Агенцията иска да помогне на компаниите да се ориентират в лавината от доклади за грешки, подхранвана от изкуствения интелект.
Агенцията за киберсигурност и инфраструктурна сигурност (CISA) ще спре да публикува седмични прегледи на новоразкритите софтуерни уязвимости в края на септември, обяви агенцията в четвъртък.
CISA прекратява своя бюлетин за уязвимости „като част от прехода си от управление на уязвимостите, базирано на сериозността, към модерен подход, базиран на риска“, се казва в изявление на агенцията.
Седмичните бюлетини, публикувани от началото на 2004 г., изброяваха уязвимостите, публикувани през отчетния период, заедно с техните CVE номера, оценки за сериозност и кратки описания.
Тъй като уязвимостите заливат защитниците в ерата на изкуствения интелект, CISA премина към подход за управление на уязвимостите, базиран на риска. През юли агенцията издаде нови насоки за отстраняване на уязвимости до други агенции, които определят крайни срокове въз основа на няколко критерия, включително дали засегнатите активи са достъпни през интернет и дали експлоатацията им може да бъде автоматизирана. Въпреки че насоките са задължителни само за федералните агенции, CISA призова неправителствените организации да следват същия подход, като оценяват уникалната си изложеност на риск, когато вземат решения за отстраняване на уязвимости.
„Не всички уязвимости са от значение“, каза Линдзи Церковник, ръководител на клона на CISA за реагиране и координация при уязвимости, на хакерската конференция DEF CON през август. „Не всички уязвимости, които имат значение, имат еднакво ниво на значение за вас и вашата организация.“
CISA заяви в изявлението си в четвъртък, че прекратяването на бюлетина е в съответствие с директивата за приоритети, издадена през юли, „която нарежда на федералните агенции да дават приоритет на уязвимостите въз основа на реални рискови фактори, включително доказателства за експлоатация и изложеност на риск, а не само на оценките за сериозност.“
Тъй като възпира организациите да разчитат единствено на оценките по Общата система за оценяване на уязвимости (CVSS), за да решат кои уязвимости да отстранят, CISA също така подчертава системата Stakeholder-Specific Vulnerability Categorization (SSVC) като по-детайлен подход към анализа на уязвимостите.
Крис Бутера, изпълняващ длъжността помощник-заместник-директор по киберсигурност в CISA, каза в сряда на срещата на върха Cyber Defense Summit на Google, че агенцията е обсъждала SSVC с компании, които продават софтуер за управление на уязвимости. „Те внедряват част от това приоритетизиране в своите инструменти за уязвимости“, каза Бутера.
Въпреки че прекратява седмичните прегледи на уязвимости, CISA ще продължи да издава препоръки за конкретни уязвимости и да ги добавя към своя каталог Known Exploited Vulnerabilities. Един от критериите в последните насоки за приоритетизиране на агенцията е дали дадена уязвимост е включена в този каталог.