Skaner podatności skanuje system w poszukiwaniu luk oznaczonych jako CVE i umieszcza je w kolejce do usunięcia. Jednak to wciąż stawia przed zespołami IT ważne pytanie: czy ta luka wymaga natychmiastowego działania, czy może poczekać na bardziej palące zagrożenia?
Staje się to trudniejsze, gdy zespoły zarządzają tysiącami luk w zabezpieczeniach w punktach końcowych, aplikacjach i infrastrukturze. Wskaźniki ważności zapewniają użyteczny kontekst, ale nie zawsze pokazują, czy atakujący aktywnie wykorzystują lukę w rzeczywistych środowiskach.
Katalog CISA KEV pomaga wypełnić tę lukę. Identyfikuje luki w zabezpieczeniach z potwierdzonymi dowodami ich wykorzystania. Daje to zespołom IT i bezpieczeństwa dodatkowy sygnał do priorytetyzacji działań naprawczych w oparciu o faktyczną aktywność atakującego, a nie tylko o stopień zagrożenia.
Co to jest CISA?
Agencja ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) jest federalną agencją USA, działającą w ramach Departamentu Bezpieczeństwa Krajowego. Jej celem jest minimalizowanie ryzyka związanego z cyberbezpieczeństwem i IT, które dotyka organizacje rządowe, infrastrukturę krytyczną, przedsiębiorstwa i szerszy ekosystem cyfrowy.
W ramach tej roli CISA publikuje wytyczne dotyczące cyberbezpieczeństwa, alerty, informacje o lukach w zabezpieczeniach i inne zasoby, z których organizacje mogą korzystać w celu wzmocnienia swojej pozycji w zakresie bezpieczeństwa. Jednym z takich zasobów jest katalog KEV.
Czym jest KEV?
Znane wykorzystane luki (ang. Known Exploited Vulnerabilities, KEV) odnoszą się do luk w zabezpieczeniach, co do których istnieją wiarygodne dowody, że zostały wykorzystane przez atakujących w rzeczywistych środowiskach.
Techniczna możliwość wykorzystania luki nie oznacza automatycznie, że jest ona uznawana za lukę typu KEV. Zgodnie z kryteriami opisanymi dla katalogu przez CISA, luka musi posiadać identyfikator CVE, udokumentowane dowody wykorzystania jej przez atakującego oraz możliwe do zastosowania wskazówki dotyczące naprawy, zanim zostanie zakwalifikowana do włączenia.
To sprawia, że KEV jest ważnym wskaźnikiem priorytetyzacji luk w zabezpieczeniach. Zamiast pokazywać, co atakujący może eksploatuje, uwypukla luki w zabezpieczeniach, które atakujący już wykazali umiejętnością i chęcią wykorzystania.
Czym jest katalog CISA KEV?
Katalog CISA KEV to publicznie dostępna, stale aktualizowana lista luk w zabezpieczeniach sprzętu i oprogramowania, które były aktywnie wykorzystywane w atakach w świecie rzeczywistym.
Każda luka w katalogu jest powiązana z informacjami, które pomagają zespołom zidentyfikować i rozwiązać problem. Obejmują one takie szczegóły, jak:
- Identyfikator CVE
- Dotknięty dostawca i produkt
- Nazwa i opis luki w zabezpieczeniach
- Data dodania luki w zabezpieczeniach
- Wymagane działania naprawcze
- Termin naprawy
- Istotne notatki lub odniesienia
Katalog jest czymś więcej niż tylko kolejną bazą danych podatności. Udostępnia on organizacjom skoncentrowany podzbiór znanych podatności, w przypadku których doszło już do rzeczywistego wykorzystania tych luk.
CISA wcześniej korzystała z katalogu w ramach wiążącej dyrektywy operacyjnej (Binding Operational Directive – BOD) 22-01. Dyrektywa ta została jednak zastąpiona przez BOD 26-04, która obecnie nakłada na federalne agencje cywilnej władzy wykonawczej USA obowiązek usuwania wymienionych luk w zabezpieczeniach, stosując wielopoziomowe podejście oparte na ryzyku, a nie sztywne terminy. Inne organizacje, które nie podlegają tym wymogom federalnym, mogą nadal korzystać z KEV jako danych wejściowych do własnej priorytetyzacji luk w zabezpieczeniach i procesy łatania.
KEV vs. CVE: jaka jest różnica?
KEV i CVE są blisko spokrewnione, ale służą różnym celom.
CVE to publicznie ujawniony katalog luk w zabezpieczeniach komputerowych i oprogramowania. Identyfikator CVE zapewnia zespołom ds. bezpieczeństwa, dostawcom, skanerom i innym narzędziom wspólny punkt odniesienia do omawiania tej samej luki.
Z drugiej strony, KEV wskazuje, że CVE posiada dowody wykorzystania w rzeczywistych atakach. Każdy wpis KEV ma zatem identyfikator CVE, ale tylko niewielki podzbiór CVE trafia do katalogu KEV.
| WYGLĄD | CVE | KEW |
|---|---|---|
| Ustanowiony przez | MITER Corporation | CISA |
| Cel | Identyfikuje publicznie znaną lukę w zabezpieczeniach | Identyfikuje luki, o których wiadomo, że zostały wykorzystane |
| Co przekazuje zespołom IT | Istnieje luka w zabezpieczeniach | Napastnicy wykorzystali lukę w zabezpieczeniach |
| Zakres | Szeroki katalog publicznie ujawnionych luk w zabezpieczeniach | Mniejszy, wyselekcjonowany podzbiór CVE |
| Udowodniona eksploatacja | Nie | Tak |
| Pierwsze użycie | Identyfikacja i śledzenie luk w zabezpieczeniach | Priorytetyzacja i naprawa luk w zabezpieczeniach |
| Wskazówki dotyczące naprawy | Zależy od towarzyszącego dostawcy lub informacji o podatności | Zawiera wymaganą czynność dla wpisów katalogowych |
To rozróżnienie staje się istotne podczas ustalania priorytetów. Skaner może zidentyfikować wiele luk bezpieczeństwa (CVE) w środowisku, w tym kilka o wysokim poziomie ważności. Jeśli niektóre z tych luk pojawiają się również w KEV, zespoły zyskują kolejny mocny powód, aby przenieść je wyżej w kolejce działań naprawczych, ponieważ eksploatacja nie jest już teoretyczna.
