أربعة معايير للإلحاح
يضع التوجيه الجديد معايير لتقييم مدى إلحاح الترقيع: هل الثغرة في نظام مكشوف للعموم، وهل هي مدرجة في كتالوج CISA للثغرات المستغلة المعروفة، وهل يمكن للمهاجم أتمتة جميع خطوات استغلالها، وما حجم الوصول الذي يحصل عليه المهاجم إذا استغلها. والثغرة التي تنطبق عليها المعايير الأربعة يجب إصلاحها خلال ثلاثة أيام، مع إجراء فرز جنائي لتحديد ما إذا كانت الأنظمة قد اختُرقت فعلاً.
وشرح كريس بوتيرا، القائم بأعمال المدير التنفيذي المساعد للأمن السيبراني في CISA، أن الهدف مساعدة الوكالات على ترتيب الأولويات لمعالجة أخطر الثغرات أولاً، ومنح وقت أطول لما هو أقل خطورة، لأن تقدم الذكاء الاصطناعي يتيح للمهاجمين العثور على الثغرات واستغلالها، ولم يعد مقبولاً أن يستغرق ترقيع أنظمة يمكن استغلالها آلياً على نطاق واسع أسابيع.
من 15 يوماً إلى 3 أيام
يحل التوجيه محل أمرين سابقين من 2019 و2021، أوجبا ترقيع أخطر الثغرات خلال 15 يوماً من اكتشافها، وفئة أخرى عالية الإلحاح خلال 30 يوماً. وحتى قبل عصر الذكاء الاصطناعي، رصدت CISA عام 2021 أن 42% من الثغرات المستغلة المعروفة تُستغل في يوم الإفصاح نفسه، و50% خلال يومين، و75% خلال 28 يوماً.
وتحسن الأمن السيبراني الفيدرالي كثيراً خلال العقد الماضي، لكنه لا يزال متأخراً بسبب نقص التمويل وتضارب الأولويات. ولهذا لم تُحدد المهلة القصوى بـ24 ساعة، لأن إطاراً زمنياً بهذا القصر غير قابل للتطبيق لدى معظم الوكالات، وفق بوتيرا.
الترقيع وحده لا يكفي
تغير قدرات الذكاء الاصطناعي الجديدة مشهد اكتشاف الثغرات، ويخلص كثير من الباحثين إلى أن الترقيع مهما تسارع لن يكفي، وأن مجتمع تطوير البرمجيات عالمياً بحاجة إلى مقاربات معمارية تُبطل فئات كاملة من الثغرات دفعة واحدة. وفي هذا الاتجاه، وصفت إيميلي لونغ، الرئيسة التنفيذية لشركة الأمن السحابي Edera، التوجيه بأنه يعالج نصف التحدي فقط، فإذا لم تحدّ البنية مما يصل إليه المهاجم بعد الاختراق، فالترقيع أشبه بالجري أسرع على جهاز المشي نفسه. ويعترف بوتيرا بأن التوجيه خطوة أولى لمواجهة القدرات المتزايدة لنماذج الذكاء الاصطناعي، وأن عملاً كثيراً لا يزال مطلوباً.
