VEX (Güvenlik Açığı İstismar Edilebilirlik Değişimi)

VEX nedir?

VEX (Vulnerability Exploitability eXchange), bir ürünün ya da yazılım bileşeninin belirli bir güvenlik açığından etkilenip etkilenmediğini bildiren, makine tarafından okunabilir bir beyan belgesidir. Tedarikçi, bir yazılımda listelenen bir CVE’nin pratikte istismar edilebilir olup olmadığını bu belgeyle kullanıcılara iletir.

Amacı gereksiz alarmı azaltmaktır. Bir bileşende bir açık bulunabilir ama ürün o kod yolunu hiç kullanmıyorsa risk fiilen yoktur; VEX bunu açıklamanın standart yoludur.

Nasıl çalışır?

Bir VEX beyanı üç unsur içerir: ürün, güvenlik açığı (genellikle CVE) ve durum. Durum değerleri tipik olarak etkilenmiyor (not affected), etkileniyor (affected), düzeltildi (fixed) ve inceleniyor (under investigation) biçimindedir. Etkilenmiyor durumunda gerekçe belirtilir; örneğin zayıf kodun ürüne dahil edilmemesi ya da bu koda ulaşılamaması gibi.

VEX, CycloneDX, CSAF ve OpenVEX gibi biçimlerle ifade edilir. SBOM yazılımın içindeki bileşenleri listelerken VEX bu bileşenlerdeki açıkların durumunu anlatır; ikisi birbirini tamamlar.

Sunucu ve hosting ortamında

Bir sunucuda çalışan yazılımların tarayıcı çıktıları çoğu zaman yüzlerce CVE listeler. Tedarikçilerin yayımladığı VEX bilgileri, bu listeden gerçekten eylem gerektirenleri ayıklamaya yardım eder. Konteyner imajı üreticileri ve dağıtım sağlayıcıları, tarama sonuçlarındaki gürültüyü azaltmak için VEX yayımlayabilir.

Nasıl uygulanır?

• Tedarikçilerinizden SBOM ile birlikte VEX bilgisi yayımlayıp yayımlamadıklarını öğrenin.
• Güvenlik tarayıcınızın VEX verisini işleyip işleyemediğini kontrol edin.
• Kendi ürününüzü dağıtıyorsanız etkilenmeme gerekçesini net ve doğrulanabilir yazın.
• VEX beyanlarını güvenlik açığı durumu değiştikçe güncelleyin.
• VEX’i tek başına karar kaynağı yapmayın; kritik sistemlerde kendi doğrulamanızı da yapın.

Sık yapılan hatalar

• VEX’i bir açığın kapatıldığı anlamına gelen yama bildirimi sanmak.
• Etkilenmiyor beyanını gerekçesiz ya da doğrulanmamış kabul etmek.
• Beyanların güncelliğini takip etmeyip eski durumla karar vermek.
• SBOM ile VEX’i karıştırmak.