تحديد الأولويات: CVSS وEPSS وKEV

يعيد الفحص المعتاد في مؤسسة كبيرة آلاف النتائج. لا يمكنك إصلاحها كلها دفعة واحدة، لذلك يحدد تحديد الأولويات ما ينبغي معالجته أولًا. إذا أحسنت الاختيار، ستخفض المخاطر الحقيقية بسرعة؛ وإذا أخطأت، ستهدر الجهد على مشكلات نظرية بينما تظل الأخطاء المستغلة مفتوحة.

ترتكز عملية تحديد الأولويات الحديثة على ثلاثة مصادر للبيانات: CVSS وEPSS وKEV.

يقيس نظام تسجيل نقاط الضعف الشائعة (CVSS) مستوى الخطورة المتأصل في الثغرة على مقياس من 0.0 إلى 10.0. ويراعي متجه الهجوم، والتعقيد، والامتيازات المطلوبة، والتأثير في السرية والسلامة والتوافر.

يجيب CVSS عن السؤال: ما مدى سوء هذه الثغرة إذا استُغلت؟ لكنه لا يخبرك بمدى احتمالية استغلالها.

يتضمن CVSS ثلاث مجموعات من المقاييس:

• الأساسية — الخصائص المتأصلة التي لا تتغير (وهي النقاط التي يذكرها معظم الناس).
• الزمنية — الخصائص التي تتغير بمرور الوقت (نضج الاستغلال، ومستوى المعالجة).
• البيئية — سياقك المحدد (أهمية الأصل، وإجراءات التخفيف).

تستخدم معظم الفرق النقاط الأساسية فقط وتتجاهل النقاط البيئية، مع أن السياق البيئي هو بالضبط ما ينبغي أن يعدّل الأولوية.

يؤدي تثبيت التصحيحات بالاعتماد الصارم على CVSS إلى إرهاق الفرق: إذ تحصل نسبة كبيرة من CVE على تصنيف عالٍ أو حرج، لكن نسبة صغيرة منها فقط تُستغل فعليًا في البرية.

إن إعطاء كل ثغرة بتقييم 9.8 الأولوية نفسها قد يعني تثبيت تصحيح لثغرة يصعب الوصول إليها قبل ثغرة تُستغل حاليًا في حملات برمجيات الفدية. مستوى الخطورة ضروري، لكنه غير كافٍ.

يقدّر نظام تسجيل نقاط التنبؤ بالاستغلال (EPSS) احتمال (من 0 إلى 1) استغلال ثغرة في البرية خلال الثلاثين يومًا التالية، استنادًا إلى بيانات التهديدات الواقعية وتعلّم الآلة.

يجيب EPSS عن السؤال: ما مدى احتمال مهاجمة هذه الثغرة فعلًا قريبًا؟ تستحق CVE ذات EPSS يبلغ 0.92 اهتمامًا أكثر إلحاحًا بكثير من ثغرة تبلغ 0.001، حتى مع تساوي تقييم CVSS.

يعرض EPSS رقمين: الاحتمال والنسبة المئوية (الترتيب مقارنةً بجميع CVE). وتعني النسبة المئوية 0.99 أن الثغرة من بين الأكثر احتمالًا للاستغلال.

استخدم EPSS كمرشح قائم على حد معين: صعّد مثلًا أي نتيجة تتجاوز احتمالًا تختاره، بغض النظر عن CVSS. أعد التقييم دوريًا لأن EPSS يتحدث يوميًا مع تغير مشهد التهديدات.

تحتفظ CISA بكتالوج الثغرات المستغلة المعروفة (KEV): وهو قائمة بـ CVE ثبت استغلالها ورُصد في البرية.

إذا كانت CVE مدرجة في KEV، فهي ليست نظرية؛ بل يستخدمها المهاجمون الآن. ويُعد KEV أقوى إشارة منفردة إلى إلحاح المعالجة، كما أن الوكالات الفيدرالية الأمريكية ملزمة بإصلاح عناصر KEV ضمن مواعيد نهائية محددة.

تتكامل هذه الإشارات معًا:

• KEV — استغلال نشط مؤكّد (يجب إصلاحه فورًا).
• EPSS — احتمال الاستغلال المتوقّع على المدى القريب.
• CVSS — الأثر في حال استغلال الثغرة.

قاعدة عملية: كل ما يرد في KEV له الأولوية القصوى؛ ثم رتّب العناصر وفق ارتفاع EPSS وCVSS، مع مراعاة سياق أصولك.

تحمل ثغرة CVE نفسها مخاطر فعلية مختلفة تبعًا للأصل المتأثر. اضرب الدرجات التقنية في عوامل السياق:

• هل الأصل مكشوف على الإنترنت أم مخصص للاستخدام الداخلي فقط؟
• هل يحتوي على بيانات حساسة أو يشغّل خدمة حرجة؟
• هل توجد ضوابط تعويضية (WAF، وتقسيم الشبكة)؟

هذه هي فكرة البيئة في CVSS عند تطبيقها برمجيًا: أعطِ الأولوية للأصول الحساسة المكشوفة بدلًا من خوادم الاختبار المعزولة.

نموذج قابل للتطبيق لحساب الدرجات:

• هل يرد العنصر في KEV؟ ← معالجة فورية تتجاوز كل الأولويات الأخرى.
• هل يتجاوز EPSS العتبة، وهل الأصل مكشوف على الإنترنت؟ ← معالجة عاجلة.
• هل درجة CVSS مرتفعة، لكن EPSS منخفض والأصل داخلي؟ ← قائمة الانتظار العادية.
• هل جميع المؤشرات منخفضة؟ ← تجميعه مع دورة التصحيحات الاعتيادية.

وثّق النموذج لضمان اتساق تحديد الأولويات وقابليته للدفاع عنه، بدلًا من اتخاذ قرارات عشوائية.

أخطاء يجب تجنّبها:

• اعتبار CVSS Base الصورة الكاملة للمخاطر.
• تجاهل KEV لأن درجة CVSS تبدو متوسطة (فبعض العناصر في KEV لا تتجاوز 9).
• عدم إعادة التقييم مطلقًا: إذ تتغير EPSS وKEV، لذا أعد ترتيب الأولويات بانتظام.
• إغفال سياق الأصل، إذ يمكن أن يحوّل نتيجةً من منخفضة الخطورة إلى حرجة.

تأكّد مما تقيسه كل إشارة فعليًا.

يمزج تحديد الأولويات بين ثلاث إشارات: تستخدم CVSS لقياس الأثر، وEPSS لقياس احتمال الاستغلال المتوقّع، وKEV للإشارة إلى الاستغلال النشط المؤكّد. وتتطلب العناصر الواردة في KEV إجراءً فوريًا؛ وإلا فرتّبها وفق EPSS وCVSS، مع مراعاة مدى تعرّض الأصل وقيمته.

تجنّب تطبيق التصحيحات استنادًا إلى CVSS وحدها، وأعد ترتيب الأولويات عند تغيّر البيانات، ووثّق النموذج. بعد ذلك سنحوّل النتائج ذات الأولوية إلى إصلاحات مكتملة من خلال إدارة التصحيحات واتفاقيات مستوى الخدمة.