به گزارش Salesforce، افزایش توان مدل‌های پیشرفته و سامانه‌های عامل‌محور برای کشف آسیب‌پذیری‌ها، حجم یافته‌های واقعی و قابل بهره‌برداری را از ظرفیت رسیدگی تیم‌های مهندسی فراتر برده است. این شرکت برای مدیریت فاصله میان کشف ماشینی و اصلاح انسانی، از ترکیب دو رویکرد راهبردی و تاکتیکی استفاده می‌کند.
Salesforce در مطلبی که ۱۴ اکتبر ۲۰۲۶ منتشر شد، توضیح داد که چالش اصلی دیگر فقط یافتن نقص‌های امنیتی نیست؛ بلکه باید مشخص شود کدام یافته‌ها در چه بازه‌ای به توجه مهندسی نیاز دارند. اعتبارسنجی همچنان به دسترسی به محیط اجرا، اعتبارنامه‌ها و قضاوت متخصص وابسته است و اصلاح نیز باید فرایندهای بازبینی و انتشار پایدار نرم‌افزار را طی کند.
اصلاح ریشه‌های مشترک به‌جای انباشت گزارش‌ها
در رویکرد راهبردی، یافته‌ها ابتدا در سطح نقص‌های تکراری یکپارچه و سپس بر اساس کتابخانه‌ها، مسیرهای حساس و علت‌های معماری مشترک گروه‌بندی می‌شوند. تجربه ممیزی Salesforce نشان داده است که بخش بزرگی از آسیب‌پذیری‌ها معمولاً از تعداد محدودی تصمیم طراحی، تنظیم پیش‌فرض ناامن یا الگوی فراخوانی پرکاربرد سرچشمه می‌گیرند.
به‌گفته این شرکت، یک مؤلفه نامناسب می‌تواند صدها یا هزاران یافته ایجاد کند؛ بنابراین تغییر همان نقطه مشترک ممکن است تعداد زیادی از موارد را هم‌زمان برطرف کند. در مقابل، ثبت هر یافته به‌عنوان یک باگ مستقل، صفی می‌سازد که هر مورد آن به مالک، بازبینی، استقرار و آزمایش مجدد نیاز دارد و سرعت رشدش می‌تواند از ظرفیت تیم‌ها بیشتر شود.
بستن زنجیره‌های حمله با اولویت زمانی
رویکرد تاکتیکی برای زنجیره‌های چندمرحله‌ای است که چند نقص کم‌خطر را به حمله‌ای عملی علیه یک سرویس مشخص تبدیل می‌کنند. این زنجیره‌ها باید از ابتدا تا انتها اعتبارسنجی، در همان سرویس اصلاح و دوباره آزمایش شوند؛ فرایندی که بسته به خطر، از چند ساعت تا گاهی چند هفته زمان دارد.
Salesforce برای اهداف با بالاترین درجه اهمیت، زنجیره حمله را روی نمونه در حال اجرای محیط آزمایشی بررسی می‌کند. این کار مسیرهای نظری را که در زمان اجرا با تنظیمات، پرچم قابلیت یا میان‌افزار متوقف می‌شوند از بهره‌برداری‌های واقعی جدا می‌کند. شرکت همچنین می‌گوید یکی از یافته‌های بحرانی اخیر این خط لوله، با گزارشی که یک پژوهشگر مستقل از طریق برنامه باگ‌بانتی ثبت کرده بود مطابقت داشت.
جمع‌بندی Salesforce این است که هیچ‌یک از این دو مسیر به‌تنهایی کافی نیست: اصلاح معماری، بازده بلندمدت مهندسی را افزایش می‌دهد و وصله تاکتیکی، زنجیره‌های فعال را با فوریت می‌بندد. برای تیم‌های توسعه نرم‌افزار، نتیجه عملی این است که پیش از گسترش اسکن عامل‌محور باید مالک هر ریسک، سازوکار گروه‌بندی یافته‌ها و برنامه واقعی اصلاح نیز مشخص باشد.
