¿Qué es EPSS?
el EPSS (Explotar el sistema de puntuación de predicción) estimaciones, en una escala de 0 a 1, la probabilidad de que una vulnerabilidad sea explotada en el los próximos 30 días. Mantenido por FIRST y recalculado todos los días, no responde “¿es grave?” sino "¿es probable?".
Su escáner informa 400 vulnerabilidades, 60 de ellas críticas. Ya sabes que no arreglarás 60 esta semana. EPSS existe para decirte cuál de ellos realmente merece tu martes.
¿Qué significa exactamente 0,92?
Un EPSS de 0.92 significa que el modelo pone en 92 % la probabilidad de que la actividad de explotación sea observado contra esta falla en los próximos 30 días. No es que vaya a ser explotado en su entorno. No es que sea grave. Es una apuesta estadística, que se repite cada mañana en función de lo que hizo el mundo con este defecto el día anterior.
Dos imágenes, porque una sola siempre lleva a una mala lectura. EPSS es como un pronóstico de probabilidad de lluvia: no se discute un 80% de posibilidades de lluvia, se coge un paraguas y es muy posible que no llueva. También es como probabilidades de la casa de apuestas: tienen en cuenta lo que acaba de suceder, se mueven todos los días y te dicen algo sobre el campo, nunca sobre tu propia carrera.
Puntuación y percentil: la confusión a evitar
EPSS publica dos números para cada CVE y la gente los confunde constantemente:
- el puntuación — la probabilidad absoluta. 0,40 significa un 40% de probabilidad.
- el percentil — el rango relativo entre todos los CVEs. Un percentil de 0,98 significa: “El 98% de CVEs tiene una puntuación inferior a esta”.
Debido a que la gran mayoría de los defectos tienen una puntuación cercana a cero, una puntuación modesta a menudo corresponde a un percentil muy alto. una puntuación de 0,40 coloca a un CVE cerca de la cima del ranking, aunque “40%” suena como una cifra mediocre. Establezca sus umbrales en la puntuación si piensa en términos de probabilidad, en el percentil si piensa en términos de presupuesto de remediación.
Cómo se ve la distribución
Esto es lo que nadie muestra y lo cambia todo: la distribución EPSS es extremadamente sesgado. Órdenes de magnitud tomadas de la distribución publicada por FIRST:
| Puntuación EPSS | Participación de CVEs | Peso relativo |
|---|---|---|
| Por debajo de 0,01 | alrededor del 80% | |
| 0,01 a 0,10 | alrededor del 14% | |
| 0,10 a 0,50 | alrededor del 5% | |
| Por encima de 0,50 | alrededor del 1% |
FIRST publica la distribución diaria exacta en first.org/epss/data_stats; se mueve y es la referencia. Qué quitar de su forma: un límite de 0,10 filtra aproximadamente 94 CVEs en 100. Ninguna otra señal filtra tan fuerte con tan poco esfuerzo.
Por qué es mejor que ordenar por gravedad
FIRST publica una comparación que debería publicarse en la sala de cada equipo de seguridad. Con la misma cobertura, es decir, detectando la misma proporción de fallas que realmente se explotan, las dos estrategias de clasificación requieren cantidades de esfuerzo muy diferentes:
| Estrategia de triaje | Esfuerzo (participación de CVEs para arreglar) | Cobertura (defectos explotados detectados) |
|---|---|---|
| Todo con CVSS ≥ 7 | alrededor del 58% | alrededor del 82% |
| Todo con EPSS ≥ 0,088 | alrededor del 7% | alrededor del 82% |
Mismo resultado, ocho veces menos trabajo. Ese es el argumento central a favor de EPSS, y las cifras provienen de la organización que publica el modelo, no de un proveedor de software.
Cómo se calcula la puntuación
EPSS se basa en un modelo de aprendizaje automático alimentado con señales públicas: si existe una prueba de concepto, si el código de explotación está incluido en kits de herramientas ofensivos, menciones en fuentes públicas, el proveedor involucrado, el tipo de debilidad (CWE), la antigüedad del CVE y la actividad de explotación realmente observada por los sensores de los socios.
Debido a que estas señales cambian, La puntuación de un CVE cambia con el tiempo.. Una falla que permaneció oculta durante seis meses puede saltar dentro de las 24 horas siguientes al día en que aparece un exploit en un repositorio público. Una puntuación EPSS anotada hace tres semanas y copiada en una hoja de cálculo no tiene valor: son datos para releer, no para archivar.
EPSS, CVSS, KEV: cuál responde qué
| CVSS | EPSS | KEV | |
|---|---|---|---|
| Respuestas | ¿Cuánto daño? | ¿Qué tan probable? | Explotados, ¿sí o no? |
| Escala | 0 a 10 | 0 a 1 | binario |
| ¿Cambios? | No (puntaje base) | Diariamente | Por adiciones |
| Cubiertas | Todos puntuados CVEs | Todo CVEs | Alrededor de mil entradas |
Un CVSS 9 con un EPSS de 0,01 puede esperar hasta la ventana de mantenimiento. Un CVSS 6 con un EPSS de 0,8 es un problema para esta semana. Un CVE en el KEV, diga lo que diga el resto, es un problema para esta noche.
Lo que significa para ti, en la práctica
Una política de clasificación de cuatro líneas, para redactar una vez y aplicar sin debate:
- en el KEV y en su entorno: solucionar en 48 horas.
- De lo contrario, EPSS ≥ 0.10: arreglar dentro de la semana. Este umbral se mantiene aproximadamente en un CVE de cada dieciséis.
- De lo contrario, EPSS ≥ 0.01 y CVSS ≥ 7: próximo ciclo de actualización.
- Todo lo demás: actualizaciones de rutina, no es necesaria ninguna reunión.
Vuelva a verificar el EPSS de los elementos 3 y 4 en cada ciclo: ahí es exactamente donde ocurren los saltos repentinos.