Ein Schwachstellenscanner durchsucht das System nach Schwachstellen, die als CVEs gelistet sind, und reiht sie zur Behebung in die Warteschlange ein. Doch damit bleibt für IT-Teams eine wichtige Frage offen: Ist bei dieser Schwachstelle sofortiges Handeln erforderlich, oder kann sie hinter dringenderen Risiken zurückgestellt werden?
Dies wird schwieriger, wenn Teams Tausende von Schwachstellen in Endpunkten, Anwendungen und der Infrastruktur verwalten müssen. Schweregradbewertungen liefern zwar nützlichen Kontext, zeigen aber nicht immer an, ob Angreifer eine Schwachstelle in realen Umgebungen aktiv ausnutzen.
Der CISA KEV-Katalog hilft, diese Lücke zu schließen. Er identifiziert Schwachstellen, deren Ausnutzung bestätigt ist. Dies liefert IT- und Sicherheitsteams ein zusätzliches Signal, um die Behebung anhand der tatsächlichen Angreiferaktivitäten und nicht allein anhand des Schweregrads zu priorisieren.
Was ist CISA?
Die Cybersecurity and Infrastructure Security Agency (CISA) ist eine US-Bundesbehörde innerhalb des Ministeriums für Innere Sicherheit. Ihr Ziel ist die Minimierung von Cybersicherheits- und IT-Risiken, die Regierungsorganisationen, kritische Infrastrukturen, Unternehmen und das gesamte digitale Ökosystem betreffen.
Im Rahmen dieser Aufgabe veröffentlicht CISA Leitfäden zur Cybersicherheit, Warnmeldungen, Informationen zu Schwachstellen und weitere Ressourcen, die Organisationen zur Verbesserung ihrer Sicherheitslage nutzen können. Eine dieser Ressourcen ist der KEV-Katalog.
Was ist KEV?
Bekannte ausgenutzte Schwachstellen (KEVs) sind Sicherheitslücken, für die es verlässliche Beweise dafür gibt, dass Angreifer sie in realen Umgebungen ausgenutzt haben.
Eine technisch ausnutzbare Schwachstelle wird nicht automatisch zu einer KVE (Key Exchange Vulnerability). Gemäß den von CISA für den Katalog beschriebenen Kriterien muss eine Schwachstelle eine CVE-Kennung, nachweisliche Belege für die Ausnutzung durch einen Angreifer und konkrete Handlungsempfehlungen zur Behebung aufweisen, um in den Katalog aufgenommen zu werden.
Dies macht KEV zu einer wichtigen Kennzahl für die Priorisierung von Schwachstellen. Anstatt anzuzeigen, was ein Angreifer könnte Es deckt Schwachstellen auf, deren Ausnutzung Angreifer bereits erfolgreich gezeigt haben.
Was ist der CISA KEV-Katalog?
Der CISA KEV-Katalog ist eine öffentlich zugängliche, ständig aktualisierte Liste von Hardware- und Software-Schwachstellen, die aktiv in Angriffen in der realen Welt ausgenutzt wurden.
Jede Schwachstelle im Katalog ist mit Informationen verknüpft, die Teams dabei helfen, das Problem zu identifizieren und zu beheben, einschließlich Details wie:
- CVE-Kennung
- Betroffener Händler und Produkt
- Name und Beschreibung der Sicherheitslücke
- Datum, an dem die Sicherheitslücke hinzugefügt wurde
- Erforderliche Abhilfemaßnahmen
- Fälligkeitsdatum der Nachbesserung
- Relevante Anmerkungen oder Verweise
Der Katalog dient nicht nur als weitere Schwachstellendatenbank, sondern bietet Organisationen eine gezielte Auswahl bekannter Schwachstellen, deren Ausnutzung in der Praxis bereits nachgewiesen wurde.
CISA nutzte den Katalog zuvor im Rahmen der verbindlichen operativen Richtlinie (BOD) 22-01. Diese Richtlinie wurde jedoch durch BOD 26-04 ersetzt, die nun US-Bundesbehörden der Exekutive verpflichtet, die aufgeführten Schwachstellen mithilfe eines gestaffelten, risikobasierten Ansatzes anstatt nach festen Fristen zu beheben. Andere Organisationen, die diesen Bundesvorgaben nicht unterliegen, können KEV weiterhin als Grundlage für ihre eigene Schwachstellenpriorisierung nutzen. Patching-Prozesse.
KEV vs. CVE: Worin besteht der Unterschied?
KEV und CVE sind eng verwandt, dienen aber unterschiedlichen Zwecken.
CVE ist ein öffentlich zugänglicher Katalog von Computersicherheits- und Software-Schwachstellen. Eine CVE-Kennung dient Sicherheitsteams, Anbietern, Scannern und anderen Tools als gemeinsame Referenz für die Diskussion derselben Schwachstelle.
Ein KEV hingegen bedeutet, dass für eine CVE Hinweise auf Ausnutzung in realen Angriffen vorliegen. Jeder KEV-Eintrag enthält daher eine CVE-Kennung, aber nur ein kleiner Teil der CVEs wird in den KEV-Katalog aufgenommen.
