En sårbarhetsskanner skannar systemet efter eventuella sårbarheter som listas som CVE:er och placerar dem i kö för åtgärd. Men det lämnar IT-teamen med en viktig fråga: Kräver denna sårbarhet omedelbara åtgärder, eller kan den vänta bakom mer akuta risker?
Detta blir svårare när team hanterar tusentals sårbarheter över slutpunkter, applikationer och infrastruktur. Allvarlighetsgradspoäng ger användbar kontext, men de visar inte alltid om angripare aktivt utnyttjar en sårbarhet i verkliga miljöer.
CISA KEV-katalogen hjälper till att fylla den luckan. Den identifierar sårbarheter med bekräftade bevis på utnyttjande. Detta ger IT- och säkerhetsteam en ytterligare signal för att prioritera åtgärd baserat på faktisk angriparaktivitet snarare än enbart allvarlighetsgrad.
Vad är CISA?
Cybersecurity and Infrastructure Security Agency (CISA) är en amerikansk federal myndighet inom Department of Homeland Security. Den syftar till att minimera cybersäkerhets- och IT-risker som påverkar myndigheter, kritisk infrastruktur, företag och det bredare digitala ekosystemet.
Som en del av denna roll publicerar CISA riktlinjer för cybersäkerhet, varningar, information om sårbarheter och andra resurser som organisationer kan använda för att stärka sin säkerhetsställning. En sådan resurs är KEV-katalogen.
Vad är KEV?
Kända utnyttjade sårbarheter (KEV) avser säkerhetssårbarheter för vilka det finns tillförlitliga bevis för att angripare har utnyttjat dem i verkliga miljöer.
En sårbarhet som är tekniskt utnyttjande gör den inte automatiskt till en KEV. Enligt de kriterier som beskrivs för katalogen av CISA måste en sårbarhet ha en CVE-identifierare, bevisade bevis på utnyttjande av en angripare och åtgärdsriktlinjer innan den kvalificerar sig för inkludering.
Detta gör KEV till ett viktigt mått för att prioritera sårbarheter. Istället för att visa vad en angripare kanske utnyttjar det, belyser det sårbarheter som angripare redan har visat förmåga och vilja att använda.
Vad är CISA KEV-katalogen?
CISA KEV-katalogen är en offentligt tillgänglig, kontinuerligt uppdaterad lista över hårdvaru- och mjukvarusårbarheter som aktivt har utnyttjats i verkliga attacker.
Varje sårbarhet i katalogen är kopplad till information som hjälper team att identifiera och åtgärda problemet, inklusive detaljer som:
- CVE-identifierare
- Berörd leverantör och produkt
- Sårbarhetsnamn och beskrivning
- Datum då sårbarheten lades till
- Nödvändig åtgärd
- Förfallodatum för åtgärd
- Relevanta anteckningar eller referenser
Katalogen fungerar som mer än bara ytterligare en sårbarhetsdatabas och förser organisationer med en fokuserad delmängd av kända sårbarheter där verklig utnyttjande redan har fastställts.
CISA använde tidigare katalogen som en del av det bindande operativa direktivet (BOD) 22-01. Det direktivet ersattes dock av BOD 26-04, som nu kräver att amerikanska federala civila verkställande myndigheter åtgärdar listade sårbarheter med hjälp av en nivåindelad, riskbaserad metod snarare än fasta tidsfrister. Andra organisationer som inte omfattas av dessa federala krav kan fortfarande använda KEV som input för sin egen prioritering av sårbarheter och patchprocesser.
KEV vs. CVE: Vad är skillnaden?
KEV och CVE är nära besläktade, men de tjänar olika syften.
CVE är en offentligt publicerad katalog över sårbarheter inom datasäkerhet och programvara. En CVE-identifierare ger säkerhetsteam, leverantörer, skannrar och andra verktyg en gemensam referens för att diskutera samma sårbarhet.
