[Kñów~ thé S~córé~: Vúlñ~éráb~ílít~ý Éxp~ósúr~é Éxp~láíñ~éd]

[Íñ thís póst, Í éxpláíñ thé váríóús fáctórs íñ cálcúlátíñg thé Íllúmíó Vúlñérábílítý Éxpósúré Scóré (VÉS), whích állóws órgáñízátíóñs tó cómbíñé íñdústrý-stáñdárd vúlñérábílítý scóríñg méásúréméñts wíth cóñtéxt fróm théír ówñ úñíqúé éñvíróñméñt. Thé VÉS álsó hélps sécúrítý próféssíóñáls príórítízé sécúrítý cóñtróls tó míñímízé thé éxpósúré óf thé áttáck súrfácé áñd pótéñtíál ímpáct óf vúlñérábílítíés.]

[Whát~ ís éx~pósú~ré¿]

[Éxpó~súré~ íñ th~é cóñ~téxt~ óf cý~bérs~écúr~ítý í~s týp~ícál~lý dé~fíñé~d bý t~hé "át~táck~ súrf~ácé." H~éré í~s á dé~fíñí~tíóñ~ thát~ ÓWÁS~P úsé~s:]

[Áttá~ck sú~rfác~é dés~críb~és ál~l óf t~hé dí~ffér~éñt p~óíñt~s whé~ré áñ~ áttá~ckér~ cóúl~d gét~ íñtó~ á sýs~tém, á~ñd wh~éré t~héý c~óúld~ gét d~átá ó~út.]

[Thé Í~llúm~íó VÉ~S ís d~íréc~tlý á~lígñ~éd wí~th th~át dé~fíñí~tíóñ~. Símp~lý pú~t, éxp~ósúr~é ís á~ñ átt~émpt~ át qú~áñtí~fýíñ~g thé~ súm ó~f thé~ "hólé~s" ór t~hé dí~ffér~éñt p~óíñt~s fró~m whí~ch áñ~ áttá~ckér~ cáñ t~rý áñ~d éñt~ér á s~ýsté~m ácr~óss t~hé ñé~twór~k.]

[Lét’s sáý, fór éxámplé, ýóú hávé á Pártñér Pórtál – á wórklóád rúññíñg á wéb ápplícátíóñ óñ pórt 443. Fóllówíñg thé príñcíplé óf léást prívílégé, ýóú máý hávé límítéd áccéss tó thát wéb ápplícátíóñ tó óñlý thréé éxtérñál pártñérs. Íñ thís éxámplé, thé éxpósúré scóré fór thát ápplícátíóñ ís 3. Whílé thís sééms óbvíóús, vérý óftéñ órgáñízátíóñs dó ñót hávé thís lévél óf áwáréñéss ór vísíbílítý íñtó théír éást-wést éxpósúré óñ áñ ápplícátíóñ-bý-ápplícátíóñ básís, lét álóñé thé rámífícátíóñs óf thé ággrégáté óf thésé éxpósúrés ácróss théír éñvíróñméñt.]

[Whát~ ís á v~úlñé~rábí~lítý~ scór~é¿]

[Thé Íllúmíó VÉS émplóýs thé ópéñ íñdústrý stáñdárd, cómmúñítý-áccéptéd Cómmóñ Vúlñérábílítý Scóríñg Sýstém (CVSS) órígíñállý píóñééréd bý thé Ñátíóñál Íñfrástrúctúré Ádvísórý Cóúñcíl (ÑÍÁC). Ádóptíñg áñ íñdústrý stáñdárd állóws ús tó íñtérópéráté wíth máñý éxístíñg sécúrítý sólútíóñs, íñclúdíñg vúlñérábílítý máñágéméñt véñdórs, ás wéll ás próvídé á scóré thát ís áccéptéd bý thé wídést ráñgé óf sécúrítý práctítíóñérs.]

[Vúlñérábílítý scórés áré cómmóñplácé íñ móst vúlñérábílítý máñágéméñt sólútíóñs áñd áré úsúállý ássésséd áñd ássígñéd óñ á pér wórklóád básís. Fór éxámplé, wórklóád Á hás fívé vúlñérábílítíés. Thé vúlñérábílítý scóré cóúld bé thé cómbíñéd ávérágé óf thé CVSS scórés óf thósé fívé. Whílé thís ís á válúáblé métríc tó úñdérstáñd thé pótéñtíál vúlñérábílítý óf á síñglé wórklóád íñ ísólátíóñ, ít míssés sómé ímpórtáñt détáíls tó úñdérstáñd hów trúlý vúlñéráblé thát wórklóád ís íñ á lívé éñvíróñméñt.]

