Ustalanie priorytetów: CVSS, EPSS i KEV

Typowe skanowanie przedsiębiorstwa zwraca tysiące ustaleń. Nie można usunąć ich wszystkich jednocześnie, dlatego ustalanie priorytetów decyduje o tym, które podatności należy usunąć w pierwszej kolejności. Właściwa decyzja pozwala szybko ograniczyć rzeczywiste ryzyko; błędna prowadzi do marnowania wysiłku na teoretyczne problemy, podczas gdy wykorzystywane podatności pozostają otwarte.

Współczesne ustalanie priorytetów opiera się na trzech źródłach danych: CVSS, EPSS i KEV.

Common Vulnerability Scoring System (CVSS) ocenia nieodłączny poziom dotkliwości podatności w skali od 0.0 do 10.0. Uwzględnia wektor ataku, złożoność, wymagane uprawnienia oraz wpływ na poufność, integralność i dostępność.

CVSS odpowiada na pytanie: jak poważne są skutki wykorzystania tej podatności? Nie informuje jednak o prawdopodobieństwie jej wykorzystania.

CVSS obejmuje trzy grupy metryk:

• Bazowe — nieodłączne, niezmienne cechy (wynik, który podaje większość osób).
• Czasowe — zmieniające się w czasie (dojrzałość exploita, poziom usuwania podatności).
• Środowiskowe — charakterystyczne dla danego kontekstu (znaczenie zasobu, mechanizmy ograniczające ryzyko).

Większość zespołów korzysta wyłącznie z wyniku bazowego i ignoruje metryki środowiskowe, czyli dokładnie ten kontekst, który powinien korygować priorytet.

Ścisłe ustalanie priorytetów wyłącznie na podstawie CVSS przeciąża zespoły: ogromna część CVE otrzymuje wynik wysoki lub krytyczny, ale tylko niewielka część jest kiedykolwiek wykorzystywana w rzeczywistych atakach.

Traktowanie każdego wyniku 9.8 jako równie pilnego może oznaczać załatanie trudno dostępnej podatności przed podatnością aktywnie wykorzystywaną w kampaniach ransomware. Poziom dotkliwości jest niezbędny, ale niewystarczający.

Exploit Prediction Scoring System (EPSS) szacuje prawdopodobieństwo (od 0 do 1), że podatność zostanie wykorzystana w rzeczywistych atakach w ciągu następnych 30 dni, na podstawie danych o rzeczywistych zagrożeniach i uczenia maszynowego.

EPSS odpowiada na pytanie: jak prawdopodobne jest, że ta podatność zostanie wkrótce zaatakowana? CVE z wynikiem EPSS równym 0.92 wymaga znacznie pilniejszej uwagi niż CVE z wynikiem 0.001, nawet przy takim samym wyniku CVSS.

EPSS podaje dwie liczby: prawdopodobieństwo i percentyl (pozycję względem wszystkich CVE). Percentyl 0.99 oznacza, że podatność należy do tych o największym prawdopodobieństwie wykorzystania.

EPSS należy stosować jako filtr oparty na progu: na przykład eskalować każdą podatność powyżej wybranego prawdopodobieństwa, niezależnie od wyniku CVSS. Należy okresowo ponownie oceniać wyniki, ponieważ EPSS jest aktualizowany codziennie wraz ze zmianami krajobrazu zagrożeń.

CISA prowadzi katalog Known Exploited Vulnerabilities (KEV): listę CVE, których wykorzystanie w rzeczywistych atakach zostało potwierdzone i zaobserwowane.

Jeśli CVE znajduje się w KEV, nie jest to zagrożenie teoretyczne — atakujący wykorzystują je już teraz. KEV jest najsilniejszym pojedynczym sygnałem pilności usunięcia podatności, a federalne agencje USA mają obowiązek usuwać pozycje z KEV w określonych terminach.

Sygnały wzajemnie się uzupełniają:

• KEV — potwierdzone aktywne wykorzystanie (naprawić natychmiast).
• EPSS — przewidywane prawdopodobieństwo wykorzystania w najbliższym czasie.
• CVSS — wpływ w przypadku wykorzystania.

Praktyczna zasada: wszystko, co znajduje się w KEV, ma najwyższy priorytet; następnie należy sortować według wysokich wartości EPSS i CVSS, uwzględniając kontekst zasobu.

Ten sam identyfikator CVE wiąże się z różnym rzeczywistym ryzykiem w zależności od zasobu. Wyniki techniczne należy korygować na podstawie kontekstu:

• Czy zasób jest dostępny z Internetu, czy tylko wewnętrzny?
• Czy przechowuje dane wrażliwe lub obsługuje krytyczną usługę?
• Czy zastosowano mechanizmy kompensacyjne (WAF, segmentację)?

To programistyczne zastosowanie koncepcji środowiskowej CVSS: najpierw należy traktować najcenniejsze zasoby dostępne z zewnątrz, a nie odizolowane środowiska testowe.

Praktyczny model oceny:

• W KEV? → natychmiast, z pominięciem wszystkiego innego.
• EPSS powyżej progu ORAZ zasób dostępny z Internetu? → pilne.
• Wysoki CVSS, ale niski EPSS i zasób wewnętrzny? → standardowa kolejka.
• Niskie wartości wszystkich wskaźników? → grupować z rutynowymi poprawkami.

Model należy udokumentować, aby priorytetyzacja była spójna i możliwa do uzasadnienia, a nie doraźna.

Należy unikać następujących błędów:

• Traktowania bazowego wyniku CVSS jako pełnego obrazu ryzyka.
• Ignorowania KEV, ponieważ wynik CVSS wygląda na umiarkowany (niektóre wpisy KEV nie mają wyniku 9+).
• Braku ponownej oceny: EPSS i KEV się zmieniają, dlatego należy regularnie ustalać kolejność priorytetów.
• Pomijania kontekstu zasobu, który może zmienić ocenę ustalenia z niskiej na krytyczną.

Priorytetyzacja łączy trzy sygnały: CVSS określa wpływ, EPSS przewidywane prawdopodobieństwo wykorzystania, a KEV potwierdzone aktywne wykorzystanie. Elementy znajdujące się w KEV wymagają natychmiastowego działania; w pozostałych przypadkach należy ustalać kolejność na podstawie EPSS i CVSS, uwzględniając dostępność i wartość zasobu.

Należy unikać instalowania poprawek wyłącznie na podstawie CVSS, ponownie ustalać priorytety przy zmianie danych i dokumentować model. Następnie przejdziemy od ustalonych priorytetów do ukończonych napraw dzięki zarządzaniu poprawkami i umowom SLA.