Dusk a déployé 39 correctifs via AEGIS. Parmi les conclusions à l’origine de cette remédiation, 7 ont été évaluées comme critiques. Cela ressemble à un grand nombre de problèmes de sécurité distincts. Mais ces 7 constats critiques se ramènent en réalité à seulement 4 causes racines, ce qui rend le comptage du titre moins évident qu’il n’y paraît au premier abord.
Trente-neuf correctifs me donnent une idée de l’ampleur du travail de remédiation de Dusk. Ils ne me disent pas combien de modes de défaillance indépendants ces correctifs étaient réellement en train de traiter. Ce que je ne sais pas encore, c’est si le processus de remédiation de Dusk élimine de façon systématique les causes partagées derrière plusieurs constats, ou s’il ne fait que fermer les voies d’exploitation individuelles qui se sont trouvées mises en évidence.
Le propre processus AEGIS de Dusk offre un mécanisme utile à surveiller. La remédiation critique est suivie non seulement par la fermeture des exploits, mais aussi par la fermeture des causes racines et par la couverture de non-régression. Cela rend la récurrence future plus informative pour moi que le simple nombre de correctifs. Déployer un correctif prouve qu’un problème connu a été traité. Une preuve plus solide consisterait à voir la même classe de défaillance sous-jacente cesser de réapparaître dans des revues ultérieures ou dans des parties adjacentes de la pile.
Alors que Dusk met en place une infrastructure pour les workflows de délivrance natifs, où davantage du cycle de vie d’une sécurité réglementée peut dépendre directement du réseau sous-jacent, la remédiation des causes racines devient un signal de sécurité plus significatif que le simple nombre de correctifs livrés.
J’en apprendrais davantage grâce à des preuves montrant que quelques causes racines partagées ont été entièrement éliminées, plutôt que d’un nombre plus élevé de correctifs sans savoir combien de modes de défaillance indépendants se cachaient derrière.
La question est de savoir si le processus de sécurité de Dusk réduit les classes de défaillances sous-jacentes, et pas seulement le nombre de constats ouverts. Je surveille si les mêmes causes racines réapparaissent lors d’audits ultérieurs, comment évolue la couverture de non-régression et si des hypothèses similaires bas niveau se retrouvent ailleurs dans la pile.
#dusk $DUSK @Dusk ✨
Trente-neuf correctifs me donnent une idée de l’ampleur du travail de remédiation de Dusk. Ils ne me disent pas combien de modes de défaillance indépendants ces correctifs étaient réellement en train de traiter. Ce que je ne sais pas encore, c’est si le processus de remédiation de Dusk élimine de façon systématique les causes partagées derrière plusieurs constats, ou s’il ne fait que fermer les voies d’exploitation individuelles qui se sont trouvées mises en évidence.
Le propre processus AEGIS de Dusk offre un mécanisme utile à surveiller. La remédiation critique est suivie non seulement par la fermeture des exploits, mais aussi par la fermeture des causes racines et par la couverture de non-régression. Cela rend la récurrence future plus informative pour moi que le simple nombre de correctifs. Déployer un correctif prouve qu’un problème connu a été traité. Une preuve plus solide consisterait à voir la même classe de défaillance sous-jacente cesser de réapparaître dans des revues ultérieures ou dans des parties adjacentes de la pile.
Alors que Dusk met en place une infrastructure pour les workflows de délivrance natifs, où davantage du cycle de vie d’une sécurité réglementée peut dépendre directement du réseau sous-jacent, la remédiation des causes racines devient un signal de sécurité plus significatif que le simple nombre de correctifs livrés.
J’en apprendrais davantage grâce à des preuves montrant que quelques causes racines partagées ont été entièrement éliminées, plutôt que d’un nombre plus élevé de correctifs sans savoir combien de modes de défaillance indépendants se cachaient derrière.
La question est de savoir si le processus de sécurité de Dusk réduit les classes de défaillances sous-jacentes, et pas seulement le nombre de constats ouverts. Je surveille si les mêmes causes racines réapparaissent lors d’audits ultérieurs, comment évolue la couverture de non-régression et si des hypothèses similaires bas niveau se retrouvent ailleurs dans la pile.
#dusk $DUSK @Dusk ✨