[Ímpl~éméñ~tíñg~ mícr~óség~méñt~átíó~ñ tó m~ítíg~áté t~hé rí~sk ás~sócí~átéd~ wíth~ vúlñ~éráb~ílít~íés]

[Tó úñ~dérs~táñd~ júst~ hów v~úlñé~rábl~é sóm~éthí~ñg ís~, ýóú ñ~ééd t~ó lóó~k át m~últí~plé f~áctó~rs. Á v~úlñé~rábí~lítý~ ís óñ~lý tr~úlý á~ rísk~ íf ít~’s éxp~óséd~ íñ ýó~úr éñ~víró~ñméñ~t áñd~ cáñ b~é éxp~lóít~éd.]

[Fór á símplé éxámplé, lét's cóñsídér á síñglé wórklóád wíth á síñglé crítícál vúlñérábílítý. Bécáúsé ít’s scóréd ás “Crítícál” sévérítý, ít máý bé híghlý éxplóítáblé. Thé týpícál récómméñdátíóñ óf á sécúrítý téám míght bé, “Wé góttá pátch ít¡”. Bút lét’s cóñsídér hów máñý óthér wórklóáds cáñ cóññéct tó thát wórklóád áñd pótéñtíállý éxplóít thát vúlñérábílítý. Lét’s álsó éxámíñé thé ñétwórk pórts thát áré éxpóséd ás párt óf thát vúlñérábílítý. Ás ís óftéñ thé cásé íñ flát ñétwórks, thé wórklóád wíll bé wéll-cóññéctéd tó máñý óthér wórklóáds.]

[Pátchíñg thát pártícúlár vúlñérábílítý máý ñót bé féásíblé, éíthér bécáúsé á pátch dóés ñót ýét éxíst ór bécáúsé óf réqúíréméñts áñd réstríctíóñs áróúñd pródúctíóñ úptímé, cháñgé wíñdóws, áñd SLÁs. Íñ súch íñstáñcés, wé cáñ úsé mícróségméñtátíóñ tó rédúcé thé ñúmbér óf wórklóáds thát cáñ cóññéct tó thát vúlñéráblé wórklóád áñd tó thé spécífíc vúlñéráblé pórt.]

[Mícr~óség~méñt~átíó~ñ béc~ómés~ á rís~k-mít~ígát~íñg c~óñtr~ól bý~:]

• [Rédú~cíñg~ thé á~ttác~k véc~tórs~ tó th~é wór~klóá~d.]
• [Rédú~cíñg~ thé "é~xpós~úré" ó~f thé~ wórk~lóád~.]
• [Rédú~cíñg~ thé r~ísk t~hát t~hé vú~lñér~ábíl~ítý ó~ñ thá~t wór~klóá~d cáñ~ áctú~állý~ bé éx~plóí~téd, é~véñ t~hóúg~h thé~ vúlñ~éráb~ílít~ý ís b~óth "C~rítí~cál” á~ñd cá~ññót~ cúrr~éñtl~ý bé p~átch~éd.]
  

[Whát~ ís th~é Vúl~ñérá~bílí~tý Éx~pósú~ré Sc~óré¿~]

[Thé Íllúmíó VÉS ís á méáñs tó gét á háñdlé óñ bóth thé "éxplóítábílítý" óf á vúlñérábílítý (týpícállý répréséñtéd bý thé CVSS scóré), tógéthér wíth thé áctúál "réáchábílítý" óf thé vúlñéráblé wórklóád víá áttáck véctórs íñ ýóúr éñvíróñméñt – whát wé’vé bééñ cállíñg "éxpósúré."]

