أولوية معالجة الثغرات

الخطوة 1: أدخل قيمة CVSS (Common Vulnerability Scoring System)، وهي درجة من 0 إلى 10 تقيس شدة الثغرة الأمنية بناءً على تأثيرها على السرية (Confidentiality)، والسلامة (Integrity)، والتوفر (Availability). كلما ارتفعت القيمة، زادت خطورة الثغرة. يعتمد حساب CVSS على معايير مثل متجه الهجوم، وتعقيد الهجوم، والمصادقة المطلوبة. يمكنك الحصول على هذه القيمة من قواعد البيانات مثل NVD أو من تقارير بائع البرنامج.

الخطوة 2: حدد مستوى قابلية الاستغلال (Exploitability)، والذي يعبر عن مدى سهولة استغلال الثغرة من قبل المهاجم. اختر بين القيم: منخفضة (1) – لم يتم نشر كود استغلال بعد أو يتطلب ظروفاً خاصة؛ متوسطة (5) – يوجد كود استغلال لكنه معقد أو يحتاج تفاعل مستخدم؛ عالية (10) – يتوفر كود استغلال سهل الاستخدام ويؤدي إلى اختراق كامل. هذه الاختلافات تؤثر مباشرة على سرعة انتشار الهجمات.

الخطوة 3: أدخل قيمة الأصل (Asset Value)، والتي تمثل أهمية المورد المتأثر بالثغرة في مؤسستك. استخدم: منخفضة (1) – أصل غير حرج، مثل خادم اختباري؛ متوسطة (5) – أصل مهم لكن ليس حيوياً، مثل خادم البريد الداخلي؛ عالية (10) – أصل حيوي يحتوي على بيانات حساسة أو يقدم خدمات أساسية، مثل قاعدة بيانات العملاء أو خادم المصادقة. هذا التصنيف يعتمد على تحليل تأثير الأعمال (BIA).

الخطوة 4: يتم حساب الأولوية (Priority) باستخدام الصيغة المرجحة الآتية: `Priority = (CVSS × 0.4) + (Exploitability × 0.3) + (Asset Value × 0.3)`. تم اختيار الأوزان بناءً على أفضل الممارسات في إدارة الثغرات، مع إعطاء وزن أكبر لشدة الثغرة (CVSS) لأنها تعكس خطورة جوهرية، ثم توزيع الوزن المتبقي بالتساوي بين قابلية الاستغلال وقيمة الأصل. يمكن تخصيص هذه الأوزان حسب سياسة المؤسسة.

الخطوة 5: بعد الحصول على النتيجة الرقمية (من 0 إلى 10)، تقوم الحاسبة بتصنيفها إلى فئات الأولوية: الفئات متصلة بلا فجوات: من صفر إلى 3.3 بالضبط أولوية منخفضة (تُعالج ضمن جدول الصيانة الدورية)، ثم أكبر من 3.3 حتى 6.6 أولوية متوسطة (خلال ثلاثين يوماً)، ثم أكبر من 6.6 حتى 8.9 أولوية عالية (خلال سبعة أيام)، ثم أكبر من 8.9 حتى 10 أولوية حرجة (فوراً خلال أربعٍ وعشرين ساعة). والنسخة السابقة من هذه الخطوة كانت تكتب من 3.4 إلى 6.6 ومن 6.7 إلى 8.9 فتنقطع السلسلة عند 3.35 و6.65 و8.95 لأن النتيجة محمولة على منزلتين، وهي فجوة توثيقية سُدّت هنا. يساعد هذا التصنيف فرق الأمن على تخصيص الموارد بفعالية.