Een kwetsbaarheidsscanner scant het systeem op kwetsbaarheden die als CVE's zijn geregistreerd en plaatst deze in de wachtrij voor herstel. Maar dat laat IT-teams nog steeds met een belangrijke vraag zitten: vereist deze kwetsbaarheid onmiddellijke actie, of kan deze wachten tot er meer urgente risico's zijn aangepakt?
Dit wordt lastiger wanneer teams duizenden kwetsbaarheden beheren in endpoints, applicaties en infrastructuur. Ernstscores bieden nuttige context, maar ze laten niet altijd zien of aanvallers een kwetsbaarheid daadwerkelijk misbruiken in de praktijk.
De CISA KEV-catalogus helpt die lacune op te vullen. Deze identificeert kwetsbaarheden waarvoor aantoonbaar bewijs van misbruik bestaat. Dit geeft IT- en beveiligingsteams een extra signaal om prioriteit te geven aan herstelmaatregelen op basis van daadwerkelijke aanvallersactiviteit in plaats van alleen de ernst van de aanval.
Wat is CISA?
Het Cybersecurity and Infrastructure Security Agency (CISA) is een federaal agentschap van de VS, onderdeel van het Department of Homeland Security. Het doel is om cyberbeveiligings- en IT-risico's te minimaliseren die van invloed zijn op overheidsorganisaties, kritieke infrastructuur, bedrijven en het bredere digitale ecosysteem.
Als onderdeel van deze rol publiceert CISA richtlijnen, waarschuwingen, informatie over kwetsbaarheden en andere hulpmiddelen op het gebied van cyberbeveiliging die organisaties kunnen gebruiken om hun beveiligingsniveau te versterken. Een voorbeeld van zo'n hulpmiddel is de KEV-catalogus.
Wat is KEV?
Bekende, misbruikte kwetsbaarheden (KEV's) verwijzen naar beveiligingslekken waarvoor betrouwbaar bewijs bestaat dat aanvallers ze in de praktijk hebben misbruikt.
Dat een kwetsbaarheid technisch exploiteerbaar is, betekent niet automatisch dat het een KEV (Key Essential Vulnerability) is. Volgens de criteria die CISA voor de catalogus heeft vastgesteld, moet een kwetsbaarheid een CVE-identificatiecode hebben, bewezen bewijs van exploitatie door een aanvaller en concrete herstelmaatregelen bevatten voordat deze in aanmerking komt voor opname.
Dit maakt KEV een belangrijke maatstaf voor het prioriteren van kwetsbaarheden. In plaats van te laten zien wat een aanvaller macht Het onderzoek richt zich op kwetsbaarheden die aanvallers al hebben aangetoond te kunnen en willen benutten.
Wat is de CISA KEV-catalogus?
De CISA KEV-catalogus is een openbaar toegankelijke, continu bijgewerkte lijst van hardware- en softwarekwetsbaarheden die actief zijn misbruikt bij daadwerkelijke aanvallen.
Elke kwetsbaarheid in de catalogus is gekoppeld aan informatie die teams helpt het probleem te identificeren en op te lossen, waaronder details zoals:
- CVE-identificatie
- Betrokken leverancier en product
- Naam en beschrijving van de kwetsbaarheid
- Datum waarop de kwetsbaarheid is toegevoegd
- Vereiste herstelmaatregelen
- Uiterste datum voor herstelwerkzaamheden
- Relevante notities of referenties
De catalogus is meer dan zomaar een database met kwetsbaarheden; organisaties krijgen een gerichte selectie van bekende kwetsbaarheden die in de praktijk al zijn misbruikt.
CISA gebruikte de catalogus voorheen als onderdeel van de bindende operationele richtlijn (BOD) 22-01. Deze richtlijn is echter vervangen door BOD 26-04, die Amerikaanse federale overheidsinstanties nu verplicht om de vermelde kwetsbaarheden te verhelpen met behulp van een gelaagde, risicogebaseerde aanpak in plaats van vaste deadlines. Andere organisaties die niet onderworpen zijn aan deze federale vereisten, kunnen KEV nog steeds gebruiken als input voor hun eigen prioritering van kwetsbaarheden. patchprocessen.
KEV versus CVE: Wat is het verschil?
KEV en CVE zijn nauw verwant, maar ze dienen verschillende doelen.
CVE is een openbaar toegankelijke catalogus van computerbeveiligings- en softwarekwetsbaarheden. Een CVE-identificatiecode biedt beveiligingsteams, leveranciers, scanners en andere tools een gemeenschappelijke referentie om dezelfde kwetsbaarheid te bespreken.