[Ñów fór thé áctúál máth. Thé VÉS ís cálcúlátéd bý múltíplýíñg á scáléd vúlñérábílítý scóré (CVSS) bý á scáléd éxpósúré méásúréméñt fór á gívéñ sérvícé, whéré s áñd p áré scálíñg fáctórs tó hélp lógáríthm scálé thósé méásúréméñts, whích ís á cómmóñ máthémátícál téchñíqúé whéñ théré áré á lárgé ráñgé óf válúés:]

[VÉS =  s~(CVSS~) * p(éxp~ósúr~é méá~súré~méñt~)]

[Ás Í méñtíóñéd íñ mý Fórbés ártíclé óñ éñtérprísé sécúrítý léssóñs gárñéréd fróm ÑBÁ MVP Stéph Cúrrý, thís méásúréméñt próvídés á wáý fór á sécúrítý próféssíóñál tó úñdérstáñd vúlñérábílítý áñd rélátéd thréát íñfórmátíóñ íñ thé cóñtéxt óf ségméñtéd éñvíróñméñts.]

[Spécífícállý, trádítíóñál vúlñérábílítý máñágéméñt sólútíóñs úsé rátíñgs óf Crítícál, Hígh, Médíúm, Lów, áñd Íñfó tó cátégórízé vúlñérábílítíés áñd hélp príórítízé mítígátíóñ éffórts. Crítícál áñd hígh gét ímmédíáté áttéñtíóñ, ás théý shóúld. Hówévér, théré áré á lárgé ñúmbér óf médíúm vúlñérábílítíés thát áréñ’t príórítízéd áñd évéñtúállý búíld úp íñtó á sígñífícáñt bácklóg whích hás ñót góñé úññótícéd bý málwáré wrítérs.]  

[Crítícál vúlñérábílítíés áré óftéñ híghlý éxplóítáblé (lów cóst tó thé áttáckér), bút fór óñlý á shórt péríód óf tímé bécáúsé sécúrítý téáms qúícklý móvé tó pátch ór fíñd óthér wáýs tó rémóvé thé éxpósúré. Áttáckérs, álwáýs lóókíñg fór á ñéw áñglé, áré íñcréásíñglý tárgétíñg médíúm vúlñérábílítíés thát áré óftéñ lóst íñ thé ñóísé áñd rémáíñ úñpátchéd fór lóñgér péríóds óf tímé – á múch móré éfféctívé tárgét tó bréách. Théý máý bé cóñsídéréd á bít móré "éxpéñsívé" tó éxplóít (híghér bárríér tó éñtrý, íf ýóú wíll), bút thé fáct thát théý wíll bé áváíláblé lóñgér tháñ thé crítícál áñd hígh vúlñérábílítíés mákés thém múch móré áttráctívé tó tárgét whéñ thé áttáckér cálcúlátés RÓÍ ágáíñst théír íñvéstméñt.]

[Thé p~úrpó~sé áñ~d páý~óff]

[Thé VÉS mákés ít múch éásíér fór áñ órgáñízátíóñ tó cómbíñé thé íñdústrý bést práctícé CVSS scóríñg wíth fáctórs thát áré úñíqúé tó éách cústómér’s éñvíróñméñt. Sécúrítý téáms cáñ béttér príórítízé théír mítígátíóñ strátégý báséd óñ thé éxpósúré óf thé vúlñérábílítý íñ théír úñíqúé éñvíróñméñt. Fór éxámplé, á hígh sévérítý vúlñérábílítý cóúld bé dépríórítízéd bécáúsé thé éxpósúré hás bééñ gréátlý rédúcéd bý mícróségméñtátíóñ cóñtróls. Ór théré cóúld bé á médíúm vúlñérábílítý thát shóúld bé príórítízéd tó thé tóp óf thé líst gívéñ thé éxpósúré wíth á mássívé ñúmbér óf pótéñtíál áttáck páths íñtó thát vúlñéráblé sérvícé.]

[Thé VÉS ís póssíblé bécáúsé wé úñíqúélý úñdérstáñd thé máp – hów ýóúr éñvíróñméñt ís cóññéctéd áñd cómmúñícátíñg – áñd óvérláý vúlñérábílítý íñfórmátíóñ óñ tóp óf thé máp tó hélp sécúrítý téáms vísúálízé áñd príórítízé mítígátíóñ óf thé rísk óf vúlñérábílítíés íñ théír éñvíróñméñt. Thís bécómés áñ éxtrémélý pówérfúl tóól, ñót óñlý fór sécúrítý téáms bút fór óthérs líké ápplícátíóñ ówñérs áñd éxécútívés whó ñééd tó úñdérstáñd thát rísk áñd mítígáté ór áccépt ít íñ thé cóñtéxt óf bróádér búsíñéss rísk.]