Un outil d'analyse de vulnérabilités recherche dans le système les failles répertoriées sous forme de CVE et les met en file d'attente pour correction. Cependant, une question importante demeure pour les équipes informatiques : cette vulnérabilité exige-t-elle une action immédiate, ou peut-elle attendre que des risques plus urgents soient traités ?
La situation se complique lorsque les équipes gèrent des milliers de vulnérabilités sur l'ensemble des terminaux, applications et infrastructures. Les scores de gravité fournissent un contexte utile, mais n'indiquent pas toujours si des attaquants exploitent activement une vulnérabilité en situation réelle.
Le catalogue KEV de la CISA contribue à combler cette lacune. Il recense les vulnérabilités pour lesquelles une exploitation a été confirmée. Cela fournit aux équipes informatiques et de sécurité un signal supplémentaire pour prioriser les mesures correctives en fonction de l'activité réelle des attaquants plutôt que de la seule gravité de la vulnérabilité.
CISA, qu'est-ce que c'est ?
La Cybersecurity and Infrastructure Security Agency (CISA) est une agence fédérale américaine relevant du département de la Sécurité intérieure. Elle a pour mission de minimiser les risques liés à la cybersécurité et aux technologies de l'information qui affectent les organismes gouvernementaux, les infrastructures critiques, les entreprises et l'écosystème numérique dans son ensemble.
Dans le cadre de cette mission, la CISA publie des recommandations en matière de cybersécurité, des alertes, des informations sur les vulnérabilités et d'autres ressources permettant aux organisations de renforcer leur sécurité. Le catalogue KEV constitue l'une de ces ressources.
Qu'est-ce que le KEV ?
Les vulnérabilités exploitées connues (KEV) désignent les vulnérabilités de sécurité pour lesquelles il existe des preuves fiables que des attaquants les ont exploitées dans des environnements réels.
Le fait qu'une vulnérabilité soit techniquement exploitable ne la classe pas automatiquement comme KEV (Vulnérabilité clé pour l'environnement). Selon les critères définis par la CISA pour le catalogue, une vulnérabilité doit posséder un identifiant CVE, une preuve avérée d'exploitation par un attaquant et des recommandations de remédiation concrètes pour être prise en compte.
Cela fait de KEV une métrique importante pour prioriser les vulnérabilités. Au lieu de montrer ce qu'un attaquant pourrait Cette exploitation met en lumière des vulnérabilités que les attaquants ont déjà démontré être capables et disposés à exploiter.
Qu’est-ce que le catalogue CISA KEV ?
Le catalogue KEV de la CISA est une liste publique et mise à jour en continu des vulnérabilités matérielles et logicielles qui ont été activement exploitées lors d'attaques réelles.
Chaque vulnérabilité répertoriée dans le catalogue est associée à des informations permettant aux équipes d'identifier et de corriger le problème, notamment des détails tels que :
- Identifiant CVE
- Fournisseur et produit concernés
- Nom et description de la vulnérabilité
- Date d'ajout de la vulnérabilité
- Mesures correctives requises
- Date limite de correction
- Notes ou références pertinentes
Ce catalogue va bien au-delà d'une simple base de données de vulnérabilités et fournit aux organisations un sous-ensemble ciblé de vulnérabilités connues dont l'exploitation concrète a déjà été démontrée.
La CISA utilisait auparavant ce catalogue dans le cadre de la Directive Opérationnelle Contraignante (BOD) 22-01. Cependant, cette directive a été remplacée par la BOD 26-04, qui exige désormais des agences civiles fédérales américaines relevant du pouvoir exécutif qu'elles corrigent les vulnérabilités répertoriées selon une approche par paliers et fondée sur les risques, plutôt que selon des échéances fixes. Les autres organisations non soumises à ces exigences fédérales peuvent néanmoins utiliser le KEV comme outil d'information pour leur propre priorisation des vulnérabilités. processus de correctifs.
KEV vs. CVE : Quelle est la différence ?
KEV et CVE sont étroitement liés, mais ils servent des objectifs différents.
CVE est un catalogue public de vulnérabilités informatiques et logicielles. Un identifiant CVE permet aux équipes de sécurité, aux fournisseurs, aux scanners et autres outils de disposer d'une référence commune pour parler d'une même vulnérabilité.
