Pemindai kerentanan memindai sistem untuk mencari kerentanan apa pun yang terdaftar sebagai CVE dan mengantrekannya untuk perbaikan. Namun, hal itu masih menyisakan pertanyaan penting bagi tim TI: Apakah kerentanan ini memerlukan tindakan segera, atau dapatkah menunggu di balik risiko yang lebih mendesak?
Hal ini menjadi lebih sulit ketika tim mengelola ribuan kerentanan di berbagai titik akhir, aplikasi, dan infrastruktur. Skor tingkat keparahan memberikan konteks yang berguna, tetapi tidak selalu menunjukkan apakah penyerang secara aktif mengeksploitasi kerentanan di lingkungan dunia nyata.
Katalog CISA KEV membantu mengisi kesenjangan tersebut. Katalog ini mengidentifikasi kerentanan dengan bukti eksploitasi yang telah dikonfirmasi. Hal ini memberikan sinyal tambahan kepada tim TI dan keamanan untuk memprioritaskan perbaikan berdasarkan aktivitas penyerang yang sebenarnya, bukan hanya berdasarkan tingkat keparahan saja.
Apa itu CISA?
Badan Keamanan Siber dan Infrastruktur (CISA) adalah badan federal AS di bawah Departemen Keamanan Dalam Negeri. Tujuannya adalah untuk meminimalkan risiko keamanan siber dan TI yang memengaruhi organisasi pemerintah, infrastruktur penting, bisnis, dan ekosistem digital yang lebih luas.
Sebagai bagian dari peran ini, CISA menerbitkan panduan keamanan siber, peringatan, informasi kerentanan, dan sumber daya lain yang dapat digunakan organisasi untuk memperkuat postur keamanan mereka. Salah satu sumber daya tersebut adalah katalog KEV.
Apa itu KEV?
Kerentanan yang Diketahui dan Dieksploitasi (Known Exploited Vulnerabilities/KEVs) merujuk pada kerentanan keamanan yang memiliki bukti yang dapat diandalkan bahwa penyerang telah mengeksploitasinya di lingkungan dunia nyata.
Suatu kerentanan yang secara teknis dapat dieksploitasi tidak secara otomatis menjadikannya sebuah KEV (Key Evidence of Verification). Menurut kriteria yang dijelaskan untuk katalog oleh CISA, suatu kerentanan harus memiliki pengidentifikasi CVE, bukti nyata eksploitasi oleh penyerang, dan panduan perbaikan yang dapat ditindaklanjuti sebelum memenuhi syarat untuk dimasukkan.
Hal ini menjadikan KEV sebagai metrik penting untuk memprioritaskan kerentanan. Alih-alih menunjukkan apa yang dilakukan penyerang mungkin Dengan mengeksploitasi, hal ini menyoroti kerentanan yang telah ditunjukkan oleh para penyerang, baik dari segi kemampuan maupun kemauan untuk memanfaatkannya.
Apa itu katalog CISA KEV?
Katalog CISA KEV adalah daftar kerentanan perangkat keras dan perangkat lunak yang tersedia untuk umum dan terus diperbarui, yang telah dieksploitasi secara aktif dalam serangan dunia nyata.
Setiap kerentanan dalam katalog dikaitkan dengan informasi yang membantu tim mengidentifikasi dan memperbaiki masalah tersebut, termasuk detail seperti:
- Pengidentifikasi CVE
- Vendor dan produk yang terpengaruh
- Nama dan deskripsi kerentanan
- Tanggal kerentanan ditambahkan
- Tindakan perbaikan yang diperlukan
- Tanggal jatuh tempo perbaikan
- Catatan atau referensi yang relevan
Katalog ini berfungsi lebih dari sekadar basis data kerentanan biasa, tetapi juga menyediakan organisasi dengan subset kerentanan yang diketahui dan terfokus, di mana eksploitasi di dunia nyata telah terbukti.
Sebelumnya, CISA menggunakan katalog tersebut sebagai bagian dari Arahan Operasional Mengikat (Binding Operational Directive/BOD) 22-01. Namun, arahan tersebut digantikan oleh BOD 26-04, yang sekarang mewajibkan lembaga-lembaga Cabang Eksekutif Sipil Federal AS untuk memperbaiki kerentanan yang terdaftar menggunakan pendekatan bertingkat berbasis risiko, bukan tenggat waktu tetap. Organisasi lain yang tidak tunduk pada persyaratan federal ini masih dapat menggunakan KEV sebagai masukan untuk prioritas kerentanan mereka sendiri. proses penambalan.
KEV vs. CVE: Apa perbedaannya?
KEV dan CVE sangat berkaitan, tetapi keduanya memiliki tujuan yang berbeda.
CVE adalah katalog kerentanan keamanan komputer dan perangkat lunak yang diungkapkan secara publik. Pengidentifikasi CVE memberikan referensi umum bagi tim keamanan, vendor, pemindai, dan alat lainnya untuk membahas kerentanan yang sama.
