CPE का परिचय: सामान्य मंच गणना

शुभ दिन, साथियों!
अनुपालन-प्रबंधन उत्पादों के रचनाकारों के सामने आने वाली समस्याओं में से एक प्रणाली इन्वेंट्री और इन कमजोरियों के परिणामों की तुलना करने की प्रक्रिया है। यह इस तथ्य पर आधारित है कि जब औपचारिक रूप से डेटाबेस (उदाहरण के लिए, एनवीडी में ) में भेद्यता का दस्तावेजीकरण किया जाता है, तो भेद्यता की प्रयोज्यता औपचारिक भाषा सीपीई द्वारा वर्णित की जाती है। यह सभी संभावित उत्पादों, ऑपरेटिंग सिस्टम और हार्डवेयर उपकरणों का वर्णन करने का एक तरीका है।

एक सार्वभौमिक प्रारूप के रूप में कल्पना की गई, यह MITER का यूटोपिया बना रहा।
यह सूचना सुरक्षा में सूचना के औपचारिक भंडारण के "नींव" में रखा गया है - सीवीई कमजोरियों के बारे में जानकारी प्रस्तुत करने के तरीके में।
भाषा का आधार एक शब्दकोश है , जो अनिवार्य रूप से एक संदर्भ है जो आपको मानक संक्षिप्तताओं और उनकी अतिरिक्त जानकारी के बीच पत्राचार का पता लगाने की अनुमति देता है। आइए देखें कि CPE संक्षिप्ताक्षर कैसे काम करते हैं:



जैसा कि आरेख से देखा जा सकता है, सीपीई कोड लाइन को ":" प्रतीक के माध्यम से तार्किक खंडों में विभाजित किया गया है। यदि आवश्यक हो तो खाली स्ट्रिंग के साथ अनावश्यक फ़ील्ड की जगह, फ़ील्ड की संख्या अनुमानित डिग्री के अनुसार निर्धारित की जाती है। इस प्रकार, अधिकतम ग्रैन्युलैरिटी के लिए, सभी क्षेत्रों के मूल्यों को इंगित करना आवश्यक है, और चयन को सामान्य करने के लिए, इच्छित स्थानों में अंतराल होना चाहिए। इन संरचनाओं को संकलित करने के नियम विनिर्देश में विस्तार से देखे जा सकते हैं।

इस तरह के लिंक होने पर, आप शब्दकोश में बदल सकते हैं और उत्पाद डेटा का XML ब्लॉक प्राप्त कर सकते हैं। इसे उदाहरण cpe के साथ समझें: / o: sun: sunos: 5.9 :

<cpe-item name = "cpe: / o: sun: sunos: 5.9" >
<title xml: lang = "en-US" > Sun SunOS (पूर्व में सोलारिस 9) 5.9 </ title >
<Href जाँच = " oval.mitre.org/repository/data/DownloadDefinition?id=oval : org.mitre.oval: डीईएफ़: 2174" प्रणाली = " oval.mitre.org/XMLSchema/oval-definitions-5" > अंडाकार : org.mitre.oval: def: 2174 </ check >
<मेटा: आइटम-मेटाडाटा संशोधन-तिथि = "2011-01-19T19: 36: 00.913Z" स्थिति = "DRAFT" एनवीडी-आईडी = "122557" />
</ cpe-item >

जैसा कि आप देख सकते हैं, उत्पाद के बारे में जानकारी, उसके विशिष्ट पहचानकर्ता एनवीडी-आईडी और "चेक" ब्लॉक के बारे में जानकारी दी गई है। सत्यापन इकाई सबसे दिलचस्प है, क्योंकि इसमें OVAL भाषा में एक औपचारिक सत्यापन का लिंक है, जिसके बारे में मैंने पहले लिखा था । यह लिंक आपको परिभाषा में निर्दिष्ट मानदंडों का उपयोग करते हुए प्रणाली को विशिष्ट रूप से पहचानने की अनुमति देता है। दुर्भाग्य से, सिस्टम में किसी उत्पाद को सूचीबद्ध करने की विधि के ये लिंक वर्तमान में CPE के लिए दुर्लभ हैं।

बेशक, यह प्रणाली तार्किक तत्वों के बिना नहीं कर सकती थी जो आपको उत्पादों का एक गुच्छा निर्दिष्ट करने की अनुमति देती है। भेद्यता की प्रयोज्यता निर्धारित करने के लिए भी यह समाधान आवश्यक है:

<cpe-lang: तार्किक-परीक्षण नकार = "गलत" ऑपरेटर = "या" >
<cpe-lang: fact-ref name = "cpe: / a: ibm: db2: 9.0" />
<cpe-lang: fact-ref name = "cpe: / a: ibm: db2_universal_database: 6.0" />
<cpe-lang: fact-ref name = "cpe: / a: ibm: db2_universal_database: 7.0 :: linux" />
<cpe-lang: fact-ref name = "cpe: / a: ibm: db2_universal_database: 7.1 :: linux" />
<cpe-lang: fact-ref name = "cpe: / a: ibm: db2_universal_database: 7.2 :: linux" />
<cpe-lang: fact-ref name = "cpe: / a: ibm: db2_universal_database: 8.0 :: linux" />
<cpe-lang: fact-ref name = "cpe: / a: ibm: db2_universal_database: 8.1 :: aix" />
<cpe-lang: fact-ref name = "cpe: / a: ibm: db2_universal_database: 8.2 :: windows" />
</ cpe-lang: तार्किक-परीक्षण >

जैसा कि संदर्भ से पता चलता है, ये पंक्तियाँ किसी उत्पाद समूह के लिए "OR" स्थिति का वर्णन करती हैं।
इस प्रकार, इन उत्पादों में से किसी की उपस्थिति में स्थिति सकारात्मक होगी।
संयोजन में, ये उपकरण आपको "प्रयोज्यता" को सटीक तरीके से निर्धारित करने की अनुमति देते हैं।

इस पर मैं सीपीई भाषा का वर्णन समाप्त करना चाहूंगा। यह MITER समाधान सभी मौजूदा प्लेटफार्मों को मानकीकृत करने और उनके निर्धारण के लिए तरीके बनाने के लिए डिज़ाइन किया गया था। लेकिन, दुर्भाग्य से, विक्रेताओं ने कॉल को नजरअंदाज कर दिया और सीपीई जैसे एक आशाजनक उपकरण अभी भी व्यापक नहीं है।
इसलिए, प्रसंस्करण और कमजोरियों की खोज के लिए उपकरण बनाते समय, आपको इन निर्भरताओं को सबसे अधिक बार मैन्युअल रूप से हल करना होगा। इस तरह के एक दुखद तथ्य तब तक रहेगा जब तक सॉफ्टवेयर के निर्माता व्यवस्थित रूप से अपने उत्पादों के बारे में जानकारी प्राप्त करना शुरू नहीं करेंगे।

आपके समय के लिए धन्यवाद।
हम फिर मिलेंगे तक।