Comprendere le vulnerabilità, senza il gergo
Sono sufficienti quattro acronimi per valutare qualsiasi avviso di sicurezza. CVE ti dice con quale difetto hai a che fare. CVSS ti dice quanti danni potrebbe fare. EPSS ti dice quanto è probabile che venga sfruttato. KEV ti dice se lo è già. Dal più teorico al più certo.
Un venerdì sera ricevi un avviso: "CVSS 9.8, critico". Dovresti cancellare il tuo fine settimana? Queste quattro guide ti forniscono ciò di cui hai bisogno per decidere in trenta secondi e per difendere tale decisione nella riunione di lunedì.
Da dove cominciare: l'ordine di lettura
Leggili in questo ordine. Ognuno si basa sul precedente e nessuno richiede più di otto minuti.
- CVE primo, perché è il numero a cui si aggancia tutto il resto. Senza di esso, due strumenti non possono essere sicuri che significhino lo stesso difetto.
- CVSS successivo, perché è il numero che vedrai ovunque e quello più spesso frainteso.
- EPSS terzo, perché risolve il principale punto debole di CVSS: la gravità non è probabilità.
- L'KEV ultimo, perché è l'unico dei quattro che non prevede nulla: osserva. Una volta capito questo, stabilire le priorità diventa semplice.
I quattro quadri, fianco a fianco
Ecco la tabella che fa capire tutto: questi quattro framework non rispondono alla stessa domanda, non sono pubblicati dalle stesse organizzazioni e non invecchiano allo stesso ritmo.
| Norma | Domanda a cui risponde | Tipo di risposta | Chi lo pubblica | Cambiamenti? |
|---|---|---|---|---|
| CVE | Di quale difetto stiamo parlando? | Un identificatore | Il programma CVE (MITRE), attraverso ciascuno CNA | Il suo status, mai il suo numero |
| CVSS | Quanti danni se viene sfruttata? | Un punteggio da 0 a 10 | FIRST, applicato da NVD e CNA | No, per il punteggio base |
| EPSS | Quante probabilità ci sono che venga sfruttato entro 30 giorni? | Una probabilità da 0 a 1 | FIRST | Sì, ricalcolato quotidianamente |
| KEV | Viene sfruttato in questo momento? | Un fatto osservato: sì o no | CISA | Sì, attraverso aggiunte successive |
Cosa potrai fare dopo
- Leggi un vettore CVSS campo per campo e pronuncia ad alta voce ciò che descrive.
- Dillo all'EPSS punteggio (una probabilità) da its percentile (una classifica): la confusione più comune su questo quadro.
- Spiega in una frase perché un CVE nel tuo ambiente prevale su un altro.
- Individua un avviso inutilizzabile: un CVE senza versione interessata non può essere abbinato a nessun inventario, con nessuno strumento.
I framework attorno a CVEs
Una volta acquisite le quattro nozioni di base, tre tassonomie completano il quadro: CWE nomina il tipo di difetto dietro il difetto, CAPEC descrive come è sfruttato, e CNA sono le organizzazioni che assegnano gli identificatori e quindi, in pratica, determinano la qualità dei tuoi avvisi. Il nostro fonti di dati dettagliare i feed che controlliamo.