حديثاً، أعلنت NIST عن تحديث حول كيفية تعامل قاعدة بيانات الثغرات الوطنية (NVD) مع إثراء مكافحة التطرف العنيف لمعالجة الزيادة الهائلة في طلبات الثغرات الأمنية. وفي الإعلان، أشارت NIST إلى أن عدد الطلبات قد زاد بنسبة 263% بين عامي 2020 و2025، مما يتطلب منهم اعتماد نموذج جديد للتعامل مع أولويات مكافحة التطرف العنيف.
يتضمن هذا التحديث معايير جديدة لتحديد الأولويات، حيث ستعطي عمليات NVD الأولوية لإثراء الثغرات الأمنية التي تمثل أوضح خطر على الحكومة الفيدرالية والنظام البيئي الأوسع للأمن السيبراني، مثل تلك الموجودة في كتالوج الثغرات الأمنية المعروفة (KEV) والبرامج المهمة الخاصة بـ CISA.
وفي حين أن هذا يغير التوقعات بشأن إثراء مكافحة التطرف العنيف، فإننا نرى أن ذلك أمر حتمي مع تزايد وتيرة تحديد نقاط الضعف. وينبغي أيضًا اعتبارها إشارة لتحديث كيفية تعامل فرق إدارة الثغرات الأمنية مع المخاطر.
التحول نحو تحديد الأولويات المستندة إلى السياق
بالنسبة لفرق إدارة الثغرات الأمنية، يعد هذا التحديث لحظة محورية. إنها إشارة أخرى إلى أن عصر الاعتماد بشكل كبير على درجات الخطورة الثابتة والمستقلة لدفع دورات التصحيح يفسح المجال لنهج أكثر نضجًا يعتمد على السياق.
تاريخيًا، كانت فرق إدارة الأمن والثغرات الأمنية غارقة في قوائم لا حصر لها من التهديدات الخطيرة، وغالبًا ما تستخدم نتائج CVSS الثابتة كمقياس وحيد لتحديد الأولويات. إن التعامل مع جميع الثغرات الأمنية على قدم المساواة – أو الاعتماد على قاعدة بيانات واحدة لإخبارك بما هو مهم – ليس فقط غير قابل للتطوير، ولكنه سيفتقر إلى التدقيق الإضافي والسياق من NIST للمضي قدمًا. يجب أن يجبر هذا التحول البرامج الأمنية على الاستمرار في التطور من إدارة الثغرات الأمنية القائمة على قائمة التحقق إلى نهج رشيق قائم على المخاطر يركز على المخاطر الفعلية للثغرة الأمنية في بيئاتها المحددة.
إشارة إلى تحول أوسع في الصناعة
إن الحجم الهائل لنقاط الضعف اليوم يعني أنه من المستحيل على الفرق تصحيح كل شيء، وهذا الحجم سوف ينمو. سيحتاج كل من برنامج NVD الخاص بـ NIST وبرنامج CVE الأوسع أيضًا إلى الاستمرار في التكيف مع هذه البيئة المتغيرة. اعترفت CISA بهذا التحول في الخريف الماضي عندما أعلن عزمها على تطوير برنامج مكافحة التطرف العنيف من التركيز على “النمو” إلى “الجودة”، مما يوفر “تركيزًا استراتيجيًا من شأنه تعزيز الثقة وتعزيز الاستجابة وتحسين مستوى بيانات الضعف”.
الإعلان الأخير عن نموذج كلود ميثوس الأنثروبي الجديد يوضح أننا ندخل عصرًا يستطيع فيه الذكاء الاصطناعي اكتشاف أيام الصفر بشكل مستقل وتطوير عمليات الاستغلال بسرعة. على المدى القصير، يعني هذا أن الفرق يجب أن تتوقع تدفقًا هائلاً من CVEs المكتشفة بواسطة الذكاء الاصطناعي إلى السوق. وهذا يجعل التحدي المتعلق بمكافحة التطرف العنيف أكثر بروزًا، مع وجود ثغرات أمنية يقودها الذكاء الاصطناعي والتي من شأنها كسر سير العمل التقليدي والثابت لإدارة الثغرات الأمنية.
