المصطلحات
المصطلحات التي تتكرر في سجلات الثغرات مرتبة في أربع مجموعات، ولكل مصطلح عربيته التي يستخدمها «رائد» ومقابله الإنجليزي كما يرد في المصادر.
الثغرة وسجلها
- الثغرةVulnerability
- ضعف في منتج يمكن استغلاله فيؤثر سلباً في سرية البيانات أو سلامتها أو توافر الخدمة.
- سجل الثغرةCVE Record
- الوثيقة التي تنشرها الجهة المرقّمة لكل رقم، وتضم وصف الثغرة والمنتجات والإصدارات المصابة والمراجع، وقد تضيف إليها جهات النشر المعتمدة معلومات أخرى.
- رقم الثغرةCVE ID
- المعرّف الفريد للثغرة بصيغة CVE ثم السنة ثم رقم تسلسلي من أربع خانات أو أكثر.
- السجل المحجوزReserved
- رقم حجزته جهة مرقّمة ولم تنشر تفاصيله بعد.
- السجل المرفوضRejected
- رقم أُلغي لأنه مكرر أو لأن ما وُصف فيه لا يمثل ثغرة، فلا يُستند إليه.
- نوع الضعفCWE
- تصنيف عالمي لأنواع الأخطاء البرمجية التي تنشأ منها الثغرات، كحقن SQL والكتابة خارج الحدود، وتديره مؤسسة MITRE.
- الثغرة غير المعروفة سابقاًZero-day
- ثغرة يستغلها المهاجمون قبل أن يعلم بها المورّد أو قبل أن يصدر لها إصلاح.
الجهات في البرنامج
- الجهة المرقّمةCNA
- مؤسسة مأذون لها بحجز أرقام الثغرات ونشر سجلاتها داخل نطاق محدد.
- الجهة الجذريةRoot
- جهة تشرف على مجموعة من الجهات المرقّمة وتدربها وتفصل في ما يقع بينها، وتعلوها الجهة الجذرية العليا.
- الجهة المرقّمة الأخيرةCNA of Last Resort
- جهة ترقّم الثغرات التي لا يشملها نطاق أي جهة مرقّمة أخرى.
- جهة النشر المعتمدةADP
- جهة يأذن لها البرنامج بإضافة معلومات إلى السجلات المنشورة، كتقييم الخطورة الذي تضيفه وكالة CISA.
- المورّدSupplier
- الجهة التي تطوّر المنتج أو تصونه، سواء كانت شركة أو مشروعاً مفتوح المصدر.
- نطاق الجهةScope
- الوصف المكتوب للثغرات التي ترقّمها الجهة المرقّمة، كمنتجاتها أو الثغرات التي تبحثها أو تنسقها.
الخطورة والاستغلال
- تقييم الخطورةCVSS
- نظام لتقدير شدة الثغرة من صفر إلى عشرة بحسب طريقة استغلالها وأثرها، وإصداراه المستخدمان اليوم هما 3.1 و4.0، وتصنف الدرجة إلى منخفضة ومتوسطة وعالية وحرجة.
- متجه التقييمCVSS Vector
- السلسلة المختصرة التي تشرح عناصر التقييم، مثل مسار الهجوم والصلاحيات المطلوبة وتدخل المستخدم والأثر، ويفكها «رائد» إلى العربية في كل سجل.
- احتمال الاستغلالEPSS
- نموذج تنشره منظمة FIRST يقدّر يومياً احتمال أن تُستغل الثغرة خلال الثلاثين يوماً المقبلة.
- الثغرات المستغلة فعلياًKEV
- قائمة تنشرها وكالة CISA للثغرات التي ثبت استغلالها في هجمات حقيقية.
- تقدير الاستغلال وأثرهSSVC
- إطار لاتخاذ قرار المعالجة، ويضيف إلى السجل هل الثغرة مستغلة، وهل يمكن أتمتة استغلالها، وهل يمنح استغلالها سيطرة جزئية أو كاملة.
- إثبات المفهومProof of Concept
- شيفرة أو خطوات تثبت أن الثغرة قابلة للاستغلال دون أن تكون بالضرورة أداة هجوم كاملة.
الإفصاح والمعالجة
- سياسة الإفصاحDisclosure Policy
- الوثيقة التي تشرح طريقة استقبال الجهة للبلاغات ومدد ردها ومتى تنشر.
- فترة الحظرEmbargo
- المدة التي يتفق فيها المبلّغ والمورّد على عدم نشر الثغرة حتى يصدر الإصلاح.
- النشرة الأمنيةSecurity Advisory
- إعلان المورّد أو الجهة المرقّمة عن الثغرة وأثرها والإصدارات المصابة وطريقة معالجتها.
- الإصلاحPatch
- التحديث الذي يصدره المورّد فيزيل الثغرة من المنتج.
- التخفيف المؤقتWorkaround
- إجراء يقلل خطر الثغرة حين يتعذر تطبيق الإصلاح، كتعطيل خاصية أو تقييد الوصول إليها.
- برنامج مكافآت الثغراتBug Bounty
- برنامج يكافئ فيه المورّد من يبلّغه بثغرة في منتجاته وفق شروط منشورة.
لا يطابق بحثك أي مصطلح، فجرّب كلمة أقصر أو المقابل الإنجليزي.