Pengimbas kerentanan mengimbas sistem untuk sebarang kerentanan yang disenaraikan sebagai CVE dan memasukkannya ke dalam barisan untuk pemulihan. Tetapi itu masih meninggalkan pasukan IT dengan persoalan penting: Adakah kerentanan ini memerlukan tindakan segera, atau bolehkah ia menunggu di sebalik risiko yang lebih mendesak?
Ini menjadi lebih sukar apabila pasukan menguruskan beribu-ribu kelemahan merentasi titik akhir, aplikasi dan infrastruktur. Skor keterukan memberikan konteks yang berguna, tetapi ia tidak selalu menunjukkan sama ada penyerang secara aktif mengeksploitasi kelemahan dalam persekitaran dunia sebenar.
Katalog CISA KEV membantu mengisi jurang tersebut. Ia mengenal pasti kelemahan dengan bukti eksploitasi yang disahkan. Ini memberi isyarat tambahan kepada pasukan IT dan keselamatan untuk mengutamakan pemulihan berdasarkan aktiviti penyerang sebenar dan bukannya tahap keterukan sahaja.
Apakah CISA?
Agensi Keselamatan Siber dan Infrastruktur (CISA) ialah agensi persekutuan AS dalam Jabatan Keselamatan Dalam Negeri. Ia bertujuan untuk meminimumkan risiko keselamatan siber dan IT yang menjejaskan organisasi kerajaan, infrastruktur kritikal, perniagaan dan ekosistem digital yang lebih luas.
Sebagai sebahagian daripada peranan ini, CISA menerbitkan panduan keselamatan siber, amaran, maklumat kerentanan dan sumber lain yang boleh digunakan oleh organisasi untuk memperkukuh postur keselamatan mereka. Salah satu sumber tersebut ialah katalog KEV.
Apakah KEV?
Kerentanan Eksploitasi yang Diketahui (KEV) merujuk kepada kerentanan keselamatan yang mana terdapat bukti yang boleh dipercayai bahawa penyerang telah mengeksploitasinya dalam persekitaran dunia sebenar.
Kerentanan yang secara teknikalnya boleh dieksploitasi tidak secara automatik menjadikannya KEV. Menurut kriteria yang diterangkan untuk katalog oleh CISA, kerentanan mesti mempunyai pengecam CVE, bukti eksploitasi yang terbukti oleh penyerang dan panduan pemulihan yang boleh diambil tindakan sebelum ia layak untuk dimasukkan.
Ini menjadikan KEV metrik penting untuk mengutamakan kerentanan. Daripada menunjukkan apa yang penyerang kekuatan mengeksploitasi, ia menonjolkan kelemahan yang telah ditunjukkan oleh penyerang sebagai keupayaan dan kesediaan untuk digunakan.
Apakah katalog CISA KEV?
Katalog CISA KEV ialah senarai kelemahan perkakasan dan perisian yang tersedia secara umum dan dikemas kini secara berterusan yang telah dieksploitasi secara aktif dalam serangan dunia sebenar.
Setiap kelemahan dalam katalog dikaitkan dengan maklumat yang membantu pasukan mengenal pasti dan menyelesaikan masalah, termasuk butiran seperti:
- Pengecam CVE
- Penjual dan produk yang terjejas
- Nama dan perihalan kerentanan
- Tarikh kerentanan ditambah
- Tindakan pemulihan yang diperlukan
- Tarikh akhir pemulihan
- Nota atau rujukan yang berkaitan
Katalog ini bertindak sebagai lebih daripada sekadar pangkalan data kerentanan dan menyediakan organisasi dengan subset kerentanan yang diketahui di mana eksploitasi dunia sebenar telah pun diwujudkan.
CISA sebelum ini menggunakan katalog tersebut sebagai sebahagian daripada Arahan Operasi Pengikat (BOD) 22-01. Walau bagaimanapun, arahan tersebut telah digantikan oleh BOD 26-04, yang kini mewajibkan agensi Cawangan Eksekutif Awam Persekutuan AS untuk memperbaiki kelemahan yang disenaraikan menggunakan pendekatan berperingkat berasaskan risiko dan bukannya tarikh akhir yang tetap. Organisasi lain yang tidak tertakluk kepada keperluan persekutuan ini masih boleh menggunakan KEV sebagai input untuk keutamaan dan penentuan kelemahan mereka sendiri. proses menampal.
KEV vs. CVE: Apakah perbezaannya?
KEV dan CVE berkait rapat, tetapi ia mempunyai tujuan yang berbeza.
CVE ialah katalog keselamatan komputer dan kelemahan perisian yang didedahkan secara terbuka. Pengecam CVE memberikan pasukan keselamatan, vendor, pengimbas dan alatan lain rujukan umum untuk membincangkan kelemahan yang sama.
