Uno scanner di vulnerabilità analizza il sistema alla ricerca di vulnerabilità elencate come CVE e le mette in coda per la risoluzione. Tuttavia, questo lascia i team IT con un interrogativo importante: questa vulnerabilità richiede un intervento immediato o può attendere la risoluzione di rischi più urgenti?
La situazione si complica quando i team devono gestire migliaia di vulnerabilità su endpoint, applicazioni e infrastrutture. I punteggi di gravità forniscono un contesto utile, ma non sempre indicano se gli aggressori stanno effettivamente sfruttando una vulnerabilità in ambienti reali.
Il catalogo CISA KEV contribuisce a colmare questa lacuna. Identifica le vulnerabilità con prove confermate di sfruttamento. Ciò fornisce ai team IT e di sicurezza un ulteriore indicatore per dare priorità alle attività di risoluzione in base all'effettiva attività degli aggressori, anziché alla sola gravità.
Cos'è CISA?
La Cybersecurity and Infrastructure Security Agency (CISA) è un'agenzia federale statunitense che opera all'interno del Dipartimento della Sicurezza Interna. Il suo obiettivo è ridurre al minimo i rischi informatici e di sicurezza delle infrastrutture che interessano le organizzazioni governative, le infrastrutture critiche, le imprese e l'intero ecosistema digitale.
Nell'ambito di questo ruolo, la CISA pubblica linee guida sulla sicurezza informatica, avvisi, informazioni sulle vulnerabilità e altre risorse che le organizzazioni possono utilizzare per rafforzare la propria postura di sicurezza. Una di queste risorse è il catalogo KEV.
Che cos'è KEV?
Le vulnerabilità note sfruttate (KEV, Known Exploited Vulnerabilities) si riferiscono a vulnerabilità di sicurezza per le quali esistono prove attendibili che gli aggressori le abbiano sfruttate in ambienti reali.
Il fatto che una vulnerabilità sia tecnicamente sfruttabile non la rende automaticamente una KEV (Key Evidence Valuable). Secondo i criteri descritti per il catalogo dalla CISA, una vulnerabilità deve avere un identificatore CVE, prove comprovate di sfruttamento da parte di un aggressore e indicazioni concrete per la sua risoluzione prima di poter essere inclusa.
Questo rende KEV una metrica importante per dare priorità alle vulnerabilità. Invece di mostrare cosa un attaccante forza sfrutta le vulnerabilità, evidenziando quelle che gli aggressori hanno già dimostrato di saper e voler utilizzare.
Cos'è il catalogo CISA KEV?
Il catalogo CISA KEV è un elenco pubblico, costantemente aggiornato, di vulnerabilità hardware e software che sono state attivamente sfruttate in attacchi reali.
Ogni vulnerabilità presente nel catalogo è associata a informazioni che aiutano i team a identificare e risolvere il problema, tra cui dettagli quali:
- Identificatore CVE
- Fornitore e prodotto interessati
- Nome e descrizione della vulnerabilità
- Data in cui è stata aggiunta la vulnerabilità
- Interventi di bonifica richiesti
- Data di scadenza per la bonifica
- Note o riferimenti pertinenti
Il catalogo funge da molto più di un semplice database di vulnerabilità: fornisce alle organizzazioni un sottoinsieme mirato di vulnerabilità note per le quali è già stata dimostrata la possibilità di sfruttamento nel mondo reale.
In precedenza, la CISA utilizzava il catalogo come parte della Direttiva Operativa Vincolante (BOD) 22-01. Tuttavia, tale direttiva è stata sostituita dalla BOD 26-04, che ora richiede alle agenzie federali statunitensi del ramo esecutivo civile di porre rimedio alle vulnerabilità elencate utilizzando un approccio a livelli basato sul rischio piuttosto che scadenze fisse. Altre organizzazioni che non sono soggette a questi requisiti federali possono comunque utilizzare KEV come input per la propria prioritizzazione delle vulnerabilità e processi di patch.
KEV vs. CVE: qual è la differenza?
KEV e CVE sono strettamente correlati, ma servono a scopi diversi.
CVE è un catalogo pubblico di vulnerabilità di sicurezza informatica e software. Un identificatore CVE fornisce ai team di sicurezza, ai fornitori, agli scanner e ad altri strumenti un riferimento comune per discutere della stessa vulnerabilità.
