na Serikali ya Usalama wa Mtandao (FFRDC) | Jukwaa la Timu za Kukabiliana na Matukio na Usalama (KWANZA) |
| Tumia kesi | Kufuatilia, kurejelea, kutafuta, na kuchora ramani ya udhaifu katika zana na ushauri | Kusaidia upimaji wa udhaifu na kulinganisha ukali |
| Kuzingatia | Utambulisho wa hatari | Ukali wa kiufundi |
| mfano | CVE-2021-44228 | CVSS 10.0 au CVSS 9.8 |
Mapungufu ya CVE na CVSS
CVE na CVSS ni muhimu, lakini hakuna hata moja inayoelezea hadithi kamili ya usimamizi wa udhaifu.
CVE hutambua udhaifu, lakini haikuambii kama udhaifu huo unaathiri mazingira yako, kama mfumo ulioathiriwa umefichuliwa, au kama washambuliaji wanautumia vibaya.
Tofauti muhimu ni kwamba ukali si sawa na hatari. CVSS inaelezea sifa za kiufundi za udhaifu. Kipaumbele halisi cha urekebishaji pia hutegemea kama shirika lako limeathiriwa, jinsi mali ilivyo wazi, kama unyonyaji unatokea, na jinsi mfumo ulioathiriwa ulivyo muhimu.
Kwa mfano, udhaifu muhimu katika mfumo wa majaribio uliotengwa unaweza kustahili kuzingatiwa mara moja kidogo kuliko udhaifu mdogo unaoathiri mali iliyo wazi, muhimu katika biashara.
Kwa hivyo, CVE hujibu, “Udhaifu huu ni upi?” CVSS hujibu, “Ukali wake ni mkubwa kiasi gani?” Uwekaji kipaumbele unaofaa unahitaji ishara hizo kuunganishwa na muktadha wa mazingira yako.
Ili kuifunga
CVE na CVSS hujibu maswali tofauti. CVE hupa timu za usalama kitambulisho cha kawaida cha udhaifu, huku CVSS ikitoa njia sanifu ya kuelezea ukali wake wa kiufundi. Zinapotumiwa pamoja, na pamoja na mfiduo wa mali, umuhimu wa biashara, na muktadha wa tishio, hutoa msingi imara wa upimaji wa udhaifu kuliko ishara yoyote pekee.
Veltar programu ya usimamizi wa udhaifu hutumia taarifa za CVE na CVSS pamoja na vigezo vya ziada kama vile Udhaifu Uliotumiwa (KEV) na Mfumo wa Ubashiri wa Utabiri wa Utumiaji (EPSS) kama ingizo la kupata alama za hatari kwa kifaa. Hii husaidia timu za TEHAMA na usalama kutambua sehemu za mwisho zilizo hatarini na kuweka kipaumbele urekebishaji kwa kutumia ukali na muktadha wa kifaa. Data ya udhaifu inaweza kuunganishwa kwa urahisi na sehemu za mwisho zinazohitaji umakini, badala ya kutibu kila CVE kama kipaumbele sawa cha uendeshaji.
