Prioritering: CVSS, EPSS og KEV

CVSS har tre metrikgrupper:

• Grundlag — iboende, uforanderlige egenskaber (den score, de fleste citerer).
• Tidsmæssig — ændringer over tid (udnyttelsesmodenhed, afhjælpningsniveau).
• Miljømæssig — din specifikke kontekst (aktivets betydning, begrænsninger).

De fleste hold bruger kun grundlagsscoren og ignorerer den miljømæssige score, selv om det netop er den kontekst, der bør justere prioriteten.

Hvis man udelukkende installerer rettelser efter CVSS, overbelastes holdene: en stor andel af CVE'er får scoren høj eller kritisk, men kun en lille del bliver nogensinde udnyttet i praksis.

Hvis alle 9,8'ere prioriteres ens, risikerer du at rette en svært tilgængelig fejl før en fejl, der aktivt bruges i ransomwarekampagner. Alvorlighed er nødvendig, men ikke tilstrækkelig.

Exploit Prediction Scoring System (EPSS) estimerer sandsynligheden (0 til 1) for, at en sårbarhed bliver udnyttet i praksis i løbet af de næste 30 dage, baseret på virkelige trusselsdata og maskinlæring.

EPSS besvarer spørgsmålet: Hvor sandsynligt er det, at denne sårbarhed faktisk bliver angrebet snart? En CVE med en EPSS på 0,92 kræver langt mere akut opmærksomhed end en på 0,001, selv ved samme CVSS.

EPSS giver to tal: en sandsynlighed og en percentil (rangering i forhold til alle CVE'er). En percentil på 0,99 betyder, at den er blandt dem, der med størst sandsynlighed bliver udnyttet.

Brug EPSS som et tærskelfilter: Eskalér for eksempel alt over en valgt sandsynlighed, uanset CVSS. Vurder det igen med jævne mellemrum, fordi EPSS opdateres dagligt, efterhånden som trusselslandskabet ændrer sig.

CISA vedligeholder kataloget Known Exploited Vulnerabilities (KEV): en liste over CVE'er med bekræftet, observeret udnyttelse i praksis.

Hvis en CVE er på KEV, er den ikke teoretisk; angribere bruger den nu. KEV er det stærkeste enkeltstående signal om, at afhjælpning haster, og amerikanske føderale myndigheder er forpligtet til at afhjælpe KEV-poster inden for fastsatte frister.

Signalerne supplerer hinanden:

• KEV — bekræftet aktiv udnyttelse (udbedr nu).
• EPSS — forventet sandsynlighed for udnyttelse på kort sigt.
• CVSS — påvirkningen, hvis sårbarheden udnyttes.

En praktisk regel er: Alt på KEV har højeste prioritet; sortér derefter efter høj EPSS og høj CVSS, vægtet efter konteksten for dine aktiver.

Den samme CVE indebærer forskellig reel risiko afhængigt af aktivet. Vægt de tekniske scorer med konteksten:

• Er aktivet interneteksponeret eller kun internt tilgængeligt?
• Indeholder det følsomme data, eller kører det en kritisk tjeneste?
• Er der kompenserende kontroller (WAF, segmentering) på plads?

Dette er idéen bag CVSS Environmental anvendt programmatisk: Prioritér eksponerede kerneaktiver over isolerede testmaskiner.

En anvendelig scoringsmodel:

• Er den på KEV? → straks, tilsidesætter alt.
• Er EPSS over tærsklen OG er aktivet interneteksponeret? → akut.
• Høj CVSS, men lav EPSS og internt? → standardkø.
• Lavt på alle punkter? → behandl samlet med rutinemæssig patching.

Dokumentér modellen, så prioriteringen er ensartet og kan forsvares, ikke vilkårlig.

Faldgruber, du bør undgå:

• At betragte CVSS Base som hele risikobilledet.
• At ignorere KEV, fordi CVSS ser moderat ud (nogle KEV-poster er ikke over 9).
• Aldrig at revurdere: EPSS og KEV ændrer sig, så rangér regelmæssigt på ny.
• At glemme aktivkonteksten, som kan ændre et fund fra lavt til kritisk.

Prioritering kombinerer tre signaler: CVSS for påvirkning, EPSS for forventet sandsynlighed for udnyttelse og KEV for bekræftet aktiv udnyttelse. KEV-poster kræver øjeblikkelig handling; ellers rangér efter EPSS og CVSS, vægtet efter aktivets eksponering og værdi.

Undgå patching udelukkende efter CVSS, rangér på ny, når data ændrer sig, og dokumentér modellen. Nu omsætter vi prioriterede fund til gennemførte rettelser med patchhåndtering og SLA'er.