Finding and Rating Vulnerabilities: Scanning, OWASP and CVSSدۆزینەوە و هەڵسەنگاندنی خاڵە لاوازەکان: پشکنین، OWASP و CVSS

Every network has weak spots: an old program, a forgotten test server, a printer that still has its factory password. Attackers search for these weak spots with automated tools every day. Defenders must find them first.

هەموو ڕایەڵەیەک خاڵی لاوازی هەیە: بەرنامەیەک (Program) کۆن، ڕاژەکارێک (Server) تاقیکردنەوەی لەبیرکراو، چاپەرێک (Printer) کە هێشتا تێپەڕەوشەی (Password) کارگەکەی هەیە. هێرشبەرەکان (Attacker) هەموو ڕۆژێک بە ئامرازی خۆکار بەدوای ئەم خاڵانەدا دەگەڕێن. بەرگریکاران دەبێت یەکەم بن کە دەیاندۆزنەوە.

The course gives scanning a clear purpose: to identify vulnerabilities before they can be exploited, and to give actionable insights — a list of concrete things to fix — that improve the organisation's security posture (how well protected it is overall).

وانەکە ئامانجێکی ڕوون بۆ پشکنین دیاری دەکات: دۆزینەوەی خاڵە لاوازەکان پێش ئەوەی ئێکسپلۆیت (Exploit) بکرێن، هەروەها دانی ڕێنمایی بەکەڵک — لیستێکی ڕوونی ئەو شتانەی دەبێت چاک بکرێن — کە ئاستی گشتیی پاراستنی ڕێکخراوەکە باشتر دەکات.

A vulnerability scanner is an automated tool that identifies vulnerabilities in systems, applications and networks. Most scanners follow the same four steps:

سکانەرێکی خاڵە لاوازەکان ئامرازێکی خۆکارە کە خاڵە لاوازەکان لە سیستەم، ئەپەکان و ڕایەڵەکاندا دەدۆزێتەوە. زۆربەی سکانەرەکان هەمان چوار هەنگاو دەگرنە بەر:

Each known vulnerability has a public ID such as CVE-2017-5638 (the flaw behind the 2017 Equifax breach). How these IDs work, and how they differ from CWE and KEV, is explained in Kinds, names and scores; who gives them out is in Responsible disclosure. Because new vulnerabilities are published every day, a scanner is only as good as its database: update the scanner before every scan.

هەر خاڵێکی لاواز کە ناسراوە ناسنامەیەکی گشتیی هەیە وەک CVE-2017-5638 (خاڵە لاوازەکە کە لە پشت دزەکردنەکەی Equifax لە ساڵی ⁦2017⁩دا بوو). ئەم ناسنامانە چۆن کار دەکەن و چ جیاوازییەکیان لەگەڵ CWE و KEVـدا هەیە، لە جۆر، ناو و نمرە ڕوون کراوەتەوە؛ کێ دەیانبەخشێت لە ئاشکراکردنی بەرپرسیارانەدا هەیە. چونکە هەموو ڕۆژێک خاڵی لاوازی نوێ بڵاو دەکرێنەوە، سکانەرێک تەنها هێندەی بنکەکەی باشە: پێش هەموو پشکنینێک سکانەرەکە نوێ بکەرەوە.

The course names three types of vulnerability scanning. They look at different layers of the same organisation:

وانەکە سێ جۆری پشکنینی خاڵە لاوازەکان ناو دەبات. هەر یەکەیان سەیری چینێکی جیاوازی هەمان ڕێکخراو دەکات:

Network scanning uses automated tools to check the devices on a network — servers, routers and switches — for vulnerabilities. Network scanners usually begin with port scanning: they knock on every port of a device to see which ones answer.

پشکنینی ڕایەڵە ئامرازی خۆکار بەکار دەهێنێت بۆ پشکنینی ئامێرەکانی سەر ڕایەڵە — ڕاژەکارەکان، ڕێدۆزەکان و سویچەکان — بۆ خاڵە لاوازەکان. سکانەرەکانی ڕایەڵە زۆرجار بە پشکنینی پۆرت (Port scanning) دەست پێ دەکەن: لە هەموو پۆرتێکی ئامێرێک دەدەن بۆ ئەوەی ببینن کامیان وەڵام دەدەنەوە.

Why do open ports matter? Each open port is a service that someone on the network can talk to. A service nobody needs — an old file-sharing service, a remote-desktop port open to the whole Internet — is an extra door for attackers. The fix is usually simple: close what you do not use, and protect what you must keep open.

