0 
0 Dado que 2021 foi um ano recorde para novas vulnerabilidades publicadas e os agentes de ameaças se tornaram melhores em armar vulnerabilidades , a priorização e correção de vulnerabilidades oportunas e bem avaliadas são uma meta que todas as organizações devem aspirar a alcançar.
A Agência de Segurança Cibernética e Infraestrutura dos EUA ( CISA ) publica regularmente listas das vulnerabilidades mais exploradas e mantém um catálogo de Vulnerabilidades Exploradas Conhecidas regularmente atualizado que todos podem usar, mas por mais úteis que sejam esses recursos, as organizações geralmente tropeçam quando se trata de decidir quais buracos de segurança devem ser tapados primeiro.
É por isso que a agência atualizou e está promovendo o sistema SSVC (Stakeholder-Specific Vulnerability Categorization) que eles mesmos estão usando.
Um passo em direção a um melhor gerenciamento de vulnerabilidades
Melhor gerenciamento de vulnerabilidade é possível, diz Eric Goldstein, diretor assistente executivo de segurança cibernética da CISA, e envolve:
- Usando automação – e o Common Security Advisory Framework ( CSAF ), que “fornece um formato padronizado para ingerir informações de consultoria de vulnerabilidade e simplificar os processos de triagem e remediação para proprietários de ativos”.
- Esclarecendo o impacto das vulnerabilidades. Isso depende de os fornecedores emitirem um comunicado Vulnerability Exploitability eXchange ( VEX ) informando se um produto é ou não afetado por uma vulnerabilidade específica de uma forma automatizada e legível por máquina.
- Priorizar vulnerabilidades com base em atributos específicos (estado de exploração, impacto técnico, potencial para exploração automatizada, impacto nas funções essenciais da missão de uma organização, impacto no bem-estar público) com a ajuda da Calculadora SSVC e do sistema/guia SSVC mencionado anteriormente .
As vulnerabilidades são, portanto, categorizadas em quatro grupos:
- Rastrear: não para correção imediata (apenas dentro dos cronogramas de atualização padrão), mas deve ser rastreado para alterações no status
- Rastrear*: Requer monitoramento mais próximo para alterações. Correção: dentro dos cronogramas de atualização padrão.
- Atender: Requer atenção da equipe de supervisão interna da organização, que precisa buscar mais informações e pode ter que publicar uma notificação interna e/ou externamente. A correção deve ser executada antes dos cronogramas de atualização padrão.
- Agir: Atenção necessária da equipe de supervisão interna da organização e dos indivíduos de nível de liderança. Necessário: mais informações ou assistência, notificações, reunião de grupo interno para decidir sobre a resposta e ações. Remediação: o mais rápido possível.
“A Calculadora CISA SSVC permite que os usuários insiram valores de decisão e naveguem pelo modelo de árvore CISA SSVC até a decisão geral final para uma vulnerabilidade que afeta sua organização”, explicou a agência .
As organizações cujos espaços de missão não se alinham com a árvore de decisão da CISA podem escolher outros modelos de árvore de decisão.)
CVSS ou SSVC (ou ambos)?
Derek McCarthy, diretor de engenharia de campo da NetRise , diz que todos no setor de segurança cibernética entendem que as pontuações CVSS não podem ser usadas cegamente (ou exclusivamente) para priorizar a correção de vulnerabilidades.
“O contexto importa (muito), e o SSVC fez um trabalho incrível enumerando todos os fatores que devem estar envolvidos na determinação de como lidar com vulnerabilidades em qualquer ambiente. O trabalho da CISA em estender isso deve ser valioso ao reunir alguns dos detalhes mais pertinentes para permitir que as organizações digeram e implementem mais facilmente políticas e procedimentos de gerenciamento de vulnerabilidade que refletem os objetivos da estrutura do SSVC.”
FONTE: HELPNET SECURITY