Dostałeś numer CVE. Co sprawdzić w pierwszych pięciu minutach
Telefon potrafi zadzwonić o 7:30. Ktoś przeczytał o nowej luce i pyta: "Mamy to u siebie?" W wiadomości jest numer CVE, czasem wynik CVSS i niewiele więcej. Od administratora oczekuje się odpowiedzi, choć sam numer nie mówi jeszcze, czy podatność dotyczy konkretnego systemu ani jak pilnie trzeba działać.
Przerabiałem ten scenariusz wiele razy. Najgorsze nie jest samo szukanie informacji. Najwięcej czasu zabiera oddzielenie faktów od alarmistycznych nagłówków i zebranie kilku różnych sygnałów w jedną decyzję. Dlatego mam stałą kolejność sprawdzania.
1. Najpierw ustal, czego podatność dotyczy
Opis powinien odpowiedzieć na cztery podstawowe pytania:
- jaki produkt lub komponent jest podatny,
- które wersje są objęte problemem,
- jakiego dostępu wymaga atakujący,
- jaki może być skutek udanego ataku.
"Zdalne wykonanie kodu" brzmi groźnie, ale nadal trzeba wiedzieć, czy wymaga uwierzytelnienia, określonej konfiguracji albo wystawienia usługi do internetu. Podobnie lokalna eskalacja uprawnień może być krytyczna na współdzielonym systemie, a mniej pilna na odizolowanym urządzeniu z kontrolowanym dostępem.
W katalogu Secvalis karta CVE zawiera polskie podsumowanie, ocenę ryzyka i rekomendację. Oryginalny opis NVD pozostaje dostępny niżej, więc tłumaczenie pomaga szybko zrozumieć temat, ale nie odcina od źródła.
2. CVSS mówi o dotkliwości, nie o kolejności pracy
CVSS opisuje techniczną dotkliwość podatności w ustandaryzowanej skali. Jest dobrym punktem odniesienia, ale nie odpowiada na pytanie: "Czy ktoś wykorzystuje tę lukę teraz przeciwko prawdziwym systemom?"
Wysoki wynik CVSS nie oznacza automatycznie, że luka jest najpilniejszą pozycją na Twojej liście. Niski wynik również nie daje gwarancji spokoju. Ocena bazowa nie zna znaczenia Twojego serwera, jego ekspozycji, zastosowanych zabezpieczeń ani aktualnej aktywności atakujących.
Traktuję CVSS jako odpowiedź na pytanie "jak poważny może być skutek", a nie jako kompletną kolejkę napraw.
3. EPSS pokazuje prawdopodobieństwo wykorzystania
EPSS to model prognozujący prawdopodobieństwo wykorzystania CVE w ciągu najbliższych 30 dni. W Secvalis widać zarówno wynik, jak i percentyl. To ważne rozróżnienie: wynik jest prognozowanym prawdopodobieństwem, a percentyl pokazuje pozycję danej podatności względem innych CVE ocenianych przez model.
EPSS jest sygnałem prognostycznym, nie wyrokiem. Wysoki wynik pomaga wyłapać podatności, które warto sprawdzić wcześniej. Niski wynik nie dowodzi, że atak jest niemożliwy, szczególnie w przypadku ataku celowanego albo świeżej luki z niewielką ilością danych.
4. KEV zmienia rozmowę z "może" na "już"
CISA prowadzi katalog Known Exploited Vulnerabilities. Trafiają do niego podatności, dla których istnieją wiarygodne dowody wykorzystania w rzeczywistych atakach. Jeśli CVE jest oznaczone jako KEV, nie rozmawiamy już wyłącznie o teoretycznej możliwości.
Karta CVE w Secvalis wyróżnia taki wpis, pokazuje datę dodania do KEV, produkt, wymagane działanie i termin wskazany przez CISA, jeśli te informacje są dostępne. Sam filtr "Aktywnie exploitowane" pozwala przejść od całego katalogu do podatności, które mają potwierdzone wykorzystanie.
KEV nie jest kompletną listą wszystkich atakowanych luk. Jest reaktywny: najpierw wykorzystanie musi zostać zaobserwowane i potwierdzone. Dlatego nie zastępuje CVSS, EPSS ani analizy własnego środowiska.
5. Na końcu sprawdź rekomendację i źródło producenta
Rekomendacja powinna prowadzić do działania: aktualizacji, obejścia, ograniczenia ekspozycji albo dodatkowego monitorowania. Zawsze sprawdzam też komunikat producenta. To producent najlepiej opisuje dotknięte wersje, poprawkę, backport albo warunki, w których luka nie występuje.
W dystrybucjach Linuksa numer wersji pakietu bywa mylący. Poprawka może zostać przeniesiona do starszej wersji bez zmiany numeru na taki, jaki pojawia się w ogólnym advisory. Samo porównanie dwóch ciągów wersji może więc dać fałszywy alarm.
Pięć minut daje priorytet, nie ostateczny werdykt
Po takim przeglądzie powinieneś wiedzieć:
- czego dotyczy CVE,
- jaki może być skutek,
- czy wykorzystanie jest prognozowane lub już potwierdzone,
- co zaleca źródło,
- co trzeba sprawdzić we własnej infrastrukturze.
To nadal nie odpowiada automatycznie na pytanie "czy mamy to u siebie?". Do tego potrzebujesz inwentaryzacji pakietów, wersji i maszyn. Katalog porządkuje informacje o podatności. Dopiero zestawienie ich z realnym stanem hostów zamienia wiedzę w zadanie dla administratora.
Jeśli chcesz szybko sprawdzić konkretny numer albo zobaczyć CVE z potwierdzonym wykorzystaniem, otwórz polski katalog CVE Secvalis.
To jest część 1 serii o CVE w codziennej pracy administratora. Część 2 pokazuje, jak sprawdzić wpływ podatności na flotę, a część 3 wyjaśnia, dlaczego potrzebna jest historia skanów.