در یکی از مهم‌ترین تحولات امنیت سایبری سال‌های اخیر، موسسه MITRE اعلام کرد که تأمین مالی پروژه CVE (Common Vulnerabilities and Exposures) به پایان رسیده و ثبت آسیب‌پذیری‌های جدید متوقف شده است. به گزارش آی فین‌تک، این توقف ناگهانی، نگرانی‌های گسترده‌ای در میان کارشناسان امنیت سایبری، شرکت‌های فناوری و دولت‌ها به وجود آورده است.
پروژه CVE و اهمیت آن در امنیت جهانی
پروژه CVE از سال ۱۹۹۹ به عنوان یکی از مهم‌ترین استانداردهای ثبت آسیب‌پذیری‌های امنیتی در سراسر جهان عمل کرده است. CVE با ارائه شناسه‌های یکتا برای آسیب‌پذیری‌ها، امکان پیگیری، مدیریت و اولویت‌بندی مشکلات امنیتی را برای سازمان‌ها، شرکت‌های نرم‌افزاری و تیم‌های پاسخگویی به حوادث فراهم می‌کرد.
طبق تحلیل آی فین‌تک، CVE یک ستون فقرات برای شفافیت در امنیت سایبری به شمار می‌رفت که بسیاری از راهکارهای امنیتی، پایگاه‌های داده تهدید و گزارش‌های آسیب‌پذیری بر پایه آن ساخته شده بودند.
دلیل پایان تأمین مالی توسط MITRE
MITRE که پروژه CVE را مدیریت می‌کرد، اعلام کرده که به دلیل کاهش حمایت‌های مالی از سوی منابع دولتی و خصوصی، ادامه مدیریت پروژه غیرممکن شده است. در بیانیه رسمی MITRE آمده است که علیرغم تلاش‌های فراوان برای جذب منابع مالی جدید، موفق به تأمین بودجه پایدار برای ادامه فعالیت پروژه نشده‌اند.
تحلیل آی فین‌تک نشان می‌دهد که افزایش تعداد آسیب‌پذیری‌ها، نیاز به منابع بیشتر برای بررسی و ثبت دقیق هر گزارش و تغییر اولویت‌های بودجه‌ای در سطح دولتی از دلایل اصلی این اتفاق بوده‌اند.
پیامدهای توقف ثبت آسیب‌پذیری‌ها
توقف ثبت آسیب‌پذیری‌های جدید می‌تواند تأثیرات بسیار گسترده‌ای بر زنجیره تأمین امنیت سایبری داشته باشد:
کاهش شفافیت: سازمان‌ها و کاربران نمی‌توانند به سرعت از وجود آسیب‌پذیری‌های جدید مطلع شوند.
کاهش سرعت واکنش: تیم‌های امنیتی و توسعه‌دهندگان دیرتر به تهدیدات پاسخ خواهند داد.
افزایش خطر حملات: مهاجمان سایبری از خلأ ایجاد شده برای بهره‌برداری از آسیب‌پذیری‌های ناشناخته استفاده خواهند کرد.
براساس تحلیل آی فین‌تک، این توقف به‌ویژه برای صنایع حساس مانند بانکداری، زیرساخت‌های حیاتی و فناوری‌های ابری بسیار خطرناک خواهد بود.
واکنش جامعه امنیتی و پیشنهادهای جایگزین
پس از اعلام این خبر، کارشناسان امنیتی در سراسر جهان واکنش‌های متفاوتی نشان دادند. برخی گروه‌های مستقل امنیتی و سازمان‌های غیرانتفاعی پیشنهاد داده‌اند که پروژه CVE تحت مدیریت یک نهاد جهانی جدید یا مشارکتی از چند سازمان خصوصی و دولتی ادامه پیدا کند.
در تحلیل آی فین‌تک آمده است که گزینه‌هایی همچون ISC (Internet Systems Consortium)، بنیاد Mozilla و بنیاد Linux می‌توانند نقش مهمی در احیای یک سیستم مشابه CVE ایفا کنند.
اهمیت پروژه‌های جایگزین برای آینده امنیت سایبری
با توقف CVE، نیاز به پروژه‌های جایگزین بیش از پیش احساس می‌شود. برخی پروژه‌های بازمتن مانند "VulnDB" یا "OpenCVE" می‌توانند به عنوان راهکارهای موقت مطرح شوند اما تاکنون موفق نشده‌اند استانداردی جهانی ایجاد کنند.
تحلیل آی فین‌تک تاکید می‌کند که بدون وجود یک استاندارد رسمی و جهانی، چالش‌های بزرگی در هماهنگی و مقابله با تهدیدات امنیتی بروز خواهد کرد.
خطر تقسیم‌بندی اطلاعات آسیب‌پذیری
یکی دیگر از نگرانی‌های بزرگ، احتمال تقسیم شدن اطلاعات آسیب‌پذیری میان منابع مختلف است که می‌تواند منجر به ایجاد عدم انسجام، اطلاعات ناقص یا اشتباه شود. این مسئله به ویژه برای شرکت‌های امنیتی و تولیدکنندگان نرم‌افزار مشکل‌آفرین خواهد بود.
آی فین‌تک هشدار می‌دهد که اگر جامعه امنیتی به سرعت برای یکپارچه‌سازی اطلاعات چاره‌ای نیندیشد، میزان موفقیت حملات سایبری در ماه‌های آینده می‌تواند به طرز چشمگیری افزایش یابد.
پایان تأمین مالی CVE توسط MITRE و توقف ثبت آسیب‌پذیری‌های جدید، تحولی نگران‌کننده در عرصه امنیت سایبری جهانی است. به گزارش آی فین‌تک، در حالی که هنوز جایگزینی کامل برای CVE وجود ندارد، جامعه امنیتی باید به سرعت برای ایجاد یک چارچوب جهانی جدید اقدام کند تا از افزایش تهدیدات سایبری جلوگیری شود. آینده امنیت دیجیتال به اقدامات هماهنگ و سریع در این حوزه بستگی دارد.
نویسنده
اصغر لاله دشتی
با بیش از 30 سال سابقه در حوزه خبرنگاری و عکاسی خبری، مدیریت این وب‌سایت را بر عهده دارد. او با تکیه بر تجربه ارزشمند خود در دنیای رسانه، این بستر آنلاین را راه‌اندازی کرده تا بتواند اخبار را با کیفیت بالا، سرعت و دقت به مخاطبان ارائه کند.
ثبت دیدگاه