KEV, sebaliknya, menunjukkan bahawa CVE mempunyai bukti eksploitasi dalam serangan dunia sebenar. Oleh itu, setiap entri KEV mempunyai pengecam CVE, tetapi hanya sebahagian kecil CVE yang menjadi sebahagian daripada katalog KEV.
| Aspek | CVE | KEV |
|---|---|---|
| Ditubuhkan oleh | Perbadanan MITER | CISA |
| Tujuan | Mengenal pasti kelemahan yang diketahui umum | Mengenal pasti kelemahan yang diketahui telah dieksploitasi |
| Apa yang diberitahunya kepada pasukan IT | Kerentanan wujud | Penyerang telah mengeksploitasi kelemahan di alam liar |
| Skop | Katalog luas kelemahan yang didedahkan secara terbuka | Subset CVE yang lebih kecil dan dikurasi |
| Eksploitasi Terbukti | Tidak | Ya |
| Penggunaan utama | Pengenalpastian dan pengesanan kerentanan | Pengutamaan dan pemulihan kerentanan |
| Panduan pemulihan | Bergantung pada maklumat vendor atau kelemahan yang disertakan | Termasuk tindakan yang diperlukan untuk entri katalog |
Perbezaan ini menjadi penting semasa penentuan keutamaan. Pengimbas mungkin mengenal pasti banyak CVE merentasi persekitaran, termasuk beberapa dengan penarafan keterukan yang tinggi. Jika sebahagian daripada kelemahan tersebut juga muncul dalam KEV, pasukan mendapat satu lagi sebab kukuh untuk memindahkannya lebih tinggi dalam barisan pemulihan kerana eksploitasi tidak lagi bersifat teori.
KEV tidak seharusnya menggantikan pemantauan CVE yang lebih luas atau isyarat risiko lain. Kerentanan yang tidak disenaraikan dalam KEV pada masa ini masih boleh mewakili risiko serius bergantung pada keboleheksploitasian, pendedahan aset, kepentingan perniagaan dan potensi impak.
Bagaimanakah katalog KEV membantu pasukan IT?
Bagi pasukan IT yang berurusan dengan tunggakan kerentanan yang besar, KEV menyediakan cara berasaskan bukti untuk menentukan di mana sumber pemulihan harus ditumpukan.
Berikut adalah beberapa cara utama KEV dapat menyokong pengurusan kerentanan:
- Utamakan kelemahan yang dieksploitasi secara aktif: Pasukan boleh mengenal pasti CVE yang muncul dalam KEV dan menggerakkannya ke hadapan berbanding kelemahan yang mana eksploitasinya belum diperhatikan.
- Tingkatkan keutamaan tampalan: KEV memberikan pasukan pengurusan tampalan faktor keutamaan tambahan di samping skor keterukan, kritikal aset, pendedahan dan impak perniagaan.
- Kurangkan bunyi bising yang tidak perlu: KEV membantu pasukan IT menumpukan pada kelemahan yang berkaitan dengan aktiviti penyerang yang ditunjukkan dan bukannya kelemahan yang berpotensi terdedah.
- Menilai semula kelemahan sedia ada: CVE yang sebelum ini mempunyai keutamaan pemulihan yang lebih rendah mungkin memerlukan pertimbangan semula segera jika CISA kemudiannya menambahkannya kepada KEV.
- Sokong pengurusan kerentanan berasaskan risiko: KEV menambah bukti eksploitasi dunia sebenar kepada data kerentanan teknikal, membantu pasukan membuat keputusan pemulihan berdasarkan lebih daripada sekadar skor keterukan sahaja.
- Panduan tindakan pemulihan: Entri katalog mengenal pasti tindakan yang perlu diambil oleh organisasi untuk menangani sistem yang terjejas, seperti menggunakan kemas kini vendor atau mengikuti panduan mitigasi yang ditentukan.
- Dayakan keutamaan automatik: Oleh kerana maklumat KEV tersedia dalam format yang boleh dibaca mesin, organisasi boleh menggabungkannya ke dalam pengimbasan kerentanan, pentiketikan, pengurusan tampalan, atau aliran kerja keselamatan untuk menandakan sistem yang terjejas dengan lebih pantas.
Contohnya, katakan pengimbas kerentanan mengesan dua kerentanan: satu mempunyai skor keterukan yang sangat tinggi tetapi tiada bukti eksploitasi aktif, manakala satu lagi mempunyai skor yang lebih rendah tetapi muncul dalam KEV. Keterukan kekal penting, tetapi penyenaraian KEV memberitahu pasukan IT bahawa penyerang sudah pun menggunakan kerentanan kedua terhadap sistem sebenar.
Maklumat itu boleh mengubah tampalan mana yang akan digunakan dahulu secara material.
Oleh itu, KEV paling berguna apabila digabungkan dengan konteks tambahan. Kekritikan aset, pendedahan internet, mitigasi yang tersedia, skor CVSS, risikan ancaman dan potensi impak perniagaan daripada kompromi masih harus menyumbang kepada keputusan pemulihan akhir.
Gunakan KEV sebagai isyarat untuk keutamaan kerentanan yang lebih pantas dan kontekstual
Katalog CISA KEV memberikan pasukan IT dan keselamatan cara praktikal untuk membezakan kerentanan yang hanya diketahui daripada kerentanan yang mempunyai bukti eksploitasi yang disahkan. Ini menjadikan KEV amat berguna apabila pasukan perlu memutuskan di mana kapasiti pemulihan terhad harus difokuskan.
Veltar perisian pengurusan kerentanan membawa konteks ini kepada kelemahan titik akhir dengan menggabungkan data CISA KEV dengan CVSS, EPSS dan konteks titik akhir. Ini membantu pasukan IT menyasarkan kelemahan dengan aktiviti eksploitasi yang disahkan, memahami titik akhir terurus yang terjejas dan mengutamakan pemulihan berdasarkan lebih daripada sekadar tahap keterukan sahaja.
