آژانس امنیت سایبری و زیرساخت ایالات متحده (CISA) اعلام کرده است که انتشار خبرنامه‌های هفتگی مربوط به آسیب‌پذیری‌ها را متوقف می‌کند. این تصمیم در راستای هدایت سازمان‌ها به سمت رویکرد Risk-Based Prioritization (اولویت‌بندی مبتنی بر ریسک) به جای تکیه صرف بر شدت آسیب‌پذیری (Severity) اتخاذ شده است.
علت تغییر رویکرد: حجم انبوه آسیب‌پذیری‌ها و نقش AI
با افزایش استفاده از هوش مصنوعی (AI) برای شناسایی حفره‌های امنیتی، تعداد آسیب‌پذیری‌های شناسایی شده به شدت افزایش یافته است. برای نمونه، مایکروسافت در یکی از به‌روزرسانی‌های اخیر خود نزدیک به ۱,۰۰۰ آسیب‌پذیری را گزارش کرد. این حجم بالای گزارشات باعث شده تا سازمان‌ها با تپه‌ای از آسیب‌پذیری‌های منتظر برای رفع (Backlog) مواجه شوند و مدیریت آن‌ها تنها بر اساس امتیازات CVSS غیرممکن شود.
تمرکز بر اکسپلویت‌های واقعی به جای امتیازات تئوریک
تحلیل‌های CISA در سال‌های ۲۰۲۴ و ۲۰۲۵ نشان می‌دهد که علی‌رغم رشد تعداد آسیب‌پذیری‌های شناسایی شده، تعداد مواردی که توسط مهاجمان در دنیای واقعی مورد بهره‌برداری (Exploit) قرار گرفته‌اند، رشد اندکی داشته است. این موضوع ثابت می‌کند که مهاجمان تنها بر روی بخش کوچکی از آسیب‌پذیری‌ها تمرکز می‌کنند.
بر این اساس، CISA توصیه می‌کند که مدیران امنیت و تیم‌های SOC به جای بررسی تمامی CVEها، بر منابع زیر تمرکز کنند:
- KEV Catalog: کاتالوگ آسیب‌پذیری‌های شناخته شده و مورد بهره‌برداری (Known Exploited Vulnerabilities).
- Cybersecurity Alerts: هشدارها و توصیه‌های رسمی CISA.
- Vendor Security Alerts: اطلاعیه‌های امنیتی مستقیم سازندگان نرم‌افزار.
چالش‌های پیش رو برای تیم‌های دفاعی
اگرچه این رویکرد از نظر استراتژیک درست است، اما برخی کارشناسان هشدار می‌دهند که حذف گزارشات هفتگی ممکن است فشار مضاعفی بر تیم‌های امنیتی، به‌ویژه در سازمان‌های کوچک وارد کند. در واقع، اکنون مسئولیت تجمیع داده‌ها و شناسایی تهدیدات پیش از تبدیل شدن به یک اکسپلویت تایید شده در KEV، بر عهده مدافعان (Defenders) است.
در نهایت، هدف این تغییر این است که سازمان‌ها به جای تلاش برای حذف تمامی آسیب‌پذیری‌ها، بر روی مسدود کردن مسیرهای حمله (Attack Paths) حیاتی تمرکز کنند تا ریسک‌های واقعی پیش از بهره‌برداری توسط مهاجمان مدیریت شوند.
