‏NVD کمتر کار می‌کنه، هکرها بیشتر — چی کار کنیم؟

تیم‌های امنیتی سال‌هاست که برنامه مدیریت آسیب‌پذیری‌شون رو روی NVD بنا کردن؛ یه پایگاه داده مرکزی که CVEها رو غنی‌سازی می‌کرد و اطلاعات استاندارد در اختیار اسکنرها و تیم‌های امنیتی می‌ذاشت. اما حالا این پایه داره می‌لرزه.

NVD در ۱۵ آوریل ۲۰۲۵ اعلام کرد که دیگه روی همه آسیب‌پذیری‌ها کار نمی‌کنه. از این به بعد فقط CVEهایی رو غنی‌سازی (enrichment) می‌کنه که در کاتالوگ KEV سیسا باشن، در نرم‌افزارهای مورد استفاده دولت فدرال آمریکا باشن، یا در نرم‌افزارهای حیاتی طبق دستورالعمل‌های اجرایی تعریف شده باشن. این یعنی بخش عظیمی از آسیب‌پذیری‌ها بدون داده استاندارد رها می‌شن.

غنی‌سازی CVE چرا مهمه؟ چون بدون اون، یه آسیب‌پذیری فقط یه شناسه و یه توضیح کوتاهه. NVD معمولاً CPE استاندارد (برای تشخیص محصول آسیب‌پذیر)، امتیاز CVSS معتبر (برای اولویت‌بندی)، طبقه‌بندی CWE (برای تحلیل نوع ضعف)، و لینک‌های مرجع مرتب شده رو اضافه می‌کرد. بدون این داده‌ها، اسکنرها نمی‌دونن دنبال چی بگردن و تیم‌ها نمی‌دونن چی رو اول پچ کنن.

مشکل اینجاست که KEV — همون لیستی که NVD ازش پیروی می‌کنه — فقط شامل ۰.۵٪ از کل CVEهاست. ضمناً KEV به شدت متکی به تله‌متری شبکه‌هاست و بیشتر آسیب‌پذیری‌هایی رو می‌گیره که در VPNها، فایروال‌ها و اپ‌های اینترنتی دیده می‌شن. نرم‌افزارهای اوپن‌سورس — که بیشترین رشد CVE رو دارن — عملاً از رادار NVD خارج می‌شن.

از طرف دیگه، ابزارهای هوش مصنوعی مثل Claude Mythos کشف باگ رو دموکراتیزه کردن. حتی با مدل‌های قدیمی‌تر و scaffolding بهتر، تیم‌های مختلف تونستن نتایج مشابهی بگیرن. این یعنی نه فقط محققان امنیتی، بلکه مهاجمان هم راحت‌تر از قبل می‌تونن آسیب‌پذیری پیدا کنن — و تعداد CVEهای جدید داره با سرعتی انفجاری بالا می‌ره که NVD توانایی پوشش‌شون رو نداره.

پس تیم‌های امنیتی چی کار کنن؟ نویسنده چند رویکرد پیشنهاد می‌ده. اول، تعریف آسیب‌پذیری رو گسترش بدن؛ نه فقط CVE، بلکه ترکیب سمی از misconfigurationها و آسیب‌پذیری‌ها هم باید دیده بشه. دوم، سرویس‌ها رو تا جای ممکن stateless طراحی کنن تا پچ‌کاری مداوم و حتی نایتلی ریبیلد امکان‌پذیر بشه. سوم، از ابزارهای runtime protection برای جلوگیری real-time از اکسپلویت‌ها استفاده کنن. چهارم، به منابع ثالث مثل پایگاه داده Flashpoint تکیه کنن که هزاران KEV بیشتر از لیست رسمی ردیابی می‌کنه.

ذهنیت کلی باید از «مهم‌ترین آسیب‌پذیری‌هام کدوماست؟» تغییر کنه به «چطور مداوم پچ کنم و blast radius نفوذ رو کمینه کنم؟» استفاده از SCPها، data boundaryها و ماژول‌های Terraform تأییدشده برای اعمال guardrailهای ابری، و پذیرفتن ذهنیت "assume breach" از مهم‌ترین گام‌هاست.

نکات کلیدی:

• NVD از آوریل ۲۰۲۵ غنی‌سازی CVE رو به آسیب‌پذیری‌های KEV، نرم‌افزارهای دولتی و نرم‌افزارهای حیاتی محدود کرده
• فقط ۰.۵٪ CVEها در KEV قرار می‌گیرن و اوپن‌سورس عملاً بی‌پوشش می‌مونه
• ابزارهای هوش مصنوعی مثل Claude Mythos کشف باگ رو برای همه — از جمله مهاجمان — راحت‌تر کردن
• برنامه امنیتی نباید فقط روی CVE و CVSS بنا بشه؛ منابع ثالث ضروری می‌شن
• رویکرد پیشگیرانه: پچ مداوم، طراحی stateless، و کمینه‌کردن blast radius
• در runtime باید از CADR (exploit blocking) به جای detection دستی استفاده کرد
• ذهنیت "assume breach" و guardrailهای ابری (SCP، data boundary) باید پایه کار بشن