Il catalogo CISA KEV
Il KEV (Vulnerabilità conosciute sfruttate) è il catalogo gestito da CISA, l'agenzia statunitense per la sicurezza informatica, elencando le vulnerabilità di cui è stato sfruttato confermato in natura. Non è né una stima della gravità né una probabilità: è un fatto osservato. Un CVE nell'KEV viene riparato prima degli altri.
Hai un centinaio di patch scadute e due giorni davanti a te. Da dove iniziare? L'KEV è la risposta più breve a questa domanda e l'unica basata su fatti piuttosto che su modelli.
Due immagini per renderlo concreto
L'KEV è il elenco degli incendi già segnalati. Non è una mappa del rischio incendio, e non è una previsione del tempo: è il tabellone della caserma dei pompieri, con gli indirizzi che bruciano in questo momento. Nessuno discute la probabilità lì; mandano i camion.
Anche l'KEV è un avviso di ritiro del veicolo. Finché un difetto è teorico, il produttore lo documenta. Una volta rilevati gli incidenti, emette un richiamo e la domanda non è più “devo portarlo qui?” ma “quando puoi passare?”. Questa seconda immagine aggiunge ciò che manca alla prima: il richiamo arriva dopo i primi incidenti, mai prima.
Cos'è esattamente il catalogo
Creato alla fine del 2021, il catalogo KEV elenca l'CVEs per il quale è disponibile prove attendibili di sfruttamento attivo. Ora contiene più di mille voci ed è diventata la lista prioritaria di riferimento ben oltre gli Stati Uniti.
Non pubblichiamo qui un conteggio esatto: CISA mostra il totale attuale in cima al suo catalogo, che cresce di poche voci a settimana. Un numero congelato in un articolo diventa obsoleto nel giro di pochi giorni; meglio indicarti la fonte.
I tre criteri di inclusione
Una vulnerabilità entra nell'KