وصله‌کردن دیگه کافی نیست؛ مهار کنید
خلاصهٔ کامل‌تر
کریس هیوز، که سال‌ها تو مدیریت آسیب‌پذیری، امنیت اپلیکیشن و پیاده‌سازی زیرواعتماد تو سازمان‌های فدرال کار کرده، تو این مقاله یه اعتراف تلخ می‌کنه: به وصله‌کردن، توسعهٔ امن و شیفت‌لفت باور داره، ولی مطمئنه هیچ‌کدوم، نه جدا و نه با هم، جلوی سرعت تهدید امروز کافی نیست. به گفتهٔ او اقتصاد حمله زیر پامون عوض شده و اکثر برنامه‌های امنیتی هنوز جوری بودجه‌ریزی می‌شن که انگار نشده.
نرخ کشف آسیب‌پذیری روی چند منحنی مستقل هم‌زمان داره رشد می‌کنه. اکوسیستم CVE در سال ۲۰۲۵ بیش از ۴۰ هزار آسیب‌پذیری منتشر کرد و پیش‌بینی FIRST برای ۲۰۲۶ بین ۶۰ تا ۱۰۰ هزارتاست. هم‌زمان حجم کد جهانی داره منفجر میشه؛ به نوشتهٔ نویسنده گیت‌هاب از یک میلیارد کامیت در ۲۰۲۵ به ۱۴ میلیارد در ۲۰۲۶ می‌رسه، و هر تابعِ تازه سطح تعامل جدید با کد قدیمی می‌سازه.
طرف دفاع اما سقف داره. واحد تحقیقات تهدید کوالیس ۱.۱ میلیارد رکورد ترمیم از بیش از ۱۰ هزار سازمان رو تحلیل کرده و به نتیجهٔ تکان‌دهنده‌ای رسیده: سازمان‌هایی که تو یه سال تلاش ترمیمشون رو ۶.۵ برابر کردن، درصد آسیب‌پذیری‌های بحرانی حل‌نشده بعد از هفت روز براشون از ۵۶٪ به ۶۳٪ بدتر شد. دلیلش اینه که نوشتن خود اصلاحیه فقط ۱۰ تا ۱۵ درصد زمان ترمیم سازمانیه و بقیه‌اش ارزیابی تأثیر، هماهنگی بین‌تیمی، تست و زمان‌بندی استقراره. یعنی گلوگاه سازمانیه، نه محاسباتی.
پنجرهٔ بهره‌برداری هم فروریخته. گزارش کرادسترایک میانگین زمان «شکست حصار» رو ۲۹ دقیقه و سریع‌ترین مورد ثبت‌شده رو ۲۷ ثانیه اعلام کرده. مهم‌تر اینکه ۸۲٪ نفوذها با اعتبارنامه‌های معتبر و از مسیرهای قانونی انجام میشه؛ یعنی مهاجم به‌جای هک‌کردن، لاگین می‌کنه و لایهٔ هویت و لایهٔ اندپوینت هیچ سیگنال غیرعادی‌ای نمی‌بینن.
راه‌حل نویسنده ریزبخش‌بندی و مهار معماریه، که ایدهٔ تازه‌ای نیست؛ NIST تو ۸۰۰-۲۰۷ و مدل بلوغ زیرواعتماد سیزا هر دو بهش اشاره کردن. ولی تخمین گارتنر می‌گه فقط ۵ تا ۲۰ درصد سازمان‌ها به هر شکلی پیاده‌ش کردن. سه دلیل شکستش به روایت تجربهٔ خود نویسنده: ترس از خراب‌شدن پروداکشن، پیچیدگی عملیاتی نگهداری سیاست‌ها، و از همه بنیادی‌تر اینکه هیچ‌کس واقعاً نمی‌دونست اپلیکیشن‌هاش قراره با چی حرف بزنن.
کلاود وضع رو بدتر کرده. تو محیط درون‌سازمانی چند لایهٔ دفاعی نسبتاً متوازن وجود داشت، ولی کلاود هویت رو قوی کرد و شبکه رو باز گذاشت، چون موتور اقتصادیش سرعت توسعه‌ست و امنیت شبکه مثل اصطکاک به‌نظر می‌رسه. پیش‌فرض همهٔ ابرهای بزرگ، ترافیک خروجی آزاد و ارتباط بی‌محدودیت بین ورک‌لودهاست، و کوبرنتیز هم بدون network policy صریح، ارتباط پاد به پاد رو باز می‌ذاره.
چیزی که به نظر نویسنده عوض شده هوش مصنوعیه: خط پایه گرفتن از الگوهای ارتباطی اپلیکیشن، پیشنهاد سیاست بر اساس رفتار مشاهده‌شده و تشخیص جریان‌های غیرعادی، دقیقاً همون کار الگو‌یابی و ترکیبیه که مدل‌ها توش خوبن. او رویکرد Aviatrix رو نمونه‌ای از این مسیر معرفی می‌کنه، جایی که سیاست به‌جای IP بر اساس هویت ورک‌لود و تگ‌های ابری نوشته میشه و اجرا مرحله‌به‌مرحله از حالت پایش تا حفاظت کامل جلو می‌ره.
نکات کلیدی:
- پیش‌بینی FIRST: ۶۰ تا ۱۰۰ هزار CVE در سال ۲۰۲۶
- افزایش ۶.۵ برابری تلاش ترمیم، آسیب‌پذیری‌های بحرانی حل‌نشده رو از ۵۶٪ به ۶۳٪ بدتر کرد
- نوشتن وصله فقط ۱۰ تا ۱۵ درصد زمان ترمیم سازمانیه
- میانگین زمان شکست حصار ۲۹ دقیقه، سریع‌ترین مورد ۲۷ ثانیه
- ۸۲٪ نفوذها با اعتبارنامهٔ معتبر و بدون سیگنال غیرعادی انجام میشه
- فقط ۵ تا ۲۰ درصد سازمان‌ها ریزبخش‌بندی رو به هر شکلی پیاده کردن
- شعاع انفجار باید یه معیار قابل پیگیری برای مدیرها باشه، نه عددی که بعد از حادثه کشف میشه
