Editorial ilmu komputer
Deteksi Kerentanan Berbasis Permintaan untuk Cloud Security Posture Management: Menghapus Penulisan Aturan oleh Manusia dari Jalur Kritis Pengungkapan-ke-Perlindungan
Masalah inti
Cloud Security Posture Management (CSPM) mendeteksi kerentanan yang diketahui melalui pipeline tiga tahap: memelihara kumpulan aturan, mendistribusikannya ke pelanggan, dan mengevaluasinya terhadap inventaris aset yang dikumpulkan secara berkala. Dalam arsitektur yang didokumentasikan secara publik, kumpulan aturan bersifat agnostik terhadap lingkungan dan dikurasi secara terpusat oleh vendor. Pembaruan dibatch ke dalam siklus rilis dan dikirim dengan irama yang berkisar dari jam hingga hari tergantung pada tingkat keparahan deteksi.
Makalah ini mengidentifikasi latensi yang dihasilkan sebagai masalah utama. **Jendela pengungkapan-ke-perlindungan** didefinisikan sebagai interval dari CVE dipublikasikan hingga sistem pelanggan mampu mendeteksi aset yang terdampak. Untuk deteksi pencocokan versi, jendela ini dibatasi oleh irama rilis vendor. Untuk deteksi yang lebih kaya yang memasukkan predikat konfigurasi di luar string perangkat lunak yang terdampak, jendela diperpanjang oleh waktu penulisan oleh manusia tambahan.
Arsitektur yang diusulkan membalik model distribusi: kumpulan aturan tidak didistribusikan vendor tetapi diturunkan secara berkelanjutan di dalam tenant pelanggan dari
Inovasi
Makalah ini melaporkan hasil arsitektural dan analitis alih-alih hasil produksi yang terukur. Hasil utamanya adalah:
- **Konsekuensi latensi.** Jendela pengungkapan-ke-perlindungan tidak lagi dibatasi oleh irama rilis vendor untuk deteksi pencocokan versi, maupun oleh waktu penulisan oleh manusia untuk deteksi predikat konfigurasi. Sebuah aturan dapat muncul segera setelah entri katalog dan aset yang berlaku hadir secara bersamaan.
- **Pemicu dua arah.** Baik entri katalog baru maupun aset baru memicu penurunan, sehingga perlindungan mengikuti peristiwa pengungkapan dan perubahan lingkungan.
- **Pencantuman bidang terstruktur penuh.** Penurunan menggunakan konten bidang terstruktur penuh dari entri katalog, bukan hanya predikat perangkat lunak yang terdampak, sehingga memungkinkan deteksi yang lebih kaya tanpa penulisan oleh manusia tambahan.
- **Kumpulan aturan terbatas.** Kumpulan aturan langsung dibatasi oleh keragaman lingkungan alih-alih keluasan katalog, yang membatasi konsumsi sumber daya secara independen dari pertumbuhan katalog.
- **Ekuivalensi.** Semantik formal mendukung teorema ekuivalensi yang menghubungkan kumpulan aturan yang diturunkan dengan kumpulan aturan yang
Mengapa penting
Analisis berpusat pada pembalikan arsitektur: beralih dari kumpulan aturan yang didistribusikan vendor dan agnostik terhadap lingkungan ke kumpulan aturan lokal-tenant yang diturunkan secara berkelanjutan. Pergeseran ini mengubah unit inkrementalitas. Sistem sebelumnya mengevaluasi kumpulan aturan statis secara inkremental; sistem yang diusulkan menurunkan kumpulan aturan itu sendiri secara inkremental. Konsekuensi praktisnya adalah jalur kritis pengungkapan-ke-perlindungan tidak lagi mencakup penulisan aturan oleh manusia atau pembatasan rilis.
Pembahasan membingkai kumpulan aturan langsung sebagai properti emergen dari irisan antara feed katalog publik dan graf aset langsung. Ini memiliki beberapa implikasi:
- **Cakupan relatif terhadap lingkungan.** Cakupan ditentukan oleh apa yang benar-benar dijalankan tenant, bukan oleh apa yang dipilih vendor untuk ditulis. Kumpulan aturan langsung dibatasi oleh keragaman lingkungan alih-alih keluasan katalog.
- **Simetri siklus hidup.** Aturan muncul dan hilang bersama input pendukungnya, sehingga kumpulan aturan tetap tersinkronisasi dengan status pengungkapan dan status aset.
- **Profil sumber daya.** Penurunan berkelanjutan menukar siklus rilis batch dengan komputasi berkelanjutan di dalam tenant, dengan kompleksitas yang dikarakterisasi dalam makalah.
Makalah ini eksplisit tentang batas cakupan. Kebenaran aturan dan prioritisasi peringatan di luar cakupan, sehingga kontribusinya diposisikan sebagai pergeseran arsitektur dan konsekuensi latensi serta sumber dayanya. Metodologi evaluasi disajikan sebagai rencana, dan teorema ekuivalensi menyediakan jembatan formal antara kumpulan aturan yang diturunkan dan kumpulan aturan yang ditulis baseline. Klaim keseluruhannya adalah bahwa menghapus penulisan aturan oleh manusia dari jalur kritis pengungkapan-ke-perlindungan dapat dicapai melalui penurunan lokal-tenant yang digerakkan oleh permintaan.
Siapa yang sebaiknya membaca
Membuka konten member…