En revanche, une KEV indique qu'une CVE a été exploitée lors d'attaques réelles. Chaque entrée KEV possède donc un identifiant CVE, mais seul un petit sous-ensemble de CVE est intégré au catalogue KEV.
| Aspect | CVE | Kev |
|---|---|---|
| Établi par | Corporation MITRE | CISA |
| Interet | Identifie une vulnérabilité connue du public | Identifie les vulnérabilités connues pour avoir été exploitées. |
| Ce que cela révèle aux équipes informatiques | Il existe une vulnérabilité | Des attaquants ont exploité cette vulnérabilité en conditions réelles. |
| Domaine | Vaste catalogue de vulnérabilités divulguées publiquement | Sous-ensemble plus restreint et sélectionné de CVE |
| Exploitation avérée | Non | Oui |
| Utilisation principale | Identification et suivi des vulnérabilités | Priorisation et correction des vulnérabilités |
| Conseils de remédiation | Cela dépend des informations fournies par le fournisseur ou concernant la vulnérabilité. | Comprend une action requise pour les entrées de catalogue |
Cette distinction est cruciale lors de la priorisation. Un scanner peut identifier de nombreuses CVE dans un environnement, dont plusieurs avec un niveau de gravité élevé. Si certaines de ces vulnérabilités apparaissent également dans la base de connaissances sur les vulnérabilités (KEV), les équipes ont une raison supplémentaire de les prioriser, car leur exploitation n'est plus purement théorique.
La KEV ne doit pas se substituer à une surveillance plus large des CVE ni à d'autres signaux de risque. Les vulnérabilités non répertoriées dans la KEV peuvent néanmoins représenter des risques importants selon leur exploitabilité, l'exposition des actifs, leur importance pour l'entreprise et leur impact potentiel.
Comment le catalogue KEV aide-t-il les équipes informatiques ?
Pour les équipes informatiques confrontées à d'importants retards en matière de vulnérabilités, KEV offre une méthode fondée sur des preuves pour décider où concentrer les ressources de remédiation.
Voici quelques-unes des principales façons dont KEV peut soutenir la gestion des vulnérabilités :
- Prioriser les vulnérabilités activement exploitées : Les équipes peuvent identifier les CVE qui apparaissent dans le KEV et les faire passer avant les vulnérabilités dont l'exploitation n'a pas été observée.
- Améliorer la priorisation des correctifs : KEV offre aux équipes de gestion des correctifs un facteur de priorisation supplémentaire, en plus des scores de gravité, de la criticité des actifs, de l'exposition et de l'impact sur l'activité.
- Éliminer les bruits inutiles : KEV aide les équipes informatiques à se concentrer sur les vulnérabilités associées à une activité d'attaquant avérée plutôt que sur celles présentant une exposition potentielle.
- Réévaluer les vulnérabilités existantes : Une vulnérabilité CVE qui avait auparavant une priorité de correction plus faible pourrait nécessiter un réexamen immédiat si la CISA l'ajoute ultérieurement à la liste des vulnérabilités clés (KEV).
- Soutenir la gestion des vulnérabilités basée sur les risques : KEV ajoute des preuves d'exploitation concrètes aux données techniques sur les vulnérabilités, aidant ainsi les équipes à prendre des décisions de remédiation basées sur plus que les seuls scores de gravité.
- Actions correctives du guide : Les entrées du catalogue identifient les actions que les organisations doivent entreprendre pour traiter les systèmes affectés, telles que l'application des mises à jour des fournisseurs ou le respect des directives d'atténuation spécifiées.
- Activer la priorisation automatisée : Étant donné que les informations KEV sont disponibles dans des formats lisibles par machine, les organisations peuvent les intégrer dans l'analyse des vulnérabilités, la gestion des tickets, gestion des correctifsou des flux de travail de sécurité pour signaler plus rapidement les systèmes affectés.
Par exemple, supposons qu'un outil d'analyse de vulnérabilités détecte deux failles : l'une présente un score de gravité très élevé mais aucune preuve d'exploitation active, tandis que l'autre a un score plus faible mais figure dans la base de connaissances sur les vulnérabilités (KEV). La gravité reste importante, mais la présence de la seconde vulnérabilité dans la KEV indique à l'équipe informatique que des attaquants l'exploitent déjà contre des systèmes réels.
Ces informations peuvent avoir une incidence importante sur l'ordre de déploiement des correctifs.
L'analyse de la criticité des actifs (KEV) est donc plus utile lorsqu'elle est combinée à un contexte supplémentaire. La criticité des actifs, leur exposition à Internet, les mesures d'atténuation disponibles, les scores CVSS, les renseignements sur les menaces et l'impact potentiel d'une compromission sur l'activité doivent toujours être pris en compte dans la décision finale de remédiation.
Utilisez KEV comme signal pour une priorisation des vulnérabilités plus rapide et plus contextuelle.
Le catalogue KEV de la CISA offre aux équipes informatiques et de sécurité un moyen pratique de distinguer les vulnérabilités simplement connues de celles dont l'exploitation est avérée. De ce fait, le KEV s'avère particulièrement utile lorsque les équipes doivent décider où concentrer leurs ressources de remédiation limitées.
Veltar logiciel de gestion des vulnérabilités Cette approche contextualise les vulnérabilités des terminaux en combinant les données CISA KEV avec les référentiels CVSS et EPSS, ainsi qu'avec le contexte du terminal. Les équipes informatiques peuvent ainsi cibler les vulnérabilités ayant fait l'objet d'une exploitation confirmée, identifier les terminaux gérés concernés et prioriser les actions correctives en fonction de critères plus larges que la seule gravité.
