Smart-Diff - فرق المخاطر الدلالي
ما تغير في قابلية الاستغلال لا عدد CVE
فرق دلالي في قابلية الوصول وحالة VEX بين إصدارين.
يقول فرق العدد كم معرفًا أضيف وحُذف. يقارن Smart-Diff حالتي مخاطر digests: النتائج التي كسبت أو فقدت مسار تنفيذ، وحالات VEX المتغيرة، وما تقيّمه السياسة.
يغير ما يقرأه المراجع أولًا لا النتائج.
موضعه في مسار العهدة
- المصدر
- البناء
- الفحص
- الحكم
- القرار
- النشر
- المراقبة
يُحسب الفرق عند مراجعة digest مرشح للترقية: يحمل الحكم ما تغير مقابل digest المستبدل، ويختمه القرار في الأدلة.
قراءتان للإصدار نفسه
مثال توضيحي - صياغة تجريبية لا نتيجة مقاسة.
تبلغ أداة قائمة على العدد
+3 CVEs
وصلت ثلاثة معرفات مع تحديث صورة أساس وتبعية. يقول العدد إن المخاطر زادت ولا يعرف هل يمكن تنفيذ أي منها.
يبلغ Smart-Diff
+3 CVEs، انخفض سطح الاستغلال
لا تقع الإضافات الثلاث على مسار تنفيذ مرصود. اختفت نتيجة كانت REACHABLE وغير مصححة في digest السابق. التغيير الجوهري هو الإزالة.
«+3 CVEs، انخفض سطح الاستغلال» جملة لا تنتجها أداة عددية. تتطلب معرفة النتائج القابلة للتنفيذ لا عددها.
ما يقارنه فعليًا
Smart-Diff فرق في حالة المخاطر مرتبط بـ digests: الإصدار العامل والمقترح. Reachabilityتحليل يثبت ما إذا كان الكود المعرّض يتم استدعاؤه فعلاً بواسطة تطبيقك — يفلتر الإيجابيات الكاذبة من ضوضاء الماسحات
تغيرات المسار REACHABLE
النتائج التي كسبت أو فقدت مسارًا مرصودًا بين digest الأساس والهدف. توقف النتيجة عن كونها REACHABLE يختلف عن اختفائها.
انتقالات حالة VEX
تحركات مثل affected إلى not_affected مسجلة مع مبررها - يرى المراجع سبب الحركة.
فروق ذات صلة بالسياسة
تغيرات تعبر بوابة تقيّمها السياسة: الشدة وتوافر الإصلاح وفئة قابلية الوصول. تبقى التغيرات المتجاهلة في الفرق بترتيب أدنى.
مرتبط بـ digestين وقابل للإعادة كأي حكم
يُسجل الفرق كإفادة موقعة بـ DSSE تسمي digests الأساس والهدف. تحمل المضافة والمحذوفة والمعدلة ونتيجة بوابة الوصول والتغيرات الجوهرية. أعده من الدليل نفسه فتحصل على الفرق نفسه. DSSEDead Simple Signing Envelope - معيار بسيط ومرن لتوقيع البيانات بتوقيعات تشفيرية
لماذا يضلل العدد
قد يضيف إصدار عشرة معرفات CVE في شيفرة لا تُحمّل ويحذف نتيجة واحدة REACHABLE وغير مصححة. تحظر بوابة عددية الإصدار الأكثر أمانًا. يرتب كشف المخاطر الجوهرية الفرق ليقرأ المراجع سطح الاستغلال أولًا. وتبقى القائمة الطويلة على بُعد مرشح.
سياق لمجموعة النتائج لا الفروق: توجد نحو 85% من ثغرات الحاويات الحرجة في شيفرة غير نشطة (تقرير Sysdig 2024). يرث فرق يعد المعرفات الضوضاء في الجانبين.
موضع ظهور الفرق
مراجعة الإصدار قبل الترقية.
- يصل digest مرشح للمراجعة ويحمل حكمه الفرق مقابل digest المعتمد في الهدف.
- يقرأ المراجع التغيرات الجوهرية أولًا: ما أصبح REACHABLE وما توقف وحالات VEX وسببها.
- عند الترقية يُختم الفرق في أدلة القرار. تتضمن الإجابة لاحقًا ما تغير لا لقطة فقط.
الحد
تتبع جودة الفرق تغطية قابلية الوصول التي تشمل Java وC# وGo وJavaScript وTypeScript وPython. خارجها يسجل Smart-Diff المضاف والمحذوف والمتغير لكنه لا يدّعي تغير قابلية الاستغلال، ويصرّح بذلك بدل الإبلاغ عن عدم وجود تغيير.