התחילו מהתאמה אמיתית, לא מכותרת ההתראה
קחו את מזהה ה-CVE אל רשומת החולשה ואל הודעת הספק. בדקו שם מוצר, מהדורה, גרסה, רכיב ותנאים נדרשים. אתר יכול להשתמש במוצר דומה שאינו מושפע, או בגרסה שנתמכת בתיקון שסופק בדרך שונה. השוואת מספרים בלבד בלי להבין את הודעת הספק עלולה להטעות.
רשמו מקור ותאריך לכל קביעה. אם סורק ניחש גרסה, בקשו לאמת מול נתוני המערכת בהרשאה מתאימה. כשהמידע חסר, מסמנים שהוא חסר וממנים אחראי לבירור, במקום להכריז שהממצא שגוי או שהמערכת בטוחה. שינוי ברכיב חי מתחיל רק אחרי שמבינים מה מותקן ומה ניתן לעדכן.
CVSS, EPSS וניצול מוכר עונים על שאלות שונות
CVSS מתאר חומרה טכנית; חשוב לשמור גם את גרסת השיטה ואת הווקטור, ולא רק מספר. EPSS מעריך הסתברות לכך ש-CVE שפורסם ינוצל בעולם במהלך 30 הימים הבאים. הוא אינו הסתברות אישית לפריצה לעסק שלכם. מידע על ניצול מוכר מוסיף ראיה מסוג אחר, ולא תחזית בלבד.
CISA הציגה את קטלוג החולשות שנוצלו בפועל כחלק מגישה לתעדוף טיפול. המקור המצורף מסביר את ההיגיון משנת 2021; אין להסיק ממנו לוחות זמנים עדכניים או חובה החלה על עסק ישראלי. נוכחות בקטלוג אינה אומרת שהאתר שלכם נפרץ, והיעדר ממנו אינו מוכיח שאין ניצול.
מטריצת עבודה: חשיפה, השפעה ודרך טיפול
הטבלה היא מסגרת החלטה מקורית לעסק קטן, ואינה נוסחה שמחליפה הערכה מקצועית. בחנו גם מה יקרה אם הרכיב לא יהיה זמין ומה נדרש כדי לתקן בלי לאבד נתונים. אם יש סימנים לפגיעה פעילה, פותחים גם מסלול תגובה לאירוע; עדכון שגרתי לבדו אינו בירור היקף הפגיעה.
| שאלה | ראיה שצריך לאסוף | איך היא משפיעה על העבודה |
|---|---|---|
| האם הרכיב מושפע | מוצר, גרסה והודעת ספק | קובעת אם נדרש טיפול בממצא הזה |
| האם תנאי הניצול קיימים | חשיפה, הרשאות ותכונה פעילה | משנה את דחיפות הבירור והצמצום |
| האם ידוע ניצול | מקור מתוארך ורלוונטי לחולשה | מוסיף משקל לדחיפות מעבר לציון |
| מה הנכס מאפשר | מידע, חשבונות ותהליך עסקי | מגדיר השלכה והחלטת בעלים |
| איך מתקנים ומאמתים | תיקון נתמך, תלות ודרך חזרה | הופך המלצה למשימה שניתן לסגור |
כשאין תיקון זמין, מצמצמים חשיפה באופן מוגדר
בוחנים את המלצת הספק ואת האפשרות להשבית תכונה מסוימת, לצמצם גישה או להחליף רכיב. פתרון עוקף אינו בהכרח תיקון של החולשה עצמה. צריך לתעד מה הוא אמור להגביל, באילו תנאים ומה עדיין פתוח. WAF או כלל גישה אינם אישור אוטומטי שכל נתיב ניצול חסום.
לכל טיפול זמני מגדירים אחראי ומועד בדיקה מחדש, וכן דרך לדעת כשמתפרסם תיקון נתמך. אם ההמלצה פוגעת בסליקה, בטופס או בניהול, בעל העסק צריך להבין את ההשלכה ולאשר את היקף השינוי. אין לאמץ קוד או חבילת תיקון ממקור לא מאומת רק מפני שההודעה דחופה.
דוגמה: שתי התראות מתחרות על אותו חלון תחזוקה
התרחיש להמחשה בלבד. חולשה אחת קיבלה ציון גבוה ברכיב שאינו מותקן, והשנייה חלה על רכיב פעיל וחשוף עם מידע מבוסס על ניצול. הצוות מאמת את שני המצבים, מתעד מדוע הראשון אינו חל, ומתכנן טיפול בשני לפי ההשלכה ותלות האתר. אין צורך להמציא ציון מספרי כדי להסביר את ההחלטה.
אם לא הצליחו לאמת את המוצר הראשון, הוא נשאר בבירור ואינו נסגר על סמך ניחוש. בשני מוודאים שאפשר לגבות, לבדוק ולחזור מבלי להחזיר רכיב פגיע לשימוש קבוע. כאשר יש סימן לחשבון זר או שינוי לא מוכר, מפנים לבירור אירוע בנוסף לסגירת החולשה.
איך סוגרים ממצא ומתי פותחים אותו מחדש
סגירה צריכה לכלול ראיית גרסה או תצורה, היקף שנבדק, בדיקה חוזרת מתאימה ותפקוד עסקי אחרי שינוי. היעלמות שורה מסריקה יכולה לסייע, אך אינה מחליפה בירור אם הכלי פשוט איבד גישה ליעד. גם גיבוי תקין או עליית האתר אינם הוכחה שהחולשה תוקנה.
מגדירים מי בוחן שינוי בהודעת הספק, חשיפה חדשה או חזרת הממצא. החלטת סיכון זמנית שונה מסגירה טכנית. מסמך קצר שמסביר מה ידוע, מה נעשה ומה נשאר פתוח שימושי יותר מרשימת ציונים שאין לה בעלים. בפנייה לבדיקה ציינו רכיב ומזהה חולשה, בלי לצרף סודות או ייצוא לקוחות.
