منسق استخبارات التهديدات CISA KEV

خط أنابيب بدون لمس يحول CVEs المسلحة حديثًا من كتالوج نقاط الضعف المستغلة المعروفة (KEV) الصادر عن CISA إلى قواعد كشف Sigma جاهزة للإنتاج، تلقائيًا، كل أسبوع.

المشكلة

تحويل إدخال KEV جديد يدويًا إلى كشف قابل للاستخدام هو عملية بطيئة: التحقق من الاستشارة، البحث في نمط الهجوم، كتابة قاعدة Sigma، اختبارها، إحاطة الفريق. هذا يستغرق حوالي 4-6 ساعات لكل CVE. عشرة إدخالات جديدة في الأسبوع تعني أسبوع عمل كامل، ومعظم مراكز عمليات الأمان (SOCs) ليس لديها أسبوع محلل احتياطي كل يوم اثنين.

ما يفعله هذا

كل يوم اثنين الساعة 8:00 صباحًا، يقوم خط الأنابيب بما يلي:

1. يسحب كتالوج CISA KEV المباشر ويعزل CVEs المسلحة المضافة حديثًا منذ آخر تشغيل.
2. ينشئ قاعدة كشف Sigma لكل CVE باستخدام Google Gemini، مقيدة بمطالبة منظمة تجبر النموذج على:
   • استهداف المنتج/البائع المحدد المذكور في CVE (وليس قاعدة نائبة عامة)
   • استخدام EventIDs الصحيحة لـ Sysmon للتقنية (إنشاء عملية، شبكة، تحميل صورة، LSASS، تسجيل)
   • تضمين 3-5 مرشحات شرط للتحكم في الإيجابيات الكاذبة
   • الربط بتقنية MITRE ATT&CK ذات الصلة
   • إخراج YAML نظيف فقط، جاهز للإدراج في Splunk أو Elastic أو Wazuh
3. يسجل كل CVE تمت معالجته في Google Sheet سجل تدقيق جاري ومختوم بزمن يوضح متى تم الكشف عن ثغرة مقابل متى كانت قاعدة الكشف موجودة لها. تم بناؤه مع مراعاة متطلبات أدلة إدارة الثغرات الاستباقية لـ SOC 2 / ISO 27001، وليس فقط كسجل.
4. يرسل إحاطة أسبوعية جاهزة للمحلل عبر البريد الإلكتروني تحتوي على قائمة CVEs وخطورتها ومنطق الكشف المسودة.

اطلع على مدونتي الكاملة: استخبارات التهديدات المتقدمة: من 6 ساعات إلى 0 دقائق لكل CVE