Een KEV (Key Encryption Variable) geeft daarentegen aan dat er bewijs is van exploitatie van een CVE (Clinical Vulnerable Exploitation) in daadwerkelijke aanvallen. Elke KEV-vermelding heeft daarom een CVE-identificatiecode, maar slechts een klein deel van de CVE's wordt opgenomen in de KEV-catalogus.
| Aspect | CVE | K.E.V. |
|---|---|---|
| Opgericht door | MITER Corporation | CISA |
| Doel | Identificeert een publiekelijk bekende kwetsbaarheid | Identificeert kwetsbaarheden waarvan bekend is dat ze zijn misbruikt. |
| Wat dit IT-teams vertelt | Er bestaat een kwetsbaarheid. | Aanvallers hebben de kwetsbaarheid in de praktijk misbruikt. |
| strekking | Uitgebreide catalogus van openbaar gemaakte kwetsbaarheden | Een kleinere, zorgvuldig geselecteerde subset van CVE's |
| Bewezen exploitatie | Nee | Ja |
| Primair gebruik | Identificatie en tracering van kwetsbaarheden | Prioritering en herstel van kwetsbaarheden |
| Saneringsrichtlijnen | Afhankelijk van de bijbehorende informatie van de leverancier of de kwetsbaarheid. | Bevat een verplichte actie voor catalogusitems. |
Het onderscheid wordt belangrijk bij het prioriteren. Een scanner kan veel CVE's in een omgeving identificeren, waaronder verschillende met een hoge ernstgraad. Als sommige van die kwetsbaarheden ook in KEV voorkomen, hebben teams nog een sterke reden om ze hoger in de wachtrij voor herstel te plaatsen, omdat exploitatie dan niet langer theoretisch is.
KEV mag de bredere CVE-monitoring of andere risicosignalen niet vervangen. Kwetsbaarheden die momenteel niet in KEV zijn opgenomen, kunnen nog steeds ernstige risico's met zich meebrengen, afhankelijk van de exploiteerbaarheid, de blootstelling van bedrijfsmiddelen, het zakelijke belang en de potentiële impact.
Hoe helpt de KEV-catalogus IT-teams?
Voor IT-teams die te maken hebben met grote achterstanden in het oplossen van beveiligingslekken, biedt KEV een op bewijs gebaseerde manier om te bepalen waar de middelen voor herstel moeten worden geconcentreerd.
Hieronder volgen enkele van de belangrijkste manieren waarop KEV kwetsbaarheidsbeheer kan ondersteunen:
- Geef prioriteit aan kwetsbaarheden die actief worden misbruikt: Teams kunnen CVE's identificeren die in KEV voorkomen en deze voorrang geven boven kwetsbaarheden waarvan nog geen exploitatie is waargenomen.
- Verbeter de prioriteitsstelling van patches: KEV biedt patchmanagementteams een extra prioriteringsfactor naast ernstscores, de kritikaliteit van assets, blootstelling en impact op de bedrijfsvoering.
- Verwijder overbodige ruis: KEV helpt IT-teams zich te concentreren op kwetsbaarheden die verband houden met aantoonbare aanvalsactiviteit, in plaats van op kwetsbaarheden die mogelijk tot blootstelling leiden.
- Herbeoordeel bestaande kwetsbaarheden: Een CVE die voorheen een lagere prioriteit had voor herstel, moet mogelijk onmiddellijk opnieuw worden beoordeeld als CISA deze later toevoegt aan KEV.
- Ondersteuning van risicogebaseerd kwetsbaarheidsbeheer: KEV voegt bewijsmateriaal uit de praktijk toe aan technische kwetsbaarheidsgegevens, waardoor teams herstelbeslissingen kunnen nemen op basis van meer dan alleen ernstscores.
- Richtlijnen voor herstelmaatregelen: De catalogusvermeldingen geven aan welke acties organisaties moeten ondernemen om de getroffen systemen aan te pakken, zoals het toepassen van updates van de leverancier of het volgen van specifieke richtlijnen voor risicobeperking.
- Automatische prioritering inschakelen: Omdat KEV-informatie beschikbaar is in machineleesbare formaten, kunnen organisaties deze integreren in kwetsbaarheidsscans, ticketsystemen, patch beheerof beveiligingsworkflows om getroffen systemen sneller te signaleren.
Stel bijvoorbeeld dat een kwetsbaarheidsscanner twee kwetsbaarheden detecteert: de ene heeft een zeer hoge ernstscore maar er zijn geen aanwijzingen voor actieve exploitatie, terwijl de andere een lagere score heeft maar wel in KEV voorkomt. De ernstscore blijft belangrijk, maar de vermelding in KEV laat het IT-team weten dat aanvallers de tweede kwetsbaarheid al gebruiken tegen daadwerkelijke systemen.
Die informatie kan een wezenlijke invloed hebben op welke patch als eerste wordt uitgerold.
KEV is daarom het meest bruikbaar in combinatie met aanvullende context. De kritische aard van de activa, de blootstelling aan internetrisico's, beschikbare maatregelen, CVSS-scores, dreigingsinformatie en de potentiële impact van een inbreuk op de bedrijfsvoering moeten nog steeds bijdragen aan de uiteindelijke beslissing over de herstelmaatregelen.
Gebruik KEV als signaal voor een snellere en meer contextuele prioritering van kwetsbaarheden.
De CISA KEV-catalogus biedt IT- en beveiligingsteams een praktische manier om kwetsbaarheden die alleen bekend zijn te onderscheiden van kwetsbaarheden waarvan bewezen is dat ze zijn misbruikt. Dat maakt KEV bijzonder nuttig wanneer teams moeten bepalen waar hun beperkte herstelcapaciteit op moet worden gericht.
Veltar software voor kwetsbaarheidsbeheer Dit brengt deze context naar endpoint-kwetsbaarheden door CISA KEV-gegevens te combineren met CVSS, EPSS en endpoint-context. Dit helpt IT-teams bij het identificeren van kwetsbaarheden met bewezen exploitatieactiviteit, het begrijpen welke beheerde endpoints getroffen zijn en het prioriteren van herstelmaatregelen op basis van meer dan alleen de ernst.
