Sut Ydw I'n Ysgrifennu Chanfod Risg y Bydd y Busnes yn Gweithredu Arno?

Mae'r rhan fwyaf o ganfyddiadau diogelwch yn marw mewn taenlen oherwydd eu bod wedi'u hysgrifennu ar gyfer pobl diogelwch eraill, nid ar gyfer y person sy'n cymeradwyo'r cyllideb. Os yw eich adroddiad yn dweud "CVE-2023-XXXX, CVSS 9.8, patch yn syth," rydych wedi disgrifio agwedd, nid risg. Nid yw'r busnes yn gweithredu ar agweddau. Mae'n gweithredu ar ganlyniadau y gall ei ddychmygu.

Pam nad yw sgôr difrifoldeb yn unig yn symud neb

Mae CVSS yn dweud wrthych pa mor ddrwg yw gwall mewn ynyswrwydd. Nid yw'n dweud dim am p'un ai yw'r gwall hwnnw'n cyrraeddadwy, p'un ai yw'r ased y tu ôl iddo'n bwysig i refeniw, neu a yw rheolau digartref eisoes yn ei ddatgan. Nid yw 9.8 ar focs dev mewnol heb lwybr rhyngrwyd ac heb ddata sensitif yr un sgwrs â 7.5 ar y porth taliad. Os ydych yn rhangu canfyddiadau yn ôl CVSS yn unig, fe fyddwch yn treulio eich credydloldeb yn patshio pethau nad oedd neb yn mynd i'w hallforio erioed, ac mae'r canfod a oedd yn wirioneddol bwysig yn cael ei golli yn y sŵn.

Mae risg sy'n cael ei weithredu arni yn cynnwys tri chydrannol: llwybr tebygol i effaith, cost doler neu weithredol ynghlwm wrth yr effaith honno, ac perchennog a all wirioneddol ei drwsio. Os ydych yn methu unrhyw un o'r rheiny, mae'r canfod yn eistedd yn yr ôl-log.

Adeiladu'r canfod o amgylch senario, nid allbwn sganydd

Lle bo "SQL injection found on /login endpoint," ysgrifennwch y senario: "Gall ymosodwr heb awdurdodiad dynnu'r tabl cwsmer llawn, gan gynnwys cyfrineiriau wedi'u hasio a chyfeiriadau biliaeth, drwy'r ffurflen fewngofnodi. Mae'r tabl hwn yn ôl 40,000 o gyfrifon gweithredol ac mae'r un gronfa ddata yn dal hanes archebu a gysylltir â sgôp PCI." Nawr, nid yw'r darllenydd yn dosrannu dosbarth agwedd, maent yn llunio llythyr hysbysiad tor yn eu meddwl a galwad cydymffurfio.

Sdefiniad ar gyfer pob canfod:

• Beth all ddigwydd — y llwybr ymosod mewn iaith plaen, un neu ddwy frawddeg.
• Beth y mae'n ei gyffwrdd — system benodol, data penodol, proses fusnes benodol.
• Beth yw'r cost — oriau gwellt, neilltuo rheolaiddo, ymddiriedaeth cwsmer, penrhyddion contractaidd. Defnyddiwch rifau go iawn lle mae gennych hwy (clausau penrhwydo SLA, costau digwyddiadau blaenorol, dyfalu cyber yswiriant).
• Beth y mae'n ei gymryd i drwsio — ymdrech, nid dim ond "patch it." Weithiau'r trwsis yw rheol WAF heddiw a newid cod y sprint nesaf.
• Pwy sy'n berchen ar y trwsiad — enw neu dîm, nid "IT."

Rhwymo'r canfod i rywbeth y mae'r busnes eisoes yn ei olrhain

Mae gan bob cwmni fetrigau y mae arweinyddiaeth yn eu gwylio eisoes: SLAs amser gwaith, churn, canfyddiadau archwilio o'r cylch SOC 2 diwethaf, premiumau yswiriant cyber, contract cwsmer penodol â chlausal diogelwch. Os gallwch gysylltu eich canfod ag un o'r llinellau presennol hynny — "dyma'r un dosbarth o fater a hysbysodd ein yswiriwr ar yr adnewyddu diwethaf" neu "mae'r llif data hwn o fewn sgôp ar gyfer yr archwiliad SOC 2 yn Q3" — nid ydych yn gofyn iddynt ofalu am rywbeth newydd. Rydych yn dangos iddynt fygythiad i rywbeth yr ydynt eisoes yn atebol amdano.

Dyma hefyd lle y mae siarad â'r ochr busnes yn talu cyn i chi gwblhau'r adroddiad. Mae sgwrs ddeng munud gyda chyllid neu weithrediadau am yr hyn y mae toriad pedwar awr ar system benodol yn ei gostio mewn gwirionedd yn well na'i linell "niwed enw da" seneryc. Cael y rhif, dyfynnu ef, symud ymlaen.

Uwch-raddio yn ôl y gallu i'w allforio a radius yr chwythiad, nid dim ond CVSS

Dull blaenoriaethu gweithredol:

1. A yw ar y rhyngrwyd neu a oes angen mynediad mewnol yn gyntaf?
2. A oes dall cyhoeddus neu a yw'n ddamcaniaethol?
3. A yw'n cyffwrdd data rheoleiddiedig (PCI, PHI, PII) neu systemau kronfa ddwr?
4. Beth yw'r amser a'r cost gwirioneddol i ddatrys yn erbyn y gost o adael iddo?

Canfyddiadau sy'n sgorio'n uchel ar raeadowredd a radius yr chwythiad ond dim ond canolig ar CVSS yn aml yn haeddu neidio'r rhes dros fwg â statws hoffi wedi'i gladdfu dair hopau rhwydwaith yn ddwfn y tu ôl i flwch naid gyda MFA.

Ysgrifennu'r cais, nid dim ond y broblem

Gorffennwch bob canfod gyda chais penodol: llinell cyllideb, ffenestr newid, eithriad polisi i'w gau, neu benderfyniad enwedig sydd ei angen erbyn dyddiad. "Rydym yn argymell tyniad" yn cael ei anwybyddu. "Angen arnom ffenestr cynnal pedair awr cyn y 15fed i batshio'r porth taliad, neu rydym yn derbyn y risg gweddilliol mewn ysgrifennu" yn gorfodi penderfyniad un ffordd neu'r llall. Rhoi i'r arweinyddiaeth opsiwn penodol derbyn-y-risg, mewn ysgrifennu, gyda'u henw arno, yn aml beth sy'n ei gael y trwsiad cymeradwyedig yn hytrach.

Os ydych am ymarfer trosi allbwn sgan crai i ganfyddiadau fel hyn, gweithiwch drwy Blue Team Korra Studio a segmentau Ymosodol gyda'i gilydd — mae paru cyd-destun allforio gyda phrif ymarferion adrodd lle y mae'r sgiliau hwn yn wirioneddol yn miniogi.