بۆچی پۆرتە کراوەکان گرنگن؟ هەر پۆرتێک کراوە خزمەتگوزارییەکە کە هەر کەسێک لەسەر ڕایەڵە دەتوانێت قسەی لەگەڵ بکات. خزمەتگوزارییەک کە کەس پێویستی پێی نییە — خزمەتگوزارییەکی کۆنی هاوبەشکردنی فایل، پۆرتێکی دەستڕاگەیشتن لە دوورەوە کە بۆ هەموو ئینتەرنێت (Internet) کراوەیە — دەرگایەکی زیادەیە بۆ هێرشبەرەکان. چارەسەرەکە زۆرجار سادەیە: ئەوەی بەکاری ناهێنیت دایبخە و ئەوەی دەبێت کراوە بێت بیپارێزە.

Application scanning focuses on web and mobile applications. It looks for mistakes in the program itself, such as SQL injection and cross-site scripting (XSS). Application scanners use two methods:

پشکنینی ئەپ سەرنج دەخاتە سەر بەرنامەکانی وێب و ئەپەکانی مۆبایل. بەدوای هەڵەدا لە خودی بەرنامەکەدا دەگەڕێت. نموونەیان: تێخزاندنی SQL و XSS. سکانەرەکانی ئەپ دوو ڕێگا بەکار دەهێنن:

Host-based scanning evaluates one specific device — a staff workstation or a server — in detail. It finds outdated software and misconfigurations, and it can check configuration compliance: is the device set up according to security best practices and the organisation's rules?

پشکنینی سەر ئامێر یەک ئامێری دیاریکراو — کۆمپیوتەرێک کارمەندێک یان ڕاژەکارێک — بە وردی هەڵدەسەنگێنێت. نەرمەواڵەی کۆن و ڕێکخستنە هەڵەکان دەدۆزێتەوە، هەروەها دەتوانێت گونجانی ڕێکخستن بپشکنێت: ئایا ئامێرەکە بەپێی باشترین ڕێکارەکانی ئاسایش و یاساکانی ڕێکخراوەکە ڕێکخراوە؟

Host-based checks often compare a device with a written hardening baseline — a list of safe settings — so every computer in the organisation is set up the same safe way. See Least privilege for one of the rules these checks enforce.

پشکنینەکانی سەر ئامێر زۆرجار ئامێرێک لەگەڵ بنەمایەکی نووسراوی بەهێزکردنی سیستەم (Hardening) — لیستێکی ڕێکخستنی سەلامەت — بەراورد دەکەن، بۆ ئەوەی هەموو کۆمپیوتەرێکی ڕێکخراوەکە بە هەمان شێوەی سەلامەت ڕێک بخرێت. بڕوانە بنەمای کەمترین مۆڵەت بۆ یەکێک لەو یاسایانەی ئەم پشکنینانە جێبەجێی دەکەن.

A scanner can look at a server in two ways. In an unauthenticated scan it has no account: it sees only what any outsider on the network can see — the open ports and whatever version numbers the services show. In an authenticated scan (also called a credentialed scan) it is given an account and logs in to each device, so it can read the real list of installed software, missing updates and settings.

سکانەرێک دەتوانێت بە دوو شێوە سەیری ڕاژەکارێک بکات. لە پشکنینی بێ چوونەژوورەوەدا هیچ هەژمارێکی نییە: تەنها ئەوە دەبینێت کە هەر کەسێکی دەرەکی لەسەر ڕایەڵە دەیبینێت — پۆرتە کراوەکان و هەر ژمارەیەکی وەشان کە خزمەتگوزارییەکان پیشانی دەدەن. لە پشکنینی بە چوونەژوورەوەدا هەژمارێکی پێ دەدرێت و دەچێتە ناو هەر ئامێرێکەوە، بۆیە دەتوانێت لیستی ڕاستەقینەی نەرمەواڵە دامەزراوەکان، نوێکردنەوە (Update) نەکراوەکان و ڕێکخستنەکان بخوێنێتەوە.

Good programmes use both: an unauthenticated scan from the Internet shows what the whole world can reach, and authenticated scans inside show what is really installed. Some organisations install a small scanning agent on each laptop, which reports even when the laptop is at home.

