KEV przed CVSS: dlaczego kolejność naprawy podatności jest zwykle zła

Większość zespołów sortuje podatności po jednej liczbie: CVSS. Najpierw dziewiątki i dziesiątki, potem reszta. Jest to domyślne, wygodne i zwykle błędne. Nie dlatego, że CVSS jest zły, tylko dlatego, że odpowiada na inne pytanie niż to, które tak naprawdę Cię interesuje.

CVSS mówi, jak groźna teoretycznie jest podatność, gdyby ktoś ją wykorzystał. Ciebie interesuje, przez co atakujący faktycznie wejdzie w tym tygodniu. To nie to samo pytanie, a różnica między nimi decyduje o tym, czy poświęcasz czas na właściwe rzeczy.

Krótki przykład, o co chodzi

Wyobraź sobie flotę z czterystoma podatnościami krytycznymi, CVSS 9 i więcej. Zespół rzuca się na nie, bo są czerwone i wysokie. W tym samym czasie w systemie wisi jedna podatność oznaczona jako medium, CVSS 5.4, dla której potwierdzono aktywne wykorzystanie w atakach. To nie przesądza, że publiczny exploit jest dostępny. Przesądza natomiast, że nie jest to już wyłącznie ryzyko teoretyczne.

To nie jest teoretyczny scenariusz. To najczęstszy sposób, w jaki dobrze pracujący zespół przegrywa: robiąc dużo pracy w złej kolejności.

Czym jest KEV

CISA prowadzi katalog o nazwie Known Exploited Vulnerabilities, w skrócie KEV. To lista podatności, dla których istnieje potwierdzone wykorzystywanie w realnych atakach. Nie "mogłoby istnieć", nie "jest teoretycznie możliwe", tylko potwierdzone, że ktoś tego używa przeciwko komuś.

To zmienia charakter informacji. CVSS jest oceną ekspercką z modelu. KEV jest obserwacją z pola. Podatność w KEV to nie prognoza ryzyka, tylko fakt, że ryzyko już się zmaterializowało u innych. Dlatego zasługuje na inne traktowanie niż podatność, która ma wysoki CVSS, ale żadnego znanego exploita.

Czym jest EPSS

Drugim narzędziem jest EPSS, czyli Exploit Prediction Scoring System. To model, który dla danej podatności szacuje prawdopodobieństwo, że zostanie wykorzystana w ciągu najbliższych 30 dni. W odróżnieniu od KEV, który jest binarny (jest exploit w użyciu albo go nie ma), EPSS daje wartość ciągłą, prognozę.

EPSS jest przydatny do porządkowania tego, czego jeszcze nie ma w KEV. Podatność z wysokim EPSS to kandydat, który może jutro trafić do KEV. Traktuję go jako wczesne ostrzeżenie, nie jako wyrok.

Sensowny ranking

Kolejność, którą stosuję i którą uważam za rozsądną dla większości flot, wygląda tak:

Najpierw KEV. Jeśli podatność jest w katalogu znanych wykorzystywanych, idzie na początek, nawet jeśli jej CVSS jest niski. Aktywnie używany exploit bije teoretyczną wagę. To jest sedno całego podejścia i to jest ta jedna zmiana, która daje największy efekt.

Potem waga, czyli CVSS. Wśród podatności o tym samym statusie KEV wyżej idą te groźniejsze. CVSS nie znika z układanki, tylko schodzi na drugi wymiar.

Potem termin. Podatność, której SLA jest bliski lub minięty, wyprzedza taką, która ma jeszcze zapas czasu. Proces ma pilnować własnych terminów.

Potem kontekst maszyny. Krytyczność systemu i jego ekspozycja na sieć różnicują to, co po wcześniejszych wymiarach wyszło na remis. Ta sama podatność na serwerze wystawionym do internetu jest pilniejsza niż na odizolowanej maszynie wewnętrznej.

Efekt jest taki, że niska podatność z aktywnym exploitem ląduje przed setką wysokich bez exploita, a to jest dokładnie kolejność, w której chce działać atakujący, więc i Ty powinieneś.

Gdzie to podejście ma granice

Byłbym nieuczciwy, gdybym sprzedawał KEV jako srebrną kulę. Ma dwa realne ograniczenia.

KEV jest reaktywny i niekompletny. Podatność trafia do katalogu, gdy wykorzystywanie zostanie zaobserwowane i potwierdzone, czyli z definicji po fakcie. Świeży, celowany atak może korzystać z czegoś, czego w KEV jeszcze nie ma. Dlatego CVSS i EPSS zostają w układzie jako pozostałe wymiary, a nie znikają.

Przy małej liczbie znalezisk kolejność ma mniejsze znaczenie. Jeśli masz pięć otwartych podatności, po prostu napraw wszystkie i nie filozofuj. Ranking zaczyna się liczyć wtedy, gdy znalezisk są setki i fizycznie nie da się zrobić wszystkiego naraz. Wtedy kolejność to różnica między byciem bezpiecznym a byciem zajętym.

W praktyce

Ręczne układanie setek podatności według kilku wymiarów naraz jest niewykonalne, więc to jest dokładnie ta część, którą warto zautomatyzować. Kolejka Secvalis ustawia najpierw KEV, a następnie uwzględnia wagę, przekroczony termin, krytyczność i ekspozycję zasobu oraz wiek znaleziska. EPSS jest dodatkowym sygnałem prognostycznym, ale nie należy udawać, że jest obecnie osobnym kluczem sortowania. Jeśli chcesz zobaczyć kolejkę na przykładowej flocie, wejdź do demo.

Naprawianie podatności w kolejności malejącego CVSS wygląda na porządne i daje poczucie postępu. Problem w tym, że atakujący nie czyta Twojej listy od góry. Wchodzi tam, gdzie ma działający exploit, a Twoja kolejność powinna to odzwierciedlać, zanim on to wykorzysta.

Źródła

• CISA: Known Exploited Vulnerabilities Catalog
• FIRST: Exploit Prediction Scoring System