KEV nie powinien zastępować szerszego monitorowania CVE ani innych sygnałów ryzyka. Luki, które nie są obecnie wymienione w KEV, mogą nadal stanowić poważne ryzyko, w zależności od możliwości ich wykorzystania, ekspozycji zasobów, znaczenia biznesowego i potencjalnego wpływu.
W jaki sposób katalog KEV pomaga zespołom IT?
W przypadku zespołów IT borykających się z dużymi zaległościami w usuwaniu luk w zabezpieczeniach, KEV oferuje oparty na dowodach sposób decydowania, gdzie należy skoncentrować zasoby służące do ich usuwania.
Oto kilka podstawowych sposobów, w jakie KEV może wspierać zarządzanie lukami w zabezpieczeniach:
- Nadaj priorytet aktywnie wykorzystywanym lukom: Zespoły mogą identyfikować luki w zabezpieczeniach (CVE) pojawiające się w KEV i usuwać je przed lukami, których wykorzystania nie zaobserwowano.
- Popraw priorytetyzację poprawek: KEV zapewnia zespołom zarządzającym poprawkami dodatkowy współczynnik priorytetyzacji, obok wyników ważności, krytyczności zasobów, narażenia i wpływu na działalność.
- Wyeliminuj niepotrzebny hałas: KEV pomaga zespołom IT skupić się na lukach w zabezpieczeniach związanych z udowodnioną działalnością atakujących, zamiast na tych, które potencjalnie mogą narazić ich na atak.
- Ponowna ocena istniejących luk w zabezpieczeniach: CVE, który wcześniej miał niższy priorytet naprawy, może wymagać natychmiastowego ponownego rozpatrzenia, jeśli CISA później doda go do KEV.
- Wsparcie zarządzania podatnościami w oparciu o ryzyko: KEV uzupełnia dane o lukach technicznych o dowody z rzeczywistego wykorzystania zabezpieczeń, pomagając zespołom podejmować decyzje dotyczące usuwania luk w zabezpieczeniach nie tylko na podstawie wyników oceny ważności.
- Przewodnik po działaniach naprawczych: Wpisy w katalogu określają działania, jakie organizacja powinna podjąć, aby rozwiązać problem w systemach, których dotyczy problem, np. poprzez zastosowanie aktualizacji dostawcy lub postępowanie zgodnie z określonymi wytycznymi dotyczącymi łagodzenia skutków.
- Włącz automatyczne ustalanie priorytetów: Ponieważ informacje o KEV są dostępne w formatach nadających się do odczytu maszynowego, organizacje mogą je uwzględniać w skanowaniu luk w zabezpieczeniach, zgłaszaniu problemów, Zarządzanie poprawkamilub przepływy pracy związane z bezpieczeństwem, mające na celu szybsze oznaczanie zagrożonych systemów.
Załóżmy na przykład, że skaner luk w zabezpieczeniach wykryje dwie luki: jedna ma bardzo wysoki wskaźnik ważności, ale nie ma dowodów na aktywne wykorzystanie, a druga ma niższy wskaźnik, ale pojawia się w KEV. Poziom ważności pozostaje istotny, ale lista KEV informuje zespół IT, że atakujący już wykorzystują drugą lukę w rzeczywistych systemach.
Informacje te mogą znacząco wpłynąć na decyzję o tym, która poprawka zostanie wdrożona jako pierwsza.
KEV jest zatem najbardziej użyteczny w połączeniu z dodatkowym kontekstem. Krytyczność zasobów, narażenie na atak z internetu, dostępne środki zaradcze, wyniki CVSS, informacje o zagrożeniach oraz potencjalny wpływ naruszenia na biznes powinny nadal wpływać na ostateczną decyzję o remediacji.
Użyj KEV jako sygnału do szybszego i bardziej kontekstowego ustalania priorytetów podatności
Katalog CISA KEV oferuje zespołom IT i bezpieczeństwa praktyczny sposób odróżniania luk w zabezpieczeniach, które są jedynie znane, od tych, dla których istnieją potwierdzone dowody wykorzystania. To sprawia, że KEV jest szczególnie przydatny, gdy zespoły muszą zdecydować, na czym skoncentrować ograniczone możliwości naprawcze.
Weltar oprogramowanie do zarządzania lukami w zabezpieczeniach Przenosi ten kontekst do luk w zabezpieczeniach punktów końcowych, łącząc dane CISA KEV z danymi CVSS, EPSS i kontekstem punktów końcowych. Pomaga to zespołom IT identyfikować luki w zabezpieczeniach z potwierdzoną aktywnością eksploatacji, rozumieć, które zarządzane punkty końcowe są zagrożone, i ustalać priorytety działań naprawczych w oparciu o więcej niż tylko stopień zagrożenia.
