أعلن المعهد الوطني للمعايير والتقنية في الولايات المتحدة (NIST) عن إطلاق مقياس جديد لتقييم احتمالية استغلال الثغرات الأمنية، تحت مسمى «Likely Exploited Vulnerabilities» (LEV)، وذلك ضمن ورقة تقنية نُشرت في 19 مايو (أيار) الجاري.
ويهدف المؤشر إلى مساعدة المؤسسات على تحديد ما إذا كانت ثغرة محددة قد تم استغلالها بالفعل، مما يدعم جهود ترتيب الأولويات في التعامل مع الثغرات. ويُبنى هذا المقياس على نظام «تسجيل توقعات الاستغلال» (EPSS)، الذي تم تقديمه عام 2018 ضمن منتدى فرق الاستجابة للحوادث الأمنية (FIRST).
ما بين CVE وLEV
فيما يقوم نظام CVE (الثغرات والتعرضات الشائعة) بتوثيق وجود الثغرة الأمنية ومنحها هوية مرجعية فريدة، فإن مقياس LEV يقدم قيمة إضافية بالغة الأهمية، إذ يُخبر ما إذا كانت الثغرة قد استُغلت بالفعل، ومتى وقع ذلك، وما مدى احتمالية استمرار استغلالها.
يعني ذلك أن CVE يُحدد الثغرة، بينما LEV يُحلل سلوكها عبر الزمن ويُقدّم نظرة واقعية حول مدى خطورتها الفعلية استناداً إلى بيانات حقيقية.
كيف يعمل مقياس LEV؟
يُقدم المقياس الجديد معلومات يومية لمديري إدارة الثغرات الأمنية عن كل CVE، تشمل:
- اسم الثغرة وتاريخ نشرها ووصفها
- احتمالية الاستغلال بناءً على ملاحظات سابقة
- أعلى درجة EPSS تم تسجيلها خلال فترات 30 يوماً
- تاريخ تسجيل هذه الدرجة
- درجات EPSS لكل فترة زمنية
- تواريخ كل نافذة زمنية
- المنتجات المتأثرة باستخدام رموز (CPE)
ووفقاً لـ NIST، تتوفر معادلتان لحساب LEV: الأولى تعتمد على درجات EPSS لفترات زمنية (30 يوماً)، والأخرى تُقسم الدرجات يومياً لتقديم تنبؤات أدق، لكنها تتطلب موارد حسابية أكبر وتتيح تتبع تغيرات الاحتمالية عبر الزمن.
تكامل مع EPSS وقوائم KEV
يمكن استخدام LEV إلى جانب نظام EPSS وقوائم الثغرات المستغلة المعروفة (KEV) الصادرة من جهات مثل وكالة الأمن السيبراني والبنية التحتية الأميركية (CISA KEV)، وشركات خاصة مثل VulnCheck KEV، أو مجتمعات مفتوحة المصدر مثل OpenKEV.
ويُوضح التقرير أن قوائم KEV لا تغطي جميع الثغرات الأمنية، كما أن EPSS لا يأخذ في الحسبان ما إذا تم استغلال الثغرة سابقاً، وهو ما يجعل LEV أداة تكميلية مهمة تُغلق هذه الفجوة.
حدود المقياس الجديد
رغم دقة المنهجية، يشير المعهد إلى أن مقياس LEV لا يزال يحمل هامش خطأ غير معروف، نظراً لاعتماده على EPSS الذي لا يُراعي تاريخ الاستغلال السابق عند توليد درجاته. كما أن الثغرات التي يتم استغلالها خلال أول 30 يوماً لا تحصل على زيادة في التقييم في الفترات التالية.
مع ذلك، ترى NIST أن الورقة التقنية تمثل خطوة نحو تحسين الأنظمة الحالية لتقييم الثغرات، وتقديم أداة عملية تُسهم في دعم المؤسسات على إدارة الثغرات بفعالية أكبر.
