CISA KEV खतरा खुफिया आर्केस्ट्रेटर

शून्य-स्पर्श पाइपलाइन जो CISA ज्ञात शोषित कमजोरियाँ (KEV) सूची से नवीनतम हथियारबंद CVEs को स्वचालित रूप से हर सप्ताह उत्पादन-तैयार सिग्मा पहचान नियमों में बदल देती है।

समस्या

एक नए KEV प्रविष्टि को उपयोगी पहचान में मैन्युअल रूप से बदलना धीमा है: परामर्श की जाँच करें, हमले के पैटर्न पर शोध करें, एक सिग्मा नियम लिखें, इसका परीक्षण करें, टीम को ब्रीफ करें। यह लगभग 4-6 घंटे प्रति CVE होता है। एक सप्ताह में दस नई प्रविष्टियाँ पूरे सप्ताह का काम है, और अधिकांश SOC के पास हर सोमवार को एक अतिरिक्त विश्लेषक-सप्ताह नहीं होता।

यह क्या करता है

हर सोमवार सुबह 8:00 बजे, पाइपलाइन:

1. लाइव CISA KEV सूची को खींचता है और पिछले रन के बाद से नई जोड़ी गई, हथियारबंद CVEs को अलग करता है।
2. Google Gemini का उपयोग करके प्रति CVE एक सिग्मा पहचान नियम उत्पन्न करता है, जो एक संरचित प्रॉम्प्ट द्वारा बाधित होता है जो मॉडल को निम्नलिखित के लिए मजबूर करता है:
   • CVE में नामित सटीक उत्पाद/विक्रेता को लक्षित करें (सामान्य प्लेसहोल्डर नियम नहीं)
   • तकनीक के लिए सही Sysmon EventIDs का उपयोग करें (प्रक्रिया निर्माण, नेटवर्क, इमेज लोड, LSASS, रजिस्ट्री)
   • गलत सकारात्मक को नियंत्रित करने के लिए 3-5 स्थिति फ़िल्टर शामिल करें
   • एक प्रासंगिक MITRE ATT&CK तकनीक से मैप करें
   • केवल साफ YAML आउटपुट करें, Splunk, Elastic या Wazuh में डालने के लिए तैयार
3. प्रत्येक संसाधित CVE को Google Sheet में लॉग करता है - एक चल रहा, टाइमस्टैम्प्ड ऑडिट ट्रेल जो दर्शाता है कि कब एक कमजोरी का खुलासा हुआ बनाम कब इसके लिए एक पहचान नियम मौजूद था। इसे सिर्फ एक लॉग के रूप में नहीं, बल्कि SOC 2 / ISO 27001 सक्रिय-कमजोरी-प्रबंधन साक्ष्य आवश्यकताओं को ध्यान में रखकर बनाया गया है।
4. CVE सूची, गंभीरता और मसौदा पहचान तर्क के साथ एक विश्लेषक-तैयार साप्ताहिक ब्रीफिंग ईमेल करता है।