Un scaner de vulnerabilități scanează sistemul pentru orice vulnerabilități listate ca CVE-uri și le pune în coadă pentru remediere. Însă acest lucru lasă echipele IT cu o întrebare importantă: Necesită această vulnerabilitate acțiune imediată sau poate aștepta în spatele unor riscuri mai presante?
Acest lucru devine mai dificil atunci când echipele gestionează mii de vulnerabilități la nivel de endpoint-uri, aplicații și infrastructură. Scorurile de severitate oferă un context util, dar nu arată întotdeauna dacă atacatorii exploatează activ o vulnerabilitate în medii reale.
Catalogul CISA KEV ajută la umplerea acestei lacune. Acesta identifică vulnerabilitățile cu dovezi confirmate de exploatare. Acest lucru oferă echipelor IT și de securitate un semnal suplimentar pentru prioritizarea remedierii pe baza activității reale a atacatorilor, mai degrabă decât doar a gravității.
Ce este CISA?
Agenția pentru Securitatea Cibernetică și Infrastructură (CISA) este o agenție federală americană din cadrul Departamentului pentru Securitate Internă. Aceasta își propune să minimizeze riscurile cibernetice și IT care afectează organizațiile guvernamentale, infrastructura critică, întreprinderile și ecosistemul digital în general.
Ca parte a acestui rol, CISA publică îndrumări privind securitatea cibernetică, alerte, informații despre vulnerabilități și alte resurse pe care organizațiile le pot utiliza pentru a-și consolida postura de securitate. O astfel de resursă este catalogul KEV.
Ce este KEV?
Vulnerabilitățile exploatate cunoscute (KEV) se referă la vulnerabilități de securitate pentru care există dovezi fiabile că atacatorii le-au exploatat în medii reale.
O vulnerabilitate exploatabilă din punct de vedere tehnic nu o transformă automat într-o vulnerabilitate KEV. Conform criteriilor descrise pentru catalog de către CISA, o vulnerabilitate trebuie să aibă un identificator CVE, dovezi dovedite ale exploatării de către un atacator și îndrumări de remediere acționabile înainte de a fi eligibilă pentru includere.
Acest lucru face ca KEV să fie o metrică importantă pentru prioritizarea vulnerabilităților. În loc să arate ce face un atacator ar putea exploit, evidențiază vulnerabilități pe care atacatorii au demonstrat deja capacitatea și dorința de a le utiliza.
Ce este catalogul CISA KEV?
Catalogul CISA KEV este o listă disponibilă publicului, actualizată continuu, cu vulnerabilități hardware și software care au fost exploatate activ în atacuri din lumea reală.
Fiecare vulnerabilitate din catalog este asociată cu informații care ajută echipele să identifice și să remedieze problema, inclusiv detalii precum:
- Identificator CVE
- Furnizor și produs afectat
- Numele și descrierea vulnerabilității
- Data la care a fost adăugată vulnerabilitatea
- Acțiune de remediere necesară
- Data scadenței remedierii
- Note sau referințe relevante
Catalogul acționează ca mai mult decât o simplă bază de date cu vulnerabilități și oferă organizațiilor un subset specific de vulnerabilități cunoscute acolo unde exploatarea în lumea reală a fost deja stabilită.
CISA a folosit anterior catalogul ca parte a Directivei Operaționale Obligatorii (BOD) 22-01. Cu toate acestea, această directivă a fost înlocuită de BOD 26-04, care impune acum agențiilor din cadrul ramurii executive civile federale din SUA să remedieze vulnerabilitățile enumerate utilizând o abordare pe niveluri, bazată pe riscuri, în loc de termene limită fixe. Alte organizații care nu sunt supuse acestor cerințe federale pot utiliza în continuare KEV ca element de bază pentru propria prioritizare a vulnerabilităților și procese de patch-uri.
KEV vs. CVE: Care este diferența?
KEV și CVE sunt strâns legate, dar servesc scopuri diferite.
CVE este un catalog public de vulnerabilități de securitate informatică și software. Un identificator CVE oferă echipelor de securitate, furnizorilor, scanerelor și altor instrumente o referință comună pentru discutarea aceleiași vulnerabilități.
Un KEV, pe de altă parte, indică faptul că un CVE are dovezi de exploatare în atacuri din lumea reală. Prin urmare, fiecare intrare KEV are un identificator CVE, dar doar un mic subset de CVE-uri devin parte a catalogului KEV.
| Aspect | CVE | KEV |
|---|---|---|
| Stabilit de | Corporația MITRE | CISA |
| Scop | Identifică o vulnerabilitate cunoscută publicului | Identifică vulnerabilitățile despre care se știe că au fost exploatate |
| Ce le spune echipelor IT | Există o vulnerabilitate | Atacatorii au exploatat vulnerabilitatea în sălbăticie |
| domeniu | Catalog larg de vulnerabilități dezvăluite public | Subset mai mic și atent selecționat de CVE-uri |
| Exploatare dovedită | Nu | Da |
| Utilizare primară | Identificarea și urmărirea vulnerabilităților | Prioritizarea și remedierea vulnerabilităților |
| Îndrumări de remediere | Depinde de furnizorul însoțitor sau de informațiile despre vulnerabilități | Include o acțiune obligatorie pentru intrările din catalog |
Distincția devine importantă în timpul prioritizării. Un scaner poate identifica numeroase vulnerabilități CVE într-un mediu, inclusiv câteva cu ratinguri de severitate ridicate. Dacă unele dintre aceste vulnerabilități apar și în KEV, echipele câștigă un alt motiv puternic pentru a le muta mai sus în coada de remediere, deoarece exploatarea nu mai este teoretică.