Sebaliknya, KEV menunjukkan bahwa CVE memiliki bukti eksploitasi dalam serangan dunia nyata. Oleh karena itu, setiap entri KEV memiliki pengidentifikasi CVE, tetapi hanya sebagian kecil CVE yang menjadi bagian dari katalog KEV.
| Aspek | CVE | Kev |
|---|---|---|
| Didirikan oleh | MITER Corporation | CISA |
| Tujuan | Mengidentifikasi kerentanan yang diketahui publik. | Mengidentifikasi kerentanan yang diketahui telah dieksploitasi. |
| Apa yang disampaikannya kepada tim TI | Terdapat kerentanan. | Para penyerang telah mengeksploitasi kerentanan tersebut di dunia nyata. |
| Cakupan | Katalog lengkap kerentanan yang diungkapkan kepada publik. | Subset CVE yang lebih kecil dan terpilih. |
| Eksploitasi yang Terbukti | Tidak | Ya |
| Penggunaan utama | Identifikasi dan pelacakan kerentanan | Prioritas dan perbaikan kerentanan |
| Panduan perbaikan | Tergantung pada vendor atau informasi kerentanan yang menyertainya. | Termasuk tindakan yang diperlukan untuk entri katalog. |
Perbedaan ini menjadi penting selama proses prioritas. Pemindai dapat mengidentifikasi banyak CVE di seluruh lingkungan, termasuk beberapa dengan peringkat keparahan tinggi. Jika beberapa kerentanan tersebut juga muncul di KEV, tim mendapatkan alasan kuat lainnya untuk memindahkannya ke urutan yang lebih tinggi dalam antrian perbaikan karena eksploitasi bukan lagi sekadar teori.
KEV tidak seharusnya menggantikan pemantauan CVE yang lebih luas atau sinyal risiko lainnya. Kerentanan yang saat ini tidak tercantum dalam KEV masih dapat menimbulkan risiko serius tergantung pada kemungkinan eksploitasi, paparan aset, kepentingan bisnis, dan potensi dampaknya.
Bagaimana katalog KEV membantu tim TI?
Bagi tim TI yang menangani tumpukan kerentanan yang besar, KEV menyediakan cara berbasis bukti untuk memutuskan di mana sumber daya perbaikan harus dipusatkan.
Berikut beberapa cara utama KEV dapat mendukung manajemen kerentanan:
- Prioritaskan kerentanan yang dieksploitasi secara aktif: Tim dapat mengidentifikasi CVE yang muncul di KEV dan memprioritaskannya di atas kerentanan yang belum ditemukan eksploitasinya.
- Tingkatkan prioritas patch: KEV memberikan faktor prioritas tambahan kepada tim manajemen patch di samping skor tingkat keparahan, kekritisan aset, paparan, dan dampak bisnis.
- Singkirkan kebisingan yang tidak perlu: KEV membantu tim TI untuk fokus pada kerentanan yang terkait dengan aktivitas penyerang yang telah terbukti, bukan pada kerentanan yang berpotensi terekspos.
- Menilai kembali kerentanan yang ada: Kerentanan keamanan siber (CVE) yang sebelumnya memiliki prioritas perbaikan lebih rendah mungkin memerlukan pertimbangan ulang segera jika CISA kemudian menambahkannya ke KEV.
- Mendukung manajemen kerentanan berbasis risiko: KEV menambahkan bukti eksploitasi dunia nyata ke data kerentanan teknis, membantu tim membuat keputusan perbaikan berdasarkan lebih dari sekadar skor tingkat keparahan.
- Panduan tindakan perbaikan: Entri katalog mengidentifikasi tindakan yang harus diambil organisasi untuk mengatasi sistem yang terpengaruh, seperti menerapkan pembaruan vendor atau mengikuti panduan mitigasi yang ditentukan.
- Aktifkan prioritas otomatis: Karena informasi KEV tersedia dalam format yang dapat dibaca mesin, organisasi dapat mengintegrasikannya ke dalam pemindaian kerentanan, pembuatan tiket, manajemen tambalanatau alur kerja keamanan untuk menandai sistem yang terpengaruh dengan lebih cepat.
Sebagai contoh, anggaplah pemindai kerentanan mendeteksi dua kerentanan: satu memiliki skor tingkat keparahan yang sangat tinggi tetapi tidak ada bukti eksploitasi aktif, sementara yang lain memiliki skor lebih rendah tetapi muncul di KEV. Tingkat keparahan tetap penting, tetapi daftar KEV memberi tahu tim TI bahwa penyerang sudah menggunakan kerentanan kedua terhadap sistem nyata.
Informasi tersebut dapat secara signifikan mengubah patch mana yang akan diterapkan terlebih dahulu.
Oleh karena itu, KEV paling berguna bila dikombinasikan dengan konteks tambahan. Tingkat kekritisan aset, paparan internet, mitigasi yang tersedia, skor CVSS, intelijen ancaman, dan potensi dampak bisnis dari suatu pelanggaran tetap harus menjadi pertimbangan dalam pengambilan keputusan remediasi akhir.
Gunakan KEV sebagai sinyal untuk prioritas kerentanan yang lebih cepat dan kontekstual.
Katalog KEV CISA memberi tim TI dan keamanan cara praktis untuk membedakan kerentanan yang hanya diketahui dari kerentanan yang memiliki bukti eksploitasi yang terkonfirmasi. Hal ini membuat KEV sangat berguna ketika tim perlu memutuskan di mana kapasitas perbaikan yang terbatas harus difokuskan.
Veltar perangkat lunak manajemen kerentanan Hal ini memberikan konteks pada kerentanan endpoint dengan menggabungkan data CISA KEV dengan CVSS, EPSS, dan konteks endpoint. Ini membantu tim TI menargetkan kerentanan dengan aktivitas eksploitasi yang telah dikonfirmasi, memahami endpoint terkelola mana yang terpengaruh, dan memprioritaskan perbaikan berdasarkan lebih dari sekadar tingkat keparahan.