تعني النافذة المتقلصة بين “التصحيح المتاح” و”المستغل في البرية” أننا وصلنا إلى نقطة تحتاج فيها الفرق إلى التوقف عن إدارة أعداد الثغرات الأمنية بناءً على الخطورة الثابتة والمخصصة والبدء في إدارة التعرض الحقيقي بناءً على التأثير الحقيقي. تحتاج الفرق إلى تقييم نقاط الضعف في سياق بيئتها، وليس بشكل منفصل، جنبًا إلى جنب مع التكوينات الخاطئة وأذونات الهوية وإمكانية الوصول إلى الشبكة والبيانات الحساسة. هذه هي الطريقة التي يمكن بها للفرق تجاوز الضجيج وتركيز وقتنا على القضايا التي تؤثر فعليًا على الأعمال.
كيف يدعم Wiz التحول إلى تحديد الأولويات على أساس المخاطر
ومع تحول الصناعة نحو هذا الواقع القائم على المخاطر، أصبحت الحاجة إلى الأدوات المصممة للسياق أكبر من أي وقت مضى.
تم إنشاء منصة Wiz منذ اليوم الأول لحل هذه المشكلة تحديدًا باستخدام السياق: الانتقال إلى ما هو أبعد من أعداد مكافحة التطرف العنيف الثابتة نحو تحديد أولويات المخاطر القائمة على السياق. نحن نؤمن بأن الأمان يجب أن يكون أفقيًا، وأن يوحد بيانات الأمان عبر البيئة لتوفير السياق المشترك اللازم لاتخاذ قرارات حقيقية قائمة على المخاطر.
تُمكّن Wiz Exposure Management الفرق من الابتعاد عن إدارة أعداد مكافحة التطرف العنيف إلى إعطاء الأولوية لحالات التعرض الحقيقية من خلال تمكينك من:
-
تحديد الأولويات مع السياق في Wiz Security Graph: يربط Wiz Security Graph الثغرات الأمنية بالسياق مثل التعرض للشبكة والهويات والتكوينات الخاطئة وحساسية البيانات والمزيد لتحديد مسارات الهجوم الحقيقية التي تشكل خطرًا جسيمًا على عملك.
-
التحقق من إمكانية الاستغلال باستخدام Wiz ASM & the Red Agent: يقوم Wiz ASM وRed Agent المدعوم بالذكاء الاصطناعي باستمرار باكتشاف المخاطر القابلة للاستغلال والتحقق من صحتها من منظور المهاجم لمساعدتك على إزالة المخاطر القابلة للاستغلال بشكل استباقي. ومن خلال الجمع بين التحقق من الصحة من الخارج وسياق البيئة الداخلي، يمكنك تحديد أولويات المخاطر القابلة للاستغلال بناءً على تأثيرها الحقيقي.
-
تسريع الإصلاحات مع الوكيل الأخضر: قم بمعالجة سرعة الماكينة من خلال إرشادات قابلة للتنفيذ وملكية المخاطر الآلية. يعمل Green Agent على تمكين المطورين من حل المخاطر من جذورها، مما يقلل بشكل كبير من متوسط الوقت اللازم للمعالجة (MTTR).
نتطلع إلى الأمام
يعد تحديث NIST NVD فرصة لفرق إدارة الأمان والثغرات الأمنية للارتقاء بالمستوى. من خلال تبني استراتيجية قائمة على المخاطر، يمكن للمؤسسات تقليل الاحتكاك مع فرق المطورين، والقضاء على ضجيج التهديدات الخطيرة غير الحرجة، وتقليل مخاطر العالم الحقيقي بشكل ملموس.
إن مستقبل الأمن هو مستقبل أفقي وسياقي عميق ومدفوع بالتأثير البيئي الفعلي. في Wiz، نحن متحمسون لمساعدتك في التنقل خلال هذا التحول وبناء مستقبل أكثر أمانًا وقابلية للتطوير. لرؤية Wiz أثناء العمل، يمكنك إعداد عرض توضيحي مباشر.
