آموزش مدیریت آسیب‌پذیری: ارزیابی ریسک‌ها با استفاده از CVSS، CISA KEV، EPSS و SSVC - آخرین آپدیت

مبانی آسیب‌پذیری Vulnerability Basics

• روش‌های رسیدگی به آسیب‌پذیری‌ها Methods for addressing vulnerabilities

• ارزیابی ریسک آسیب‌پذیری Vulnerability risk assessment

• انواع آسیب‌پذیری‌ها و دلایل بروز آن‌ها Vulnerability types and their causes

1. گفتگو درباره شدت آسیب‌پذیری 1. Vulnerability Severity Conversations

• تاثیر اثرات (Impacts) بر شدت How impacts affect severity

• محدوده امنیتی در CVSS v 3.1 Security Scope in CVSS v 3.1

• درک رشته برداری CVSS (Vector String) Making sense of the CVSS Vector String

• تاثیر سطح دسترسی مورد نیاز بر شدت How access or privileges required affects severity

• تاثیر پیچیدگی حمله بر شدت How attack complexity impacts severity

• مقدمه‌ای بر تعیین شدت با CVSS Intro to determining severity with CVSS

• تاثیر تعامل کاربر بر شدت How user interaction affects severity

• متد یا بردار حمله در تعیین شدت Attack method or vector when determining severity

2. شدت در مقابل ریسک 2. Severity vs. Risk

• سایر متدولوژی‌های امتیازدهی: KEV و EPSS Other vulnerability scoring methodologies: KEV and EPSS

• راهکار: مقایسه امتیازات شدت آسیب‌پذیری Solution: Comparing vulnerabilty severity scores

• چالش‌های CVSS و امتیازات شدت Challenges with CVSS and severity scores

• متدولوژی‌های امتیازدهی اختصاصی سازندگان Vendor-specific severity scoring methodologies

• شدت و ریسک یکسان نیستند Severity and risk are not the same

3. گذار از شدت به ریسک 3. Moving from Severity to Risk

• در دسترس بودن اکسپلویت Exploit availability

• چرا امتیازات شدت به تنهایی کافی نیستند Why severity scores alone aren't enough

• مبانی ارزیابی ریسک Risk assessment basics

• راهکار: اولویت‌بندی آسیب‌پذیری‌ها برای رفع Solution: Prioritize vulnerabilities for remediation

• ترکیب شدت و ریسک برای تصمیم‌گیری عملی Combining severity and risk to drive action

• دسته‌بندی دارایی‌ها Asset categorization

4. دسته‌بندی آسیب‌پذیری‌ها بر اساس ذینفعان (SSVC) 4. Stakeholder-Specific Vulnerability Categorization

• استفاده از SSVC Using SSVC

• مدل SSVC: شیوع ماموریتی و رفاه عمومی SSVC: Mission prevalence and public well-being

• مدل SSVC: تاثیر فنی SSVC: Technical impact

• مدل SSVC: قابلیت اتوماسیون SSVC: Automatable

• مدل SSVC: بهره‌برداری (Exploitation) SSVC: Exploitation

• مقدمه‌ای بر SSVC Intro to SSVC

• راهکار: استفاده از SSVC برای اولویت‌بندی آسیب‌پذیری‌ها Solution: Using SSVC to prioritize vulnerabilities

5. ایجاد برنامه مدیریت آسیب‌پذیری مبتنی بر ریسک 5. Building a RIsk-Based Vulnerability Management Program

• تخصیص آسیب‌پذیری‌ها برای رفع Assign vulnerablities for remediation

• موارد خاص: مدیریت آسیب‌پذیری‌های مشهور Outliers: Handling celebrity vulnerabilities

• ارزیابی ریسک Assess the risk

• رفع و تایید آسیب‌پذیری‌ها Remediate and confirm vulnerabilities

• اجزای اصلی یک برنامه مدیریتی Core components to a program

• شناسایی آسیب‌پذیری‌ها Detect vulnerabilities

نتیجه‌گیری Conclusion

• تنها یک شروع Just the beginning