Nhanh chóng nắm bắt thông tin lỗ hổng phần mềm - CVE, CISA KEV, JPCERT/CC, OSV | npaka

Lỗ hổng bảo mật là gì?

Lỗi trong phần mềm mà tin tặc có thể lợi dụng được gọi là lỗ hổng. Bài viết giải thích cách tin về lỗ hổng lan truyền trên thế giới. Sau đó, bài giới thiệu bốn nguồn miễn phí để kiểm tra lỗ hổng mới và cách dùng chúng. Bài cũng nói về hệ thống chấm điểm CVSS, dùng để đánh giá mức độ nghiêm trọng của một lỗ hổng.

Tin về lỗ hổng lan truyền như thế nào?

Đầu tiên, một nhà nghiên cứu bảo mật tìm ra lỗi. Họ báo cho công ty làm phần mềm. Công ty kiểm tra vấn đề và chuẩn bị bản sửa. Sau đó, công ty công bố thông tin cùng bản sửa hoặc cách khắc phục tạm thời. Các nhóm bảo mật và cơ sở dữ liệu sẽ chia sẻ tin này rộng rãi. Đôi khi tin được công bố trước khi có bản sửa. Cũng có lúc lỗi chỉ được phát hiện sau khi đã có tấn công. Mỗi lỗi được đặt một mã số chung trên thế giới gọi là CVE.

Bốn nguồn thông tin chính

• CVE: danh sách mã số lỗ hổng chung trên toàn thế giới. Dữ liệu được cập nhật khoảng 7 phút một lần.
• CISA KEV: danh sách các lỗi mà tin tặc thực sự đã dùng. Do cơ quan an ninh mạng Hoa Kỳ CISA quản lý.
• JPCERT/CC: nhóm của Nhật Bản đăng cảnh báo và thông tin sửa lỗi bằng tiếng Nhật. Có cung cấp RSS.
• OSV: cơ sở dữ liệu lỗi trong phần mềm mã nguồn mở. Bao gồm thư viện của npm, PyPI, Maven và crates.io.

Vì sao điều này quan trọng?

Một lỗ hổng đã biết mà chưa được sửa có thể để người khác đột nhập hệ thống hoặc làm rò rỉ dữ liệu. Kiểm tra các nguồn này sớm giúp bạn sửa những vấn đề khẩn cấp nhất trước. Bài viết cũng cho biết chỉ dựa vào điểm mức độ nghiêm trọng là chưa đủ. Bạn cũng nên kiểm tra xem có đang xảy ra tấn công hay không và hệ thống của mình có bị ảnh hưởng không.

Nên làm gì tiếp theo?

• Theo dõi các nguồn CVE, CISA KEV, JPCERT/CC và OSV trên toàn thế giới.
• Theo dõi trang Security Advisory chính thức của các sản phẩm bạn dùng, như hệ điều hành, máy chủ, dịch vụ đám mây và thiết bị mạng.
• Dùng API, RSS hoặc JSON để nhận cập nhật tự động, thay vì tự kiểm tra bằng tay.
• So sánh lỗ hổng mới với các phiên bản phần mềm bạn đang dùng, và gửi cảnh báo khi có trùng khớp.
• Dùng điểm CVSS (từ 0.0 đến 10.0) cùng với CISA KEV để quyết định sửa lỗi nào trước.