ریسک‌های امنیت برنامه (Application Security Risks)
هکرها می‌توانند از مسیرهای مختلف به برنامه شما نفوذ کنند و به کسب‌وکار یا سازمان آسیب برسانند. هر مسیر بالقوه یک ریسک محسوب می‌شود و باید به دقت بررسی شود.
تصویر شماره 1
| Business Impacts | Technical Impacts | Likelihood of Missing Security Controls | Exploitability | Attack / Vectors | Threat Agents |
|---|---|---|---|---|---|
| By Business | Avg Weighted Impact | Missing Controls \ by average Incidence rate \ Weighed by coverage | Avg Weighted Exploit | By Application exposure (by environment) | By environment, dynamic by situation picture |
نحوه ارزیابی ریسک
در ارزیابی ریسک، پارامترهای جهانی مانند:
- قابلیت بهره‌برداری (Exploitability)
- میانگین احتمال نبود کنترل‌های امنیتی برای یک ضعف
- تأثیرات فنی آن
در نظر گرفته می‌شوند.
هر سازمان منحصربهفرد است و بازیگران تهدید، اهداف و تأثیر هر نفوذ برای آن سازمان نیز متفاوت است.
برای مثال:
- یک سازمان عمومی از یک سیستم مدیریت محتوا (CMS) برای اطلاعات عمومی استفاده می‌کند.
- یک سیستم بهداشتی همان CMS را برای نگهداری سوابق حساس بیماران به‌کار می‌برد.
بازیگران تهدید و تأثیر تجاری هر دو سازمان می‌تواند بسیار متفاوت باشد.
بنابراین، درک ریسک برای سازمان شما بر اساس:
- میزان در معرض بودن برنامه
- تهدیدهای مرتبط در شرایط مختلف (هدفمند یا غیرهدفمند)
- تأثیرات خاص کسب‌وکار
امری حیاتی است.
نحوه استفاده از داده‌ها برای انتخاب دسته‌ها و رتبه‌بندی
- در سال ۲۰۱۷، دسته‌ها بر اساس نرخ وقوع برای تعیین احتمال انتخاب شدند و سپس با بحث تیمی و تجربه دهه‌ها، بر اساس قابلیت بهره‌برداری، قابلیت شناسایی و تأثیر فنی رتبه‌بندی شدند.
- در نسخه ۲۰۲۱، داده‌های CVSSv2 و CVSSv3 در پایگاه ملی آسیب‌پذیری‌ها (NVD) برای قابلیت بهره‌برداری و تأثیر فنی استفاده شد.
- در نسخه ۲۰۲۵، همان روش‌شناسی ادامه یافته است.
تیم OWASP با استفاده از ابزار OWASP Dependency Check امتیازهای CVSS مربوط به Exploit و Impact را استخراج و بر اساس CWEهای مرتبط گروه‌بندی کرده است.
نکات مهم در تحلیل داده‌ها
- تمام CVEها دارای امتیاز CVSSv2 هستند، اما CVSSv2 محدودیت‌هایی دارد که CVSSv3 آن‌ها را اصلاح می‌کند.
- حدود ۱۷۵ هزار رکورد CVE به CWEها نگاشت شده است (افزایش از ۱۲۵ هزار در ۲۰۲۱).
- ۶۴۳ CWE منحصربهفرد به CVEها مرتبط هستند (افزایش از ۲۴۱ در ۲۰۲۱).
- از تقریباً ۲۲۰ هزار CVE استخراج‌شده:
- ۱۶۰ هزار دارای CVSSv2
- ۱۵۶ هزار دارای CVSSv3
-
۶ هزار دارای CVSSv4
-
بسیاری از CVEها چند امتیاز دارند، بنابراین مجموع بیشتر از ۲۲۰ هزار است.
- میانگین امتیاز Exploit و Impact ابتدا بر اساس CWE گروه‌بندی و سپس با وزن‌دهی ترکیب شد.
چرا از CVSSv4 استفاده نکردیم؟
- الگوریتم امتیازدهی CVSSv4 به‌طور بنیادی تغییر کرده است و دیگر به آسانی امتیاز Exploit یا Impact مانند نسخه‌های v2 و v3 ارائه نمی‌کند.
- OWASP تلاش خواهد کرد در نسخه‌های آینده راهی برای استفاده از CVSSv4 بیابد، اما برای نسخه ۲۰۲۵ زمان مناسبی نبود.
پارامترهای داده‌ای برای هر دسته
- CWEs Mapped: تعداد CWEهای نگاشت‌شده به یک دسته
- Incidence Rate: درصد برنامه‌های آسیب‌پذیر به هر CWE
- Weighted Exploit: امتیاز Exploit نرمال‌شده از CVSSv2 و v3
- Weighted Impact: امتیاز Impact نرمال‌شده از CVSSv2 و v3
- Testing Coverage: درصد برنامه‌های بررسی‌شده برای یک CWE
- Total Occurrences: تعداد کل برنامه‌هایی که CWEهای یک دسته را دارند
- Total CVEs: تعداد کل CVEهای نگاشت‌شده به CWEهای یک دسته