بەرنامە باشەکان هەردووکیان بەکار دەهێنن: پشکنینێکی بێ چوونەژوورەوە لە ئینتەرنێتەوە پیشانی دەدات هەموو جیهان دەتوانێت بگاتە چی. پشکنینەکانی بە چوونەژوورەوە لە ناوەوە پیشانی دەدەن بەڕاستی چی دامەزراوە. هەندێک ڕێکخراو بەرنامەیەکی بچووکی پشکنین (ئەیجێنتی نەرمەواڵەیی (Software agent)) لەسەر هەر لاپتۆپێک (Laptop) دادەمەزرێنن کە تەنانەت کاتێک لاپتۆپەکە لە ماڵەوەیە ڕاپۆرت دەنێرێت.

Scanners match patterns, so they make two kinds of mistakes:

سکانەرەکان نموونەکان بەراورد دەکەن، بۆیە دوو جۆر هەڵە دەکەن:

Both are costly. Too many false positives waste the team's time and teach people to ignore reports. False negatives give false confidence. The same words are used for AI and alarm systems; see False alarms and misses.

هەردووکیان گرانن. زۆربوونی ئەرێنییە هەڵەکان کاتی تیمەکە بەفیڕۆ دەدات و فێری خەڵک دەکات ڕاپۆرتەکان پشتگوێ بخەن. نەرێنییە هەڵەکان متمانەی هەڵە دەدەن. هەمان وشەکان بۆ ژیریی دەستکرد (Artificial intelligence) و سیستەمی ئاگادارکەرەوە بەکار دێن؛ بڕوانە ئاگادارکردنەوەی هەڵە و لەدەستچوون.

The course lists three standards and frameworks that guide vulnerability work: CVSS, the NIST Framework and the OWASP Top 10. Each answers a different question:

وانەکە سێ ستاندارد و چوارچێوە ناو دەبات کە ڕێنمایی کاری خاڵە لاوازەکان دەکەن: CVSS، چوارچێوەی NIST و OWASP Top 10. هەر یەکەیان وەڵامی پرسیارێکی جیاواز دەداتەوە:

The notes describe the "NIST Framework" as guidelines for managing vulnerabilities that emphasise risk assessment, vulnerability identification, mitigation and incident response. Today this means the NIST Cybersecurity Framework (CSF) 2.0 (February 2024), whose six functions you met in the course map. Finding vulnerabilities belongs to Identify (risk assessment), fixing them to Protect, and handling exploitation to Detect, Respond and Recover.

تێبینییەکان «چوارچێوەی NIST» وەک ڕێنمایی بۆ بەڕێوەبردنی خاڵە لاوازەکان (Vulnerability management) وەسف دەکەن کە جەخت لە هەڵسەنگاندنی مەترسی (Risk assessment)، دۆزینەوەی خاڵە لاوازەکان، کەمکردنەوەیان و وەڵامدانەوەی ڕووداو (Incident response) دەکاتەوە. ئەمڕۆ ئەمە واتە NIST CSF ⁦2.0⁩ (شوباتی ⁦2024⁩)، کە شەش ئەرکەکەیت لە نەخشەی کۆرسەکەدا ناسی. دۆزینەوەی خاڵە لاوازەکان سەر بە Identifyـە (هەڵسەنگاندنی مەترسی)، چاککردنیان سەر بە Protect و مامەڵەکردن لەگەڵ ئێکسپلۆیتکردنیان سەر بە Detect، Respond و Recover.

The OWASP Top 10 lists the most critical web-application risks. The list is prioritised by how often each problem is found and how much damage it can do, and OWASP gives free guidance on how to avoid each one and how to write secure code. Application scanners usually report their findings using these categories.

OWASP Top 10 گرنگترین مەترسییەکانی بەرنامەکانی وێب لیست دەکات. لیستەکە بەپێی ئەوەی هەر کێشەیەک چەند جار دەدۆزرێتەوە و چەند زیان دەگەیەنێت ڕیز کراوە، هەروەها OWASP ڕێنمایی بێبەرانبەر دەدات دەربارەی چۆنیەتیی خۆلادان لە هەر یەکەیان و نووسینی کۆدی سەلامەت. سکانەرەکانی ئەپ زۆرجار دۆزینەوەکانیان بەم پۆلانە ڕاپۆرت دەکەن.

