Pengutamaan: CVSS, EPSS dan KEV

CVSS mempunyai tiga kumpulan metrik:

• Asas — ciri hakiki yang tidak berubah (skor yang biasa disebut oleh kebanyakan orang).
• Mengikut masa — perubahan dari semasa ke semasa (kematangan eksploitasi, tahap pembaikan).
• Persekitaran — konteks khusus anda (kepentingan aset, langkah pengurangan risiko).

Kebanyakan pasukan hanya menggunakan skor Asas dan mengabaikan Persekitaran, sedangkan konteks inilah yang sepatutnya melaraskan keutamaan.

Menampal semata-mata berdasarkan CVSS membebankan pasukan: sebahagian besar CVE mendapat skor Tinggi atau Kritikal, tetapi hanya sebahagian kecil yang pernah dieksploitasi di dunia sebenar.

Memberikan keutamaan yang sama kepada setiap skor 9.8 bermakna anda mungkin menampal pepijat yang sukar dicapai sebelum pepijat yang sedang digunakan secara aktif dalam kempen perisian tebusan. Tahap keterukan diperlukan tetapi tidak mencukupi.

Sistem Pemarkahan Ramalan Eksploitasi (EPSS) menganggarkan kebarangkalian (0 hingga 1) bahawa sesuatu kerentanan akan dieksploitasi di dunia sebenar dalam tempoh 30 hari akan datang, berdasarkan data ancaman dunia sebenar dan pembelajaran mesin.

EPSS menjawab soalan: sejauh manakah kemungkinan perkara ini benar-benar diserang tidak lama lagi? CVE dengan EPSS 0.92 memerlukan perhatian dengan lebih segera berbanding CVE dengan skor 0.001, walaupun CVSS kedua-duanya sama.

EPSS menghasilkan dua angka: kebarangkalian dan persentil (kedudukan berbanding semua CVE). Persentil 0.99 bermakna kerentanan itu antara yang paling berkemungkinan dieksploitasi.

Gunakan EPSS sebagai penapis ambang: contohnya, tingkatkan keutamaan bagi apa-apa yang melebihi kebarangkalian yang dipilih, tanpa mengira CVSS. Nilai semula secara berkala kerana EPSS dikemas kini setiap hari apabila landskap ancaman berubah.

CISA menyelenggara katalog Kerentanan yang Diketahui Dieksploitasi (KEV): senarai CVE dengan eksploitasi yang disahkan dan diperhatikan di dunia sebenar.

Jika CVE tersenarai dalam KEV, kerentanan itu bukan sekadar teori; penyerang sedang menggunakannya sekarang. KEV ialah isyarat tunggal paling kuat bahawa pembaikan perlu disegerakan, dan agensi persekutuan US diwajibkan membaiki entri KEV dalam tempoh yang ditetapkan.

Isyarat-isyarat ini saling melengkapi:

• KEV — eksploitasi aktif yang disahkan (baiki sekarang).
• EPSS — kebarangkalian eksploitasi dalam masa terdekat yang diramalkan.
• CVSS — impak sekiranya dieksploitasi.

Peraturan praktikal: apa-apa yang tersenarai dalam KEV ialah keutamaan tertinggi; selepas itu, susun mengikut EPSS dan CVSS yang tinggi dengan mengambil kira konteks aset anda.

CVE yang sama membawa risiko sebenar yang berbeza bergantung pada aset. Gabungkan skor teknikal dengan konteks:

• Adakah aset itu menghadap Internet atau untuk kegunaan dalaman sahaja?
• Adakah aset itu menyimpan data sensitif atau menjalankan perkhidmatan kritikal?
• Adakah kawalan pampasan (WAF, pembahagian rangkaian) tersedia?

Inilah konsep Persekitaran CVSS yang diterapkan secara programatik: utamakan aset terpenting yang terdedah berbanding kotak ujian yang terpencil.

Model pemarkahan yang boleh digunakan:

• Tersenarai dalam KEV? → serta-merta, mengatasi semua yang lain.
• EPSS melebihi ambang AND menghadap Internet? → mendesak.
• CVSS tinggi tetapi EPSS rendah dan bersifat dalaman? → baris gilir biasa.
• Semua skor rendah? → kelompokkan bersama penampalan rutin.

Dokumentasikan model tersebut supaya pengutamaan konsisten dan boleh dipertahankan, bukan dibuat secara sembarangan.

Perkara yang perlu dielakkan:

• Menganggap Asas CVSS sebagai keseluruhan gambaran risiko.
• Mengabaikan KEV kerana CVSS kelihatan sederhana (sesetengah entri KEV tidak mempunyai skor 9+).
• Tidak pernah menilai semula: EPSS dan KEV berubah, jadi susun semula kedudukan secara berkala.
• Melupakan konteks aset, yang boleh mengubah penemuan daripada berisiko rendah kepada kritikal.

Pengutamaan menggabungkan tiga isyarat: CVSS untuk impak, EPSS untuk kebarangkalian eksploitasi yang diramalkan, dan KEV untuk eksploitasi aktif yang disahkan. Item KEV memerlukan tindakan serta-merta; jika tidak, susun mengikut EPSS dan CVSS dengan pemberat berdasarkan pendedahan dan nilai aset.

Elakkan penampalan berdasarkan CVSS sahaja, susun semula kedudukan apabila data berubah, dan dokumentasikan model tersebut. Seterusnya, kita akan menukarkan penemuan yang telah diutamakan kepada pembaikan yang selesai melalui pengurusan tampalan dan SLA.