Vulnerabilitățile care nu sunt enumerate în prezent în KEV nu ar trebui să înlocuiască monitorizarea mai amplă a vulnerabilităților cauzate de expansiunea vulnerabilităților (CVE) sau alte semnale de risc. Vulnerabilitățile care nu sunt enumerate în prezent în KEV pot reprezenta în continuare riscuri serioase, în funcție de exploatabilitate, expunerea activelor, importanța afacerii și impactul potențial.
Cum ajută catalogul KEV echipele IT?
Pentru echipele IT care se confruntă cu restanțe mari de vulnerabilități, KEV oferă o modalitate bazată pe dovezi de a decide unde ar trebui concentrate resursele de remediere.
Iată câteva dintre principalele modalități prin care KEV poate sprijini gestionarea vulnerabilităților:
- Prioritizează vulnerabilitățile exploatate activ: Echipele pot identifica vulnerabilitățile CVE care apar în KEV și le pot muta înaintea vulnerabilităților pentru care nu a fost observată nicio exploatare.
- Îmbunătățiți prioritizarea patch-urilor: KEV oferă echipelor de gestionare a patch-urilor un factor suplimentar de prioritizare, alături de scorurile de severitate, importanța activelor, expunerea și impactul asupra afacerii.
- Eliminați zgomotul inutil: KEV ajută echipele IT să se concentreze pe vulnerabilitățile asociate cu activitatea demonstrată a atacatorilor, mai degrabă decât pe cele cu expunere potențială.
- Reevaluați vulnerabilitățile existente: Un CVE care anterior avea o prioritate de remediere mai mică poate necesita o reconsiderare imediată dacă CISA îl adaugă ulterior la KEV.
- Susțineți gestionarea vulnerabilităților bazată pe riscuri: KEV adaugă dovezi de exploatare din lumea reală la datele privind vulnerabilitățile tehnice, ajutând echipele să ia decizii de remediere bazate pe mai mult decât scorurile de severitate.
- Ghidați acțiunile de remediere: Intrările din catalog identifică acțiunile pe care organizațiile ar trebui să le întreprindă pentru a remedia sistemele afectate, cum ar fi aplicarea actualizărilor furnizorilor sau respectarea instrucțiunilor de atenuare specificate.
- Activați prioritizarea automată: Întrucât informațiile KEV sunt disponibile în formate lizibile automat, organizațiile le pot încorpora în scanarea vulnerabilităților, în emiterea de tickete, gestionarea patch-urilorsau fluxuri de lucru de securitate pentru a semnala mai rapid sistemele afectate.
De exemplu, să presupunem că un scaner de vulnerabilități detectează două vulnerabilități: una are un scor de severitate foarte mare, dar nu există dovezi de exploatare activă, în timp ce cealaltă are un scor mai mic, dar apare în KEV. Severitatea rămâne importantă, dar listarea KEV îi spune echipei IT că atacatorii folosesc deja a doua vulnerabilitate împotriva sistemelor reale.
Aceste informații pot schimba semnificativ ce patch va fi implementat primul.
Prin urmare, KEV este cel mai util atunci când este combinat cu context suplimentar. Importanța activelor, expunerea la internet, măsurile de atenuare disponibile, scorurile CVSS, informațiile despre amenințări și impactul potențial asupra afacerii al unei compromisuri ar trebui să contribuie în continuare la decizia finală de remediere.
Folosește KEV ca semnal pentru o prioritizare mai rapidă și mai contextuală a vulnerabilităților
Catalogul CISA KEV oferă echipelor IT și de securitate o modalitate practică de a distinge vulnerabilitățile care sunt doar cunoscute de cele cu dovezi confirmate de exploatare. Acest lucru face ca KEV să fie deosebit de util atunci când echipele trebuie să decidă unde ar trebui concentrată capacitatea de remediere limitată.
Veltar software de gestionare a vulnerabilităților aduce acest context vulnerabilităților endpoint-urilor prin combinarea datelor CISA KEV cu CVSS, EPSS și contextul endpoint-urilor. Acest lucru ajută echipele IT să vizeze vulnerabilitățile cu activitate de exploatare confirmată, să înțeleagă ce endpoint-uri gestionate sunt afectate și să prioritizeze remedierea pe baza mai multor criterii decât severitatea.