The Common Vulnerability Scoring System (CVSS) gives each vulnerability a number from 0.0 to 10.0. The base score is calculated from facts about the flaw itself: how it can be exploited (from the network or only with physical access? does it need a password? does a user have to click?) and what it damages (confidentiality, integrity, availability). The number is then put into a named band:

CVSS ژمارەیەک لە ⁦0.0⁩ تا ⁦10.0⁩ دەداتە هەر خاڵێکی لاواز. نمرە بنەڕەتییەکە لە ڕاستییەکانی خودی خاڵە لاوازەکە هەژمار دەکرێت: چۆن دەتوانرێت ئێکسپلۆیت بکرێت (لە ڕێگەی ڕایەڵەوە یان تەنها بە دەستگەیشتنی فیزیکی؟ پێویستی بە تێپەڕەوشە هەیە؟ دەبێت بەکارهێنەرێک کرتە بکات؟) و چی تێک دەدات (بەنهێنی مانەوە (Confidentiality)، دروستی (Integrity)، بەردەستبوون (Availability)). پاشان ژمارەکە دەخرێتە ئاستێکی ناودارەوە:

CVSS measures severity — how bad a flaw is in general. Risk is about your situation: how likely the flaw is to be used against you, and how much it would hurt you (see Risk: how likely, and how bad?). NIST's testing guide gives a good example: a scanner may rate an FTP server "moderate" because it sends passwords in clear text — but if the server is only a public download site with no passwords at all, the real risk is much lower.

CVSS گەورەیی دەپێوێت — خاڵێکی لاواز بە گشتی چەند خراپە. مەترسی دەربارەی بارودۆخی تۆیە: ئەگەری چەندە خاڵە لاوازەکە دژی تۆ بەکار بهێنرێت و چەند زیانت پێ دەگەیەنێت (بڕوانە مەترسی: چەند ئەگەری هەیە و چەند خراپە؟). ڕێنمایی تاقیکردنەوەی NIST نموونەیەکی باش دەدات: لەوانەیە سکانەرێک ڕاژەکارێکی FTP بە «مامناوەند» هەڵبسەنگێنێت چونکە تێپەڕەوشەکان بە دەقی ئاشکرا (Plaintext) دەنێرێت — بەڵام ئەگەر ڕاژەکارەکە تەنها شوێنێکی گشتیی دابەزاندن بێت و هیچ تێپەڕەوشەیەکی نەبێت، مەترسیی ڕاستەقینە زۆر کەمترە.

The course lists five risk factors that decide how dangerous a vulnerability really is:

وانەکە پێنج هۆکاری مەترسی ناو دەبات کە دیاری دەکەن خاڵێکی لاواز بەڕاستی چەند مەترسیدارە:

Notice that factors 1 and 4 are exactly what CVSS's base score cannot know, because they depend on your network and on what attackers are doing this week. That is why the next screen adds two more sources.

سەرنج بدە کە هۆکارەکانی 1 و 4 ڕێک ئەوانەن کە نمرە بنەڕەتییەکەی CVSS ناتوانێت بیانزانێت، چونکە پشت بە ڕایەڵەکەت و بەو کارەی هێرشبەرەکان ئەم هەفتەیە دەیکەن دەبەستن. بۆیە پەڕەی داهاتوو دوو سەرچاوەی تر زیاد دەکات.

A large network can produce thousands of findings, and nobody can fix them all at once. Today's good practice combines three questions:

ڕایەڵەیەک گەورە دەتوانێت هەزاران دۆزینەوە بەرهەم بهێنێت و کەس ناتوانێت هەموویان بەیەکەوە چاک بکات. ڕێکاری باشی ئەمڕۆ سێ پرسیار پێکەوە دەگرێت:

Scanning is only the start. The course lists five best practices that turn scan results into real protection:

پشکنین تەنها سەرەتایە. وانەکە پێنج باشترین ڕێکار ناو دەبات کە ئەنجامی پشکنین دەکەن بە پاراستنی ڕاستەقینە:

Vulnerability management uses three main kinds of tools: vulnerability scanners (network, application and host-based), patch-management systems that push updates to many machines (see Patch-management systems), and SIEM tools that watch for attacks (see Network defences). Large organisations connect them, so the work is automated:

بەڕێوەبردنی خاڵە لاوازەکان سێ جۆری سەرەکیی ئامراز بەکار دەهێنێت: سکانەرەکانی خاڵە لاوازەکان (ڕایەڵە، ئەپ و سەر ئامێر)، سیستەمەکانی بەڕێوەبردنی پینە (Patch management) کە نوێکردنەوەکان بۆ زۆر ئامێر دەنێرن (بڕوانە سیستەمەکانی بەڕێوەبردنی پینە)، هەروەها ئامرازەکانی SIEM کە چاودێریی هێرش دەکەن (بڕوانە بەرگرییەکانی ڕایەڵە). ڕێکخراوە گەورەکان پێکەوەیان دەبەستن، بۆیە کارەکە خۆکار دەبێت: