Um scanner de vulnerabilidades examina o sistema em busca de quaisquer vulnerabilidades listadas como CVEs e as coloca em fila para correção. Mas isso ainda deixa as equipes de TI com uma pergunta importante: essa vulnerabilidade exige ação imediata ou pode esperar por riscos mais urgentes?
Isso se torna mais difícil quando as equipes gerenciam milhares de vulnerabilidades em endpoints, aplicativos e infraestrutura. As pontuações de severidade fornecem um contexto útil, mas nem sempre mostram se os invasores estão explorando ativamente uma vulnerabilidade em ambientes reais.
O catálogo CISA KEV ajuda a preencher essa lacuna. Ele identifica vulnerabilidades com evidências confirmadas de exploração. Isso fornece às equipes de TI e segurança um sinal adicional para priorizar a correção com base na atividade real do invasor, em vez de apenas na gravidade.
O que é CISA?
A Agência de Segurança Cibernética e de Infraestrutura (CISA) é uma agência federal dos EUA vinculada ao Departamento de Segurança Interna. Seu objetivo é minimizar os riscos de segurança cibernética e de TI que afetam organizações governamentais, infraestrutura crítica, empresas e o ecossistema digital em geral.
Como parte dessa função, a CISA publica orientações de segurança cibernética, alertas, informações sobre vulnerabilidades e outros recursos que as organizações podem usar para fortalecer sua postura de segurança. Um desses recursos é o catálogo KEV.
O que é KEV?
Vulnerabilidades Exploradas Conhecidas (KEVs, na sigla em inglês) referem-se a vulnerabilidades de segurança para as quais existem evidências confiáveis de que invasores as exploraram em ambientes reais.
O fato de uma vulnerabilidade ser tecnicamente explorável não a torna automaticamente uma KEV (Vulnerabilidade Fundamental de Base). De acordo com os critérios descritos para o catálogo pela CISA, uma vulnerabilidade deve ter um identificador CVE, evidências comprovadas de exploração por um atacante e orientações práticas de remediação para ser considerada elegível para inclusão.
Isso torna o KEV uma métrica importante para priorizar vulnerabilidades. Em vez de mostrar o que um atacante poder Ao explorar essas vulnerabilidades, o sistema destaca aquelas que os atacantes já demonstraram capacidade e disposição para usar.
O que é o catálogo CISA KEV?
O catálogo CISA KEV é uma lista pública e continuamente atualizada de vulnerabilidades de hardware e software que foram exploradas ativamente em ataques reais.
Cada vulnerabilidade no catálogo está associada a informações que ajudam as equipes a identificar e corrigir o problema, incluindo detalhes como:
- Identificador CVE
- Fornecedor e produto afetados
- Nome e descrição da vulnerabilidade
- Data em que a vulnerabilidade foi adicionada.
- Ação corretiva necessária
- Data limite para a remediação
- Notas ou referências relevantes
O catálogo funciona como algo mais do que apenas um banco de dados de vulnerabilidades, fornecendo às organizações um subconjunto específico de vulnerabilidades conhecidas, onde a exploração no mundo real já foi comprovada.
A CISA utilizava anteriormente o catálogo como parte da Diretiva Operacional Vinculativa (BOD) 22-01. No entanto, essa diretiva foi substituída pela BOD 26-04, que agora exige que as agências do Poder Executivo Civil Federal dos EUA corrijam as vulnerabilidades listadas usando uma abordagem escalonada e baseada em risco, em vez de prazos fixos. Outras organizações que não estão sujeitas a esses requisitos federais ainda podem usar o KEV como um dado de entrada para sua própria priorização de vulnerabilidades. processos de aplicação de patches.
KEV vs. CVE: Qual é a diferença?
KEV e CVE estão intimamente relacionados, mas servem a propósitos diferentes.
CVE é um catálogo público de vulnerabilidades de segurança de computadores e softwares. Um identificador CVE fornece às equipes de segurança, fornecedores, scanners e outras ferramentas uma referência comum para discutir a mesma vulnerabilidade.
