Önceliklendirme: CVSS, EPSS ve KEV

Tipik bir kurumsal tarama binlerce bulgu döndürür. Hepsini aynı anda düzeltemezsiniz; bu nedenle önceliklendirme, önce hangilerinin giderileceğine karar verir. Doğru yaparsanız gerçek riski hızla azaltırsınız; yanlış yaparsanız istismar edilen hatalar açık kalırken teorik sorunlara çaba harcarsınız.

Modern önceliklendirmeyi üç veri kaynağı destekler: CVSS, EPSS ve KEV.

Yaygın Zafiyet Puanlama Sistemi (CVSS), bir zafiyetin özsel ciddiyetini 0,0 ile 10,0 arasında puanlar. Saldırı vektörünü, karmaşıklığı, gereken ayrıcalıkları ve gizlilik, bütünlük ve kullanılabilirlik üzerindeki etkiyi değerlendirir.

CVSS şu soruyu yanıtlar: İstismar edilirse bu ne kadar ciddi? Ancak istismar edilme olasılığını söylemez.

CVSS'nin üç ölçüt grubu vardır:

• Temel — özsel ve değişmeyen özellikler (çoğu kişinin aktardığı puan).
• Zamansal — zaman içinde değişen özellikler (istismar olgunluğu, giderim düzeyi).
• Ortamsal — size özgü bağlam (varlığın önemi, azaltıcı önlemler).

Çoğu ekip yalnızca Temel puanı kullanır ve önceliği ayarlaması gereken bağlam olan Ortamsal grubu göz ardı eder.

Yalnızca CVSS puanına göre yama uygulamak ekipleri aşırı yükler: CVE'lerin büyük bir bölümü Yüksek veya Kritik puan alır, ancak gerçek dünyada bunların yalnızca küçük bir bölümü istismar edilir.

Her 9,8 puanlı zafiyete eşit öncelik vermek, fidye yazılımı kampanyalarında etkin olarak kullanılan bir zafiyet beklerken erişilmesi zor bir hatayı düzeltmenize neden olabilir. Ciddiyet gereklidir ancak tek başına yeterli değildir.

İstismar Öngörü Puanlama Sistemi (EPSS), gerçek dünya tehdit verilerine ve makine öğrenimine dayanarak bir zafiyetin önümüzdeki 30 gün içinde gerçek dünyada istismar edilme olasılığını (0 ile 1 arasında) tahmin eder.

EPSS şu soruyu yanıtlar: Bu zafiyetin yakında gerçekten saldırıya uğrama olasılığı nedir? CVSS puanları eşit olsa bile EPSS değeri 0,92 olan bir CVE, 0,001 değerindeki bir CVE'den çok daha acil ilgiyi hak eder.

EPSS iki sayı verir: bir olasılık ve bir yüzdelik dilim (tüm CVE'lere göre sıralama). 0,99 yüzdelik dilim, istismar edilme olasılığı en yüksek olanlar arasında olduğunu gösterir.

EPSS'yi bir eşik filtresi olarak kullanın: örneğin, CVSS'den bağımsız olarak belirlediğiniz olasılığın üzerindeki her şeyi üst önceliğe çıkarın. Tehdit ortamı değiştikçe EPSS günlük olarak güncellendiğinden düzenli aralıklarla yeniden değerlendirin.

CISA, gerçek dünyada istismar edildiği doğrulanmış ve gözlemlenmiş CVE'lerin bir listesi olan Bilinen İstismar Edilen Zafiyetler (KEV) kataloğunu tutar.

Bir CVE KEV'de yer alıyorsa bu zafiyet teorik değildir; saldırganlar onu şu anda kullanmaktadır. KEV, giderimin acil olduğunu gösteren tek ve en güçlü işarettir ve US federal kurumları KEV öğelerini belirlenmiş süreler içinde düzeltmekle yükümlüdür.

Sinyaller birbirini tamamlar:

• KEV — doğrulanmış aktif istismar (hemen düzeltin).
• EPSS — yakın vadede istismar edilme olasılığı tahmini.
• CVSS — istismar edilmesi durumundaki etki.

Pratik bir kural: KEV'de yer alan her şey en yüksek önceliğe sahiptir; ardından varlık bağlamınıza göre yüksek EPSS ve yüksek CVSS değerlerine göre sıralayın.

Aynı CVE, varlığa bağlı olarak farklı bir gerçek risk taşır. Teknik puanları bağlamla çarpın:

• Varlık internete açık mı, yoksa yalnızca dahili mi?
• Hassas veriler barındırıyor mu veya kritik bir hizmet mi çalıştırıyor?
• Telafi edici kontroller (WAF, bölümlendirme) mevcut mu?

Bu, CVSS Ortam yaklaşımının programatik olarak uygulanmasıdır: yalıtılmış sınama makineleri yerine internete açık, kritik değer taşıyan varlıklara öncelik verin.

Uygulanabilir bir puanlama modeli:

• KEV'de mi? → Hemen ele alınır; her şeyin önüne geçer.
• EPSS eşik değerinin üzerinde VE internete açık mı? → Acildir.
• CVSS yüksek, ancak EPSS düşük ve varlık dahili mi? → Standart kuyruğa alınır.
• Her şey düşük mü? → Rutin yama işlemleriyle toplu olarak ele alınır.

Önceliklendirmenin tutarlı ve savunulabilir olması için modeli belgeleyin; işlemleri gelişigüzel yapmayın.

Kaçınılması gereken sorunlar:

• CVSS Temel Puanını tüm risk görünümü olarak değerlendirmek.
• CVSS orta düzeyde göründüğü için KEV'yi göz ardı etmek (bazı KEV kayıtları 9 veya üzeri değildir).
• Hiç yeniden değerlendirme yapmamak: EPSS ve KEV değişir; bu nedenle düzenli olarak yeniden sıralayın.
• Bir bulguyu düşük önem düzeyinden kritiğe taşıyabilecek varlık bağlamını unutmak.

Önceliklendirme üç sinyali birleştirir: etki için CVSS, öngörülen istismar edilme olasılığı için EPSS ve doğrulanmış aktif istismar için KEV. KEV öğeleri hemen işlem gerektirir; diğer durumlarda varlığın maruz kalma düzeyi ve değeri dikkate alınarak EPSS ve CVSS'ye göre sıralama yapılır.

Yalnızca CVSS'ye göre yama uygulamaktan kaçının, veriler değiştikçe yeniden sıralayın ve modeli belgeleyin. Sırada, önceliklendirilmiş bulguları yama yönetimi ve SLA'lar aracılığıyla tamamlanmış düzeltmelere dönüştüreceğiz.