דער נאַשאַנאַל אינסטיטוט פון סטאַנדאַרדס און טעכנאָלאָגיע (NIST) איז אין אַ בינדן, און איינער וואָס האט ערנסט ימפּלאַקיישאַנז פֿאַר סייבערסעקוריטי טימז ווערלדווייד. די נאַשאַנאַל וואַלנעראַביליטי דאַטאַבאַסע (NVD), די ריפּאַזאַטאָרי פֿאַר פּראָסט וואַלנעראַביליטיז און יקספּאָוזשערז (CVEs), איז באַקינג אונטער די וואָג פון אַן אַנפּרעסידענטיד באַקלאָג. זינט אפריל, בלויז 4,000 פון קימאַט 11,000 CVEs זענען פּראַסעסט, וואָס לאָזן אַ סטאַגערינג 7,000 וואַלנעראַביליטיז אין לימבאָו. דער באַקלאָג איז נישט בלויז אַ מינערווערטיק כייקאַפּ - עס איז אַ גלערינג זיכערהייט ריזיקירן.
אין דעם פּנים פון דעם גראָוינג קריזיס, ווי קענען זיכערהייט טימז ענשור אַז זיי בלייבן פאָרויס פון פּאָטענציעל טרעץ?
קראַנט מיטיגאַטיאָן השתדלות דורך NIST
נעצון זיו, סעאָ ביי Ox Security, לייגט עס אָפן.
"די באַקלאָג פון אַנפּראַסעסט CVEs ביי די NVD פּאָוזיז באַטייטיק ריסקס פֿאַר אָרגאַנאַזיישאַנז, קריייטינג פּאָטענציעל בלינד ספּאַץ און פאַרהאַלטן רעספּאָנסעס צו נייַע טרעץ," ער דערציילט ISMS.online. "דער באַקלאָג בענעפיטן בייזע אַקטערז, ינקריסינג צושטעלן קייט ריסקס אַריבער קריטיש סעקטאָרס."
Roger Grimes, דאַטן-געטריבן פאַרטיידיקונג עוואַנגעליסט אין KnowBe4, אַנדערקאָרז די וואָג פון די אַרויסרופן.
"לעצטע יאָר, עס זענען געווען איבער 33,000 וואַלנעראַביליטיז, לויט די NVD. וואָס אַרבעט אויס צו איבער 90 נייַ ווייכווארג און פירמוואַרע וואַלנעראַביליטיז יעדער טאָג. דאַקיומענטינג, וועראַפייינג און ראַנג די טרעץ איז אַ גוואַלדיק אַרבעט, "ער דערציילט ISMS.online.
גרימעס מוסיף אַז "33% פון אַלע געראָטן דאַטן בריטשיז זענען בלויז מעגלעך ווייַל פון אַנפּאַטשט ווייכווארג און פירמוואַרע וואַלנעראַביליטיז."
NIST האט אנגעהויבן עטלעכע מיטלען מיטן ציל צו פארמינדערן דעם פראבלעם און פארבעסערן די לאנג-טערמין פונקציאנאליטעט פון די NVD. איין באמערקבארע אנשטרענגונג איז די שאפונג פון א NVD קאנסארטיום , וואס האט צום ציל צו ברענגען צוזאמען אינדוסטריע, רעגירונג און אנדערע אינטערעסירטע צו קאלאבאראטיוו פירן און פארבעסערן די דאטנבאזע. מען ערווארט אז דער קאנסארטיום וועט העלפן פארטיילן די ארבעטס-לאסט מער עפעקטיוו און אינטעגרירן ברייטערע עקספערטיז אין דעם פראצעס פון שוואכקייט-אנאליז.
זיו פון Ox Security גיט אויס אָפּטימיזם וועגן די השתדלות.
"די איניציאטיוו פון NIST צו פאָרעם אַ נייַע קאָנסאָרטיום האט אַ באַטייטיק פּאָטענציעל פֿאַר לאַנג-טערמין פֿאַרבעסערונג," ער טענהט. "אויב יפעקטיוולי ימפּלאַמענאַד, די מגילה וועט מסתּמא פירן צו פאַסטער פּראַסעסינג צייט, ימפּרוווד דאַטן קוואַליטעט און מער בייַצייַטיק דערהייַנטיקונגען, זייער נוץ די סייבערסעקוריטי קהל."
