Az alacsony felfedezhetőség nem feltétlenül jelenti a "homály által okozott biztonságot". Ez csak azt jelentheti, hogy a sérülékenység a funkcionalitás egy részében rejlik, amelyet ritkán vizsgálnak soha. Ez azt is jelentheti, hogy a felfedezéshez olyan szűk sarok esetre lenne szükség, hogy valószínűleg még az kezdeti felfedezés sem történt volna meg. Ilyen például a Dirty COW és a Spectre / Meltdown, amelyekre csaknem egy évtizedet kellett észrevenni.

Másrészt az alacsony felfedezhetőség nem feltétlenül jelenthet alacsony prioritást . Ha alacsony felfedezhetőséggel rendelkező sérülékenységről számolnak be, a megfelelő válasz meghatározásakor más tényezőket is figyelembe kell venni - például a hatást és a könnyű kihasználhatóságot. Valójában ezek a megfontolások éppen ezért léteznek olyan kockázati besorolási pontszámok, mint a DREAD és a CVSS. Amint azonban a megjegyzésekben tárgyaltuk, a "felfedezhetőség" csak magán nyilvánosságra hozatala kapcsán jelenthet jelentést. Ha egy biztonsági rés már nyilvános, akkor a felfedezhetőség lényegében 100% -os, és már nem releváns szempont.

Azon az oldalon állok, amely nem szereti a felfedezhetőséget. Rosszul van meghatározva, és bármelyik definíció szerint az emberek különösen rosszul tippelnek rá.

Létezik olyan idő és figyelem, amely alatt minden szoftver sérülékeny, és minden sebezhetőség, beleértve azokat is, amelyekről nem tudja, hogy vannak.

Vannak olyan emberek, akik valóban ismerik a támadási felületüket és a fenyegetés szereplőiket, és talán jó becslést tudnak adni a felfedezhetőség valamilyen értelméről, de ez nem általános eset, és túl könnyű meglepődni .

Megfigyeltem, hogy olyan szörnyű sérülékenységekkel rendelkező szervezetek rejtőzködtek, amelyek soha nem támadtak meg, talán azért, mert mindig alacsonyabb a függő gyümölcs.

Továbbá megfigyeltem, hogy sok exec gondolkodik egy „felfedezhetőség” mértékének ösztönzésénél - mennyire rossz számomra, ha emiatt kompromisszumot kötünk, ahol ennek a spektrumnak az egyik vége az Equifax (elveszíti az állását és minden mást), a másik vége pedig ó, sajnálom, az üzletkötés költsége. Ez az intuíció önmagában nem feltétlenül rossz módszer az elsőbbségre, de semmi köze a "felfedezhetőség" ésszerű meghatározásához.

Tehát nem hiszem, hogy szerepet kellene játszania benne.

Igen. Bár a DREAD elavult lehet, más modellek hasonló fogalmakat tartalmaznak, és szigorúbban definiálják őket. A FAIR-ben például a biztonsági rés szempontját a fenyegetési képesség és a nehézség arányaként határozzák meg, ahol a fenyegetési képesség azt jelenti, hogy az adott fenyegetés mennyire képes (1 és 100 közötti skálán), míg a nehézség azt az akadályt jelenti, amelyet le kell küzdeni. sikeres (1-től 100-ig terjedő skálán). Az a tény, hogy a kiaknázható gyengeség felfedezéséhez jelentős ismeretekre van szükség, néhány pontot ad a Nehézséghez.

A Felfedezhetőség jogszerűen kikerül a DREAD-ból, hogy ez az alaspektus alaspektusának számos tényezője. kockázat. Nem érdemli meg az első rendű állást, amely a DREAD-ban van. Az alacsony felfedezhetőség kizárja az alacsony szintű támadókat, és kevéssé hat a képzettebb támadókra.

Ezen felül a DREAD kvalitatív értékelési módszer. Mint ilyen, akár egy, akár két pont bármely kategóriában elmozdíthatja az eredményt egy másik "dobozba", tovább fokozva a hatást. Megfelelő statisztikai vagy kvantitatív modellben a hatás sokkal fokozatosabb.