Un KEV, d'altro canto, indica che una CVE presenta prove di sfruttamento in attacchi reali. Ogni voce KEV ha quindi un identificatore CVE, ma solo un piccolo sottoinsieme di CVE entra a far parte del catalogo KEV.
| Aspetto | CVE | KEV |
|---|---|---|
| Stabilito da | MITER Corporation | CISA |
| Missione | Identifica una vulnerabilità nota pubblicamente | Identifica le vulnerabilità note che sono state sfruttate |
| Cosa comunica ai team IT | Esiste una vulnerabilità | Gli aggressori hanno sfruttato la vulnerabilità in natura |
| Obbiettivo | Ampio catalogo di vulnerabilità divulgate pubblicamente | Sottoinsieme più piccolo e selezionato di CVE |
| Sfruttamento comprovato | Nodo | Si |
| Uso primario | Identificazione e monitoraggio delle vulnerabilità | Prioritizzazione e risoluzione delle vulnerabilità |
| Guida alla bonifica | Dipende dal fornitore o dalle informazioni sulla vulnerabilità allegate | Include un'azione obbligatoria per le voci del catalogo |
Questa distinzione diventa importante durante la fase di definizione delle priorità. Uno scanner può identificare numerose CVE in un ambiente, incluse diverse con un elevato livello di gravità. Se alcune di queste vulnerabilità compaiono anche in KEV, i team hanno un ulteriore valido motivo per inserirle in cima alla coda di correzione, poiché lo sfruttamento non è più un'ipotesi teorica.
KEV non deve sostituire un monitoraggio più ampio delle vulnerabilità CVE o altri segnali di rischio. Le vulnerabilità attualmente non elencate in KEV possono comunque rappresentare rischi seri a seconda della sfruttabilità, dell'esposizione degli asset, dell'importanza aziendale e del potenziale impatto.
In che modo il catalogo KEV aiuta i team IT?
Per i team IT che si trovano a gestire un elevato numero di vulnerabilità arretrate, KEV offre un metodo basato su dati concreti per decidere dove concentrare le risorse per la risoluzione dei problemi.
Ecco alcuni dei principali modi in cui KEV può supportare la gestione delle vulnerabilità:
- Dare priorità alle vulnerabilità attivamente sfruttate: I team possono identificare le CVE che compaiono in KEV e dar loro la priorità rispetto alle vulnerabilità per le quali non è stato osservato alcuno sfruttamento.
- Migliorare la prioritizzazione delle patch: KEV offre ai team di gestione delle patch un ulteriore fattore di prioritizzazione, oltre ai punteggi di gravità, alla criticità delle risorse, all'esposizione e all'impatto sul business.
- Elimina i rumori superflui: KEV aiuta i team IT a concentrarsi sulle vulnerabilità associate ad attività di attacco comprovate, piuttosto che su quelle potenzialmente esposte.
- Rivalutare le vulnerabilità esistenti: Una vulnerabilità CVE che in precedenza aveva una priorità di bonifica inferiore potrebbe richiedere una riconsiderazione immediata se la CISA la aggiunge successivamente al KEV.
- Sostenere la gestione della vulnerabilità basata sul rischio: KEV aggiunge prove di sfruttamento reali ai dati tecnici sulle vulnerabilità, aiutando i team a prendere decisioni di bonifica basate su qualcosa di più dei soli punteggi di gravità.
- Guida alle azioni di bonifica: Le voci del catalogo identificano le azioni che le organizzazioni dovrebbero intraprendere per risolvere i problemi dei sistemi interessati, come ad esempio applicare gli aggiornamenti del fornitore o seguire le linee guida di mitigazione specificate.
- Abilita la prioritizzazione automatica: Poiché le informazioni KEV sono disponibili in formati leggibili dalle macchine, le organizzazioni possono incorporarle nella scansione delle vulnerabilità, nella gestione dei ticket, gestione delle patcho flussi di lavoro di sicurezza per segnalare più rapidamente i sistemi interessati.
Ad esempio, supponiamo che uno scanner di vulnerabilità rilevi due vulnerabilità: una ha un punteggio di gravità molto elevato ma nessuna prova di sfruttamento attivo, mentre l'altra ha un punteggio inferiore ma è presente nel database KEV. La gravità rimane importante, ma la presenza nel database KEV indica al team IT che gli aggressori stanno già sfruttando la seconda vulnerabilità contro sistemi reali.
Queste informazioni possono influenzare in modo sostanziale l'ordine in cui viene implementata la patch.
KEV risulta quindi più utile se combinato con un contesto aggiuntivo. La criticità delle risorse, l'esposizione a Internet, le misure di mitigazione disponibili, i punteggi CVSS, le informazioni sulle minacce e il potenziale impatto aziendale di una violazione dovrebbero comunque contribuire alla decisione finale in merito alla bonifica.
Utilizzare KEV come segnale per una prioritizzazione delle vulnerabilità più rapida e contestualizzata.
Il catalogo CISA KEV offre ai team IT e di sicurezza un modo pratico per distinguere le vulnerabilità semplicemente note da quelle per le quali è stata confermata l'effettiva sfruttamento. Questo rende KEV particolarmente utile quando i team devono decidere su quali aree concentrare le limitate risorse per la risoluzione dei problemi.
Veloce software di gestione delle vulnerabilità Questo contesto viene applicato alle vulnerabilità degli endpoint combinando i dati CISA KEV con CVSS, EPSS e il contesto degli endpoint stessi. Ciò aiuta i team IT a individuare le vulnerabilità con attività di sfruttamento confermate, a comprendere quali endpoint gestiti sono interessati e a dare priorità alle attività di correzione in base a criteri che vanno oltre la semplice gravità.
