Program MITER’s Common Vecylaluess and Exposures (CVE) – który przyszedł w zeszłym tygodniu blisko zamykania Wśród szeroko zakrojonej wstrząsu rządu Stanów Zjednoczonych-wyznaczył specjalistę ds. Zarządzania cyberprzywialnicą Armis Jako organ numerujący CVE (CNA).
Oznacza to, że będzie mógł przejrzeć i przypisać Identyfikatory CVE do nowo odkrytych luk na poparcie misji programu w zakresie identyfikacji, definiowania i katalogu jak największej liczby problemów bezpieczeństwa.
„Koncentrujemy się na wykryciu wykrycia, aby zapewnić prawdziwe bezpieczeństwo-przed atakiem, nie tylko potem”-powiedział Armis CTO i współzałożyciel Nadir Izrael. „Naszym obowiązkiem i celem jest zwiększenie fali świadomości i działań w zakresie bezpieczeństwa cybernetycznego we wszystkich branżach. Jest to kluczem do skutecznego rozwiązania całego cyklu cybernetycznego i zarządzania narażeniem na ryzyko cybernetyczne, aby zapewnić bezpieczeństwo społeczeństwa”.
MITER opiera się obecnie na wiedzy 450 CNA na całym świecie – prawie 250 z nich w USA, ale w tym 12 w Wielkiej Brytanii. Pełna lista obejmuje niektóre z największych firm technologicznych na świecie, takie jak Amazon, Apple, Google, Meta i Microsoft, a także litania innych dostawców i agencji rządowych oraz zespoły reagowania kryzysowego komputerowego (CERT).
Wszystkie wymienione organizacje Uczestniczyć na zasadzie dobrowolności, a każdy zobowiązał się do publicznej polityki ujawniania informacji o zagrożeniach, publicznym źródłem nowych ujawnień i uzgodnienie TS i CS programu.
W zamian, mówi MITER, uczestnicy są w stanie wykazać dojrzałe podejście do podatności na swoich klientów i przekazywać informacje o podatności na wartości dodanej; kontrolować proces uwalniania CVE dla podatności na zagrożenia w zakresie ich udziału; Przypisywać identyfikatory CVE bez konieczności udostępniania informacji innym CNA; oraz usprawnić proces ujawniania podatności.
Dodanie Armis do tego listy pojawia się wśród niepewności co do szerszej przyszłości programu, biorąc pod uwagę, jak blisko było anulowanie. Po tym incydencie wielu w społeczności bezpieczeństwa twierdziło, że wstrząsanie zarządzania CVE jest już dawno spóźnione.
„Przerwanie finansowania podkreśla kluczową prawdę dla twojej strategii bezpieczeństwa: zarządzanie podatnością oparte na CVE nie może służyć jako kamień węgielny skutecznej kontroli bezpieczeństwa. W najlepszym razie jest to wskaźnik opóźniony, oparty na programie o niewiarygodnych zasobach”-powiedział Joe Silva, dyrektor generalny specjalisty ds. Zarządzania ryzykiem, specjalistę ds. Zarządzania ryzykiem. Spektion.
„Przyszłość zarządzania podatnościami powinna koncentrować się na identyfikacji rzeczywistych ścieżek opłacalnych w czasie wykonywania, a nie tylko katalogowaniu potencjalnych podatności. Postawa ryzyka organizacji nie powinna zależeć od odnowienia umowy rządowej.
„Mimo że zapewniono fundusze, to dalsze zaufanie do systemu CVE, który jest patchworkowym wysiłkiem z crowdsourcingiem zależnym od drżącego finansowania rządu. Program CVE nie był już wystarczająco kompleksowy i terminowy, a teraz jest również mniej stabilny”.
Otwórz dane
Tymczasem, Armis Rozszerza dziś także swoje możliwości zarządzania podatnością, uzyskując swoją zastrzeżoną bazę danych inteligencji podatności (VID) bezpłatnie dla wszystkich kombinezatorów.
Baza danych oparta na społeczności, która jest wspierana przez wewnętrzną jednostkę Laboratorium Armis, oferuje usługi wczesnego ostrzegawczego i inteligencję aktywów, i jest karmiona stałym strumieniem inteligencji crowdsourcingowej, aby zwiększyć zdolność użytkowników do ustalenia stawu rozrywki w poszczególnych zagrożeniach.
„Ponieważ aktorzy zagrożeń nadal wzmacniają skalę i wyrafinowanie cyberataków, niezbędne jest proaktywne podejście do zmniejszania ryzyka”, powiedział Izrael.
„Baza danych inteligencji podatności na podatność ARMIS jest kluczowym, dostępnym zasobem zbudowanym przez społeczność bezpieczeństwa dla społeczności bezpieczeństwa. Przekłada dane podatności na rzeczywisty wpływ, aby firmy mogły szybko dostosowywać się i podejmować bardziej świadome decyzje w zakresie zarządzania cyberprzestępstwami”.
Armis powiedział, że obecnie 58% ofiar cyberataków reaguje tylko reaguje na zagrożenia po wyrządzaniu szkód, a prawie jedna czwarta decydentów IT twierdzi, że brak ciągłej oceny podatności jest znaczącą lukę w ich operacjach bezpieczeństwa, co sprawia, że konieczne jest szybsze rozwiązanie problemów.