| Aspekt | CVE | KEV |
|---|---|---|
| Gegründet von | MITRE Corporation | CISA |
| Zweck | Identifiziert eine öffentlich bekannte Schwachstelle | Identifiziert Schwachstellen, von denen bekannt ist, dass sie ausgenutzt wurden. |
| Was es IT-Teams mitteilt | Es besteht eine Sicherheitslücke. | Angreifer haben die Schwachstelle in freier Wildbahn ausgenutzt. |
| Geltungsbereich | Breiter Katalog öffentlich bekannt gewordener Schwachstellen | Kleinere, kuratierte Teilmenge von CVEs |
| Bewiesene Ausnutzung | Nein | Ja |
| Hauptnutzen | Schwachstellenidentifizierung und -verfolgung | Priorisierung und Behebung von Schwachstellen |
| Leitfaden zur Sanierung | Hängt von den jeweiligen Anbieter- oder Schwachstelleninformationen ab. | Beinhaltet eine erforderliche Aktion für Katalogeinträge |
Diese Unterscheidung wird bei der Priorisierung wichtig. Ein Scanner kann zahlreiche CVEs in einer Umgebung identifizieren, darunter mehrere mit hoher Schwere. Wenn einige dieser Schwachstellen auch in KEV auftauchen, haben die Teams einen weiteren triftigen Grund, sie in der Behebungsliste weiter oben zu platzieren, da ihre Ausnutzung nun nicht mehr nur theoretisch ist.
KEV sollte die umfassendere CVE-Überwachung oder andere Risikosignale nicht ersetzen. Schwachstellen, die derzeit nicht in KEV aufgeführt sind, können je nach Ausnutzbarkeit, Gefährdung von Assets, geschäftlicher Bedeutung und potenziellen Auswirkungen dennoch ein ernstes Risiko darstellen.
Wie unterstützt der KEV-Katalog IT-Teams?
Für IT-Teams, die mit großen Sicherheitslücken bei der Behebung von Sicherheitslücken zu kämpfen haben, bietet KEV eine evidenzbasierte Methode, um zu entscheiden, wo die Ressourcen für die Behebung konzentriert werden sollten.
Hier sind einige der wichtigsten Möglichkeiten, wie KEV das Schwachstellenmanagement unterstützen kann:
- Priorisieren Sie aktiv ausgenutzte Schwachstellen: Teams können CVEs identifizieren, die in KEV erscheinen, und diese vor Schwachstellen verschieben, für die noch keine Ausnutzung beobachtet wurde.
- Verbesserung der Patch-Priorisierung: KEV bietet Patch-Management-Teams einen zusätzlichen Priorisierungsfaktor neben Schweregrad, Kritikalität der Assets, Gefährdung und geschäftlichen Auswirkungen.
- Unnötigen Lärm ausblenden: KEV hilft IT-Teams dabei, sich auf Schwachstellen zu konzentrieren, die mit nachgewiesenen Angreiferaktivitäten zusammenhängen, anstatt auf solche mit potenziellem Gefährdungspotenzial.
- Bestehende Schwachstellen neu bewerten: Eine CVE, die zuvor eine niedrigere Priorität für die Behebung hatte, muss möglicherweise sofort neu bewertet werden, wenn CISA sie später in KEV aufnimmt.
- Unterstützung eines risikobasierten Schwachstellenmanagements: KEV ergänzt die Daten zu technischen Schwachstellen um reale Beweise für deren Ausnutzung und hilft Teams so, Entscheidungen zur Behebung von Sicherheitslücken nicht nur auf der Grundlage von Schweregradwerten zu treffen.
- Leitfaden für Abhilfemaßnahmen: Die Katalogeinträge beschreiben Maßnahmen, die Organisationen ergreifen sollten, um betroffene Systeme zu beheben, wie z. B. die Installation von Herstelleraktualisierungen oder die Befolgung bestimmter Abhilfemaßnahmen.
- Automatisierte Priorisierung aktivieren: Da KEV-Informationen in maschinenlesbaren Formaten verfügbar sind, können Organisationen sie in Schwachstellenscans und Ticketingsysteme integrieren. Patch-Managementoder Sicherheitsworkflows, um betroffene Systeme schneller zu kennzeichnen.
Angenommen, ein Schwachstellenscanner entdeckt zwei Schwachstellen: Eine hat einen sehr hohen Schweregrad, aber keine Anzeichen für eine aktive Ausnutzung, während die andere einen niedrigeren Schweregrad aufweist, aber in der KEV-Liste aufgeführt ist. Der Schweregrad ist weiterhin wichtig, aber der Eintrag in der KEV-Liste signalisiert dem IT-Team, dass Angreifer die zweite Schwachstelle bereits gegen reale Systeme ausnutzen.
Diese Informationen können maßgeblich beeinflussen, welcher Patch zuerst eingespielt wird.
KEV ist daher am nützlichsten, wenn es mit zusätzlichen Kontextinformationen kombiniert wird. Die Kritikalität der Assets, die Internetanbindung, verfügbare Gegenmaßnahmen, CVSS-Bewertungen, Bedrohungsanalysen und die potenziellen geschäftlichen Auswirkungen einer Kompromittierung sollten weiterhin in die endgültige Entscheidung über die Behebungsmaßnahmen einfließen.
Nutzen Sie KEV als Signal für eine schnellere und kontextbezogenere Priorisierung von Schwachstellen.
Der CISA KEV-Katalog bietet IT- und Sicherheitsteams eine praktische Möglichkeit, bekannte Schwachstellen von solchen mit nachgewiesener Ausnutzung zu unterscheiden. Dadurch ist KEV besonders nützlich, wenn Teams entscheiden müssen, wo begrenzte Kapazitäten zur Behebung von Schwachstellen eingesetzt werden sollen.
Veltar Schwachstellen-Management-Software Dieser Ansatz stellt Endpunkt-Schwachstellen in einen größeren Kontext dar, indem er CISA-KEV-Daten mit CVSS, EPSS und dem Endpunktkontext kombiniert. Dies unterstützt IT-Teams dabei, Schwachstellen mit bestätigter Ausnutzungsaktivität gezielt zu identifizieren, die betroffenen verwalteten Endpunkte zu ermitteln und die Behebung nicht nur anhand des Schweregrads zu priorisieren.