אַדדיטיאָנאַללי, די סייבערסעקוריטי און ינפראַסטראַקטשער סעקוריטי אַגענטור (CISA) האט ינטראָודוסט אַ "וואַלנריטשמענט" פּראָגראַם דיזיינד צו באַרייַכערן CVE דאַטן מיט מער דיטיילד און אַקטיאָנאַבלע אינפֿאָרמאַציע. עס זוכט צו פֿאַרבעסערן די קוואַליטעט און וסאַביליטי פון וואַלנעראַביליטי דאַטן, מאכן עס מער וווילטויק פֿאַר זיכערהייט טימז. אָבער, כאָטש די ינישאַטיווז זענען פּראַמאַסינג, זיי טאָן ניט צושטעלן גלייך רעליעף צו אָרגאַנאַזיישאַנז איצט סטראַגאַלינג מיט די באַקלאָג.
טראָץ די השתדלות, די באַלדיק פּראַל פון די באַקלאָג איז אַ קריטיש דייַגע. זיכערהייט טימז מוזן נאַוויגירן דעם אַרויסרופן דורך געפֿינען אָלטערנאַטיוו וועגן צו בלייַבן ינפאָרמד וועגן נייַ וואַלנעראַביליטיז, און ינשורינג אַז זייער לאַטע פאַרוואַלטונג פּראַסעסאַז בלייבן עפעקטיוו.
די אַרויסרופן פֿאַר זיכערהייט טימז
די באַקלאָג אין די NVD פּאָוזיז באַטייטיק טשאַלאַנדזשיז פֿאַר זיכערהייט טימז, וואָס פאַרלאָזנ זיך בייַצייַטיק און פּינטלעך CVE דאַטן צו באַשיצן זייער סיסטעמען. אָן די מערסט דערהייַנטיקט אינפֿאָרמאַציע פון די NVD, אָרגאַנאַזיישאַנז קען זיין ניט וויסנד פון ניי דיסקאַווערד וואַלנעראַביליטיז, וואָס לאָזן זיי יקספּאָוזד צו פּאָטענציעל אנפאלן. די סיטואַציע איז דער הויפּט פּראָבלעמאַטיק פֿאַר קלענערער אָרגאַנאַזיישאַנז וואָס פעלן די רעסורסן צו שפּור וואַלנעראַביליטיז ינדיפּענדאַנטלי אַריבער קייפל קוואלן.
"ווי נאַציאָן-שטאַט אַקטערז און ראַנסאָמוואַרע גאַנגז נוצן די דילייז, עס איז קריטיש צו פֿאַרשטיין די ערלעכקייט פון דער סיטואַציע און די פּערסיסטענט סאַקאָנע לאַנדשאַפט," זיו וואָרנז.
זיכערהייט טימז איצט פּנים די דאָנטינג אַרבעט פון מאַניואַלי זוכן וואַלנעראַביליטי אינפֿאָרמאַציע פון יחיד ווענדאָרס. דער צוגאַנג איז אַרבעט-אינטענסיווע און פּראָנע צו טעות, ווייַל עס ריקווייערז קעסיידערדיק מאָניטאָרינג פון קייפל קוואלן. אַדדיטיאָנאַללי, די פעלן פון סטאַנדערדייזד שטרענגקייַט סקאָרז קענען פירן צו סתירה אַסעסמאַנט פון ריזיקירן, קאַמפּלאַקייטינג די באַשלוס-מאכן פּראָצעס וועגן וואָס וואַלנעראַביליטיז צו פּרייאָראַטייז פֿאַר פּאַטטשינג.
עקספּערטן אין דעם פעלד האָבן אונטערגעשטראָכן די קריטישע נויט פֿאַר אַ צענטראַליזירטער, פֿאַרטרויענסווערטער מקור פֿון אינפֿאָרמאַציע וועגן שוואַכקייטן. דזשערי גאַמבלין, אַ הויפּט אינזשעניר פֿאַר סכּנות דעטעקציע און רעאַקציע ביי סיסקאָ וואַלנעראַביליטי מאַנאַגעמענט, האָט באַטאָנט אַז כאָטש עס עקזיסטירן אַלטערנאַטיווע מקורים ווי דער CISA באַקאַנטער עקספּלויטירטער וואַלנעראַביליטי (KEV) קאַטאַלאָג, זענען זיי נישט פֿולשטענדיק און קאָנצענטרירן זיך בפֿרט אויף שוואַכקייטן וואָס ווערן שוין אַקטיוו אויסגענוצט.