En KEV, å andra sidan, indikerar att en CVE har bevis för utnyttjande i verkliga attacker. Varje KEV-post har därför en CVE-identifierare, men endast en liten delmängd av CVE:er blir en del av KEV-katalogen.
| Aspect | CVE | kev |
|---|---|---|
| Grundad av | MITER Corporation | CISA |
| Syfte | Identifierar en allmänt känd sårbarhet | Identifierar sårbarheter som är kända för att ha utnyttjats |
| Vad det säger IT-team | En sårbarhet finns | Angripare har utnyttjat sårbarheten i det vilda |
| Omfattning | Bred katalog över offentligt avslöjade sårbarheter | Mindre, kurerad delmängd av CVE:er |
| Bevisad exploatering | Nej | Ja |
| Primär användning | Identifiering och spårning av sårbarheter | Prioritering och åtgärd av sårbarheter |
| Riktlinjer för åtgärder | Beror på medföljande leverantör eller information om sårbarheter | Inkluderar en obligatorisk åtgärd för katalogposter |
Denna skillnad blir viktig vid prioritering. En skanner kan identifiera många CVE:er i en miljö, inklusive flera med höga allvarlighetsgrader. Om några av dessa sårbarheter också dyker upp i KEV, får team ytterligare en stark anledning att flytta dem högre upp i åtgärdskön eftersom utnyttjande inte längre är teoretiskt.
KEV bör inte ersätta bredare CVE-övervakning eller andra risksignaler. Sårbarheter som för närvarande inte listas i KEV kan fortfarande utgöra allvarliga risker beroende på utnyttjandemöjligheter, tillgångsexponering, affärsmässig betydelse och potentiell påverkan.
Hur hjälper KEV-katalogen IT-team?
För IT-team som hanterar stora eftersläpningar i sårbarheter erbjuder KEV ett evidensbaserat sätt att avgöra var resurserna för åtgärdande bör koncentreras.
Här är några av de viktigaste sätten som KEV kan stödja sårbarhetshantering:
- Prioritera aktivt utnyttjade sårbarheter: Team kan identifiera CVE:er som visas i KEV och flytta dem före sårbarheter där utnyttjande inte har observerats.
- Förbättra prioriteringen av patchar: KEV ger patchhanteringsteam en ytterligare prioriteringsfaktor utöver allvarlighetsgrad, tillgångskritikalitet, exponering och affärspåverkan.
- Skär bort onödigt buller: KEV hjälper IT-team att fokusera på sårbarheter kopplade till påvisad angriparaktivitet snarare än de med potentiell exponering.
- Omvärdera befintliga sårbarheter: En CVE som tidigare hade en lägre prioritet för åtgärder kan kräva omedelbar omprövning om CISA senare lägger till den i KEV.
- Stödja riskbaserad sårbarhetshantering: KEV lägger till bevis från verkliga exploateringar till tekniska sårbarhetsdata, vilket hjälper team att fatta åtgärdsbeslut baserat på mer än bara allvarlighetsgrad.
- Vägledande åtgärder för åtgärdande: Katalogposter identifierar åtgärder som organisationer bör vidta för att åtgärda berörda system, till exempel att tillämpa leverantörsuppdateringar eller följa specificerade riktlinjer för begränsning av skador.
- Aktivera automatisk prioritering: Eftersom KEV-information finns tillgänglig i maskinläsbara format kan organisationer integrera den i sårbarhetsskanning, ärendehantering, patchhanteringeller säkerhetsarbetsflöden för att snabbare flagga berörda system.
Anta till exempel att en sårbarhetsskanner upptäcker två sårbarheter: en har en mycket hög allvarlighetsgrad men inga tecken på aktiv utnyttjande, medan en annan har en lägre poäng men visas i KEV. Allvarlighetsgraden är fortfarande viktig, men KEV-listan visar IT-teamet att angripare redan använder den andra sårbarheten mot riktiga system.
Den informationen kan väsentligt förändra vilken patch som distribueras först.
KEV är därför mest användbart i kombination med ytterligare kontext. Tillgångens kritiska karaktär, internetexponering, tillgängliga begränsningsåtgärder, CVSS-poäng, hotinformation och den potentiella affärspåverkan av en kompromiss bör fortfarande bidra till det slutgiltiga åtgärdsbeslutet.
Använd KEV som en signal för snabbare och mer kontextuell prioritering av sårbarheter
CISA KEV-katalogen ger IT- och säkerhetsteam ett praktiskt sätt att skilja sårbarheter som endast är kända från de med bekräftade bevis på utnyttjande. Det gör KEV särskilt användbart när team behöver bestämma var begränsad saneringskapacitet ska fokuseras.
Veltar programvara för sårbarhetshantering ger detta sammanhang till slutpunktssårbarheter genom att kombinera CISA KEV-data med CVSS, EPSS och slutpunktskontext. Detta hjälper IT-team att rikta in sig på sårbarheter med bekräftad utnyttjandeaktivitet, förstå vilka hanterade slutpunkter som är påverkade och prioritera åtgärd baserat på mer än enbart allvarlighetsgrad.