Por outro lado, um KEV indica que uma CVE possui evidências de exploração em ataques reais. Portanto, cada entrada KEV possui um identificador CVE, mas apenas um pequeno subconjunto de CVEs passa a fazer parte do catálogo KEV.
| Aspecto | CVE | Kev |
|---|---|---|
| Estabelecido por | MITER Corporation | CISA |
| Propósito | Identifica uma vulnerabilidade publicamente conhecida. | Identifica vulnerabilidades que se sabe terem sido exploradas. |
| O que isso significa para as equipes de TI | Existe uma vulnerabilidade | Os atacantes exploraram a vulnerabilidade em ambientes reais. |
| Objetivo | Amplo catálogo de vulnerabilidades divulgadas publicamente | Subconjunto menor e selecionado de CVEs |
| Exploração comprovada | Não | Sim |
| Uso primário | Identificação e rastreamento de vulnerabilidades | Priorização e remediação de vulnerabilidades |
| Orientações de remediação | Depende das informações do fornecedor ou da vulnerabilidade que acompanham o produto. | Inclui uma ação obrigatória para entradas de catálogo. |
Essa distinção torna-se importante durante a priorização. Um scanner pode identificar muitas CVEs em um ambiente, incluindo várias com classificações de alta gravidade. Se algumas dessas vulnerabilidades também aparecerem no KEV, as equipes ganham mais um forte motivo para priorizá-las na fila de correção, pois a exploração deixa de ser teórica.
O KEV não deve substituir o monitoramento mais abrangente de CVEs ou outros sinais de risco. Vulnerabilidades que não estão atualmente listadas no KEV ainda podem representar riscos sérios, dependendo da explorabilidade, da exposição dos ativos, da importância para os negócios e do impacto potencial.
Como o catálogo KEV ajuda as equipes de TI?
Para equipes de TI que lidam com grandes acúmulos de vulnerabilidades, o KEV oferece uma maneira baseada em evidências para decidir onde os recursos de correção devem ser concentrados.
A seguir, apresentamos algumas das principais maneiras pelas quais a KEV pode auxiliar no gerenciamento de vulnerabilidades:
- Priorize as vulnerabilidades que estão sendo ativamente exploradas: As equipes podem identificar CVEs que aparecem no KEV e priorizá-las em relação a vulnerabilidades cuja exploração ainda não foi observada.
- Melhorar a priorização de patches: O KEV oferece às equipes de gerenciamento de patches um fator de priorização adicional, além das pontuações de gravidade, criticidade do ativo, exposição e impacto nos negócios.
- Elimine ruídos desnecessários: A KEV ajuda as equipes de TI a se concentrarem nas vulnerabilidades associadas à atividade comprovada do invasor, em vez daquelas com potencial de exposição.
- Reavaliar as vulnerabilidades existentes: Uma CVE que anteriormente tinha uma prioridade de remediação menor pode exigir reavaliação imediata se a CISA a adicionar posteriormente à KEV.
- Apoiar a gestão de vulnerabilidades baseada em riscos: A KEV adiciona evidências de exploração no mundo real aos dados de vulnerabilidade técnica, ajudando as equipes a tomar decisões de remediação com base em mais do que apenas pontuações de gravidade.
- Orientar as ações de remediação: As entradas do catálogo identificam as ações que as organizações devem tomar para lidar com os sistemas afetados, como aplicar atualizações do fornecedor ou seguir as orientações de mitigação específicas.
- Ativar priorização automática: Como as informações do KEV estão disponíveis em formatos legíveis por máquina, as organizações podem incorporá-las à varredura de vulnerabilidades, emissão de tickets, gerenciamento de patchesou fluxos de trabalho de segurança para sinalizar sistemas afetados mais rapidamente.
Por exemplo, suponha que um scanner de vulnerabilidades detecte duas vulnerabilidades: uma com uma pontuação de severidade muito alta, mas sem evidências de exploração ativa, enquanto a outra tem uma pontuação mais baixa, mas aparece na lista de vulnerabilidades conhecidas (KEV). A severidade continua sendo importante, mas a listagem na KEV informa à equipe de TI que os invasores já estão explorando a segunda vulnerabilidade contra sistemas reais.
Essa informação pode alterar significativamente qual atualização será implementada primeiro.
Portanto, o KEV é mais útil quando combinado com contexto adicional. A criticidade do ativo, a exposição à internet, as medidas de mitigação disponíveis, as pontuações CVSS, a inteligência de ameaças e o potencial impacto comercial de uma violação devem continuar a contribuir para a decisão final de remediação.
Use KEV como um sinal para priorização de vulnerabilidades mais rápida e contextualizada.
O Catálogo KEV da CISA oferece às equipes de TI e segurança uma maneira prática de distinguir vulnerabilidades que são apenas conhecidas daquelas com evidências confirmadas de exploração. Isso torna o KEV especialmente útil quando as equipes precisam decidir onde concentrar seus esforços limitados de correção.
Veltar software de gerenciamento de vulnerabilidades A ferramenta traz esse contexto para as vulnerabilidades de endpoints, combinando dados CISA KEV com CVSS, EPSS e contexto do endpoint. Isso ajuda as equipes de TI a identificar vulnerabilidades com atividade de exploração confirmada, entender quais endpoints gerenciados são afetados e priorizar a correção com base em critérios que vão além da gravidade.