מיטיגאַטיאָן סטראַטעגיעס פֿאַר זיכערהייט טימז
צו פאַרמינערן די פּראַל פון די NVD באַקלאָג, זיכערהייט טימז קענען אַדאַפּט עטלעכע סטראַטעגיעס:
אלטערנאטיווע דאטאבאזעס: ניצט אנדערע פארלעסלעכע קוועלער פון CVE אינפארמאציע. די CISA'ס KEV קאטאלאג, כאטש נישט פולשטענדיג, קען צושטעלן קריטישע איינבליקן אין אקטיוו אויסגעניצטע שוואכקייטן.
אויטאמאטישע מכשירים: אימפלעמענטירן אויטאמאטישע וואַלנעראַביליטי מאַנאַגעמענט מכשירים וואָס קענען סקענען פֿאַר וואַלנעראַביליטיז און צושטעלן רעאַל-צייט דערהייַנטיקונגען. די מכשירים קענען העלפֿן בריקן דעם ריס וואָס די NVD לאָזט איבער דורך פאָרשלאָגן קעסיידערדיק מאָניטאָרינג און אַלערטינג קייפּאַבילאַטיז. זיוו רעקאָמענדירט אויטאמאטישע מכשירים ווי וואַלנעראַביליטי מאַנאַגעמענט און אַפּליקאַציע זיכערהייט האַלטונג מאַנאַגעמענט (ASPM).
סאַקאָנע אינטעליגענץ סערוויסעס: אַבאָנירן צו סאַקאָנע אינטעליגענץ סערוויסעס וואָס צושטעלן צייטיקע און קוראַטירטע וואַלנעראַביליטי אינפֿאָרמאַציע. די סערוויסעס אָפט פאָרשלאָגן מער קאָנטעקסטואַל דאַטן, וואָס העלפֿן זיכערהייט טימז פֿאַרשטיין די רעלאַוואַנס און פּאָטענציעלע פּראַל פון ספּעציפֿישע וואַלנעראַביליטיז אויף זייערע סיסטעמען.
קהילה מיטאַרבעט: פֿאַרבינד זיך מיט סייבערזיכערהייט קהילות און פֿאָרומס וואו פּראָפֿעסיאָנאַלן טיילן זיך מיט איינזיכטן און דערהייַנטיקונגען וועגן די לעצטע שוואַכקייטן. מיטאַרבעט פּלאַטפאָרמעס קענען זיין אַ ווערטפֿולער מיטל פֿאַר בלייבן אינפֿאָרמירט און אויסטוישן בעסטע פּראַקטיקעס.
אַדאַפּטינג צו CVE אָווערלאָאַד
כאָטש די ינישאַטיווז פון NIST, אַזאַ ווי די פאָרמירונג פון אַ קאָנסאָרטיום און די הקדמה פון די וואַלנערריטשמענט פּראָגראַם, צוזאָג צוקונפֿט ימפּרווומאַנץ, זיי פאָרשלאָגן קליין באַלדיק רעליעף.
זיכערהייט טימז מוזן דעריבער נעמען פּראָואַקטיוו סטעפּס צו פאַרמינערן די פּראַל פון דעם באַקלאָג. דורך לעווערידזשינג אָלטערנאַטיוו דאַטאַבייסיז ווי CISA's KEV, אַדאַפּטינג אָטאַמייטיד וואַלנעראַביליטי פאַרוואַלטונג מכשירים, אַבאָנירן צו פאַקטיש-צייט סאַקאָנע סייכל באַדינונגס און פאַרקנאַסט מיט סייבערסעקוריטי קהילות, זיי קענען פּלאָמבירן די ריס לינקס דורך די NVD. די סטראַטעגיעס ניט בלויז העלפֿן צו האַלטן אַן עפעקטיוו לאַטע פאַרוואַלטונג פּראָגראַם, אָבער אויך צו ענשור אַ לייערד און ריזיליאַנט זיכערהייט האַלטנ זיך.
די NVD באַקלאָג איז אַ שטרענג דערמאָנונג פון די וויכטיקייט פון בייגיקייט אין סייבערסעקוריטי פּראַקטיסיז. אין פּנים פון ומגליק, די קאָלעקטיוו עקספּערטיז און ריסאָרספאַלנאַס פון די סייבערסעקוריטי קהל בלייבן זיין גרעסטע אַסעץ. דורך ארבעטן צוזאַמען און ייַנטיילונג וויסן, עס קענען באַקומען די טשאַלאַנדזשיז באשאפן דורך די NVD באַקלאָג און אָנהייבן צו בויען אַ מער זיכער דיגיטאַל וועלט.
