Vulnerability Analysis και Prioritization — DedSec Project

Vulnerability analysis εξετάζει αν μια weakness εφαρμόζεται σε πραγματικό asset, ποια security property μπορεί να επηρεάσει και τι πρέπει να γίνει. Scanner output ή CVE match είναι η αρχή της ανάλυσης, όχι το τελικό conclusion.

Όριο εξουσιοδοτημένης χρήσης: Κάνε validation με τη λιγότερο intrusive μέθοδο που απαντά την ερώτηση. Προτίμησε vendor information, package/version evidence, configuration review, safe requests και isolated lab reproduction.

CVE, CWE και advisories

CVE δίνει κοινό identifier σε disclosed vulnerability. CWE περιγράφει weakness classes όπως improper authorization, unsafe input handling ή memory-safety defects. Vendor/upstream advisories συνήθως είναι η καλύτερη πηγή για affected versions, patches, workarounds και prerequisites.

CVSS και πραγματικό risk

CVSS δίνει standardized technical severity. Δεν ξέρει όμως αν το service είναι Internet-facing, αν το affected feature είναι disabled, ποια data περιέχει το asset, ποια compensating controls υπάρχουν ή ποιο business process επηρεάζεται.

Πρακτική προτεραιότητα = σοβαρότητα + εφαρμοσιμότητα + έκθεση + δικαιώματα + κρισιμότητα πόρου + ευαισθησία δεδομένων + έλεγχοι + ανίχνευση/ανάκαμψη + λειτουργικό πλαίσιο.

Applicability analysis

Πριν κάνεις finding, απάντησε:

1. Είναι εγκατεστημένο το affected product/component;
2. Είναι η πραγματική version affected;
3. Είναι το vulnerable feature enabled/reachable;
4. Ποιες privileges/user interaction χρειάζονται;
5. Υπάρχει backported fix;
6. Αλλάζει ουσιαστικά το exploitability κάποιο sandbox, proxy ή isolation control;

Safe validation ladder

1. Inventory evidence.
2. Configuration evidence.
3. Benign protocol evidence.
4. Local reproduction σε intentionally vulnerable sample.
5. Intrusive validation μόνο αν είναι ρητά approved και απαραίτητο.

Σταμάτα μόλις απαντηθεί το security question.

Καλό finding

Πρέπει να περιέχει affected asset/component, timestamped evidence, root cause ή vulnerability reference, realistic impact, prerequisites, limitations, severity rationale, remediation και retest procedure.

Μην χρησιμοποιείς δραματική γλώσσα. Γράψε τι αποδείχθηκε και τι παραμένει uncertain.

Remediation

Μπορεί να είναι patch/upgrade, disable unused feature, exposure reduction, stronger authorization, segmentation, credential rotation, detection ή documented risk acceptance. Workaround δεν είναι πάντα ισοδύναμο με patch· κατέγραψε residual risk.

Συχνά λάθη

• Κάθε scanner match θεωρείται confirmed vulnerability.
• CVSS ως μοναδικό prioritization input.
• Άγνωστο ακριβές component/version.
• PoC όταν configuration evidence αρκεί.
• Παράβλεψη compensating controls.
• Remediation χωρίς regression test.

Καθοδηγούμενο εργαστήριο

Δημιούργησε τρία fictional assets: Internet-facing web service, internal workstation και isolated dev container. Δώσε και στα τρία την ίδια hypothetical high-severity library vulnerability και γράψε διαφορετικό priority για το καθένα με βάση exposure, data, privilege και recovery context.

Έλεγχος γνώσεων

1. Γιατί CVE match δεν είναι αυτόματα finding;
2. Τι προσφέρει το CWE;
3. Τι δεν γνωρίζει το CVSS για το περιβάλλον σου;
4. Πότε αποφεύγεις intrusive validation;
5. Τι κάνει ένα retest criterion reproducible;

Καθοδηγούμενη μελέτη

Χρησιμοποίησε τη Μεθοδολογία Μελέτης. Εξασκήσου στο να εξηγείς γιατί το ίδιο CVE έχει διαφορετικό risk σε διαφορετικά assets.

Συνέχεια

Προτεινόμενα μαθήματα: 15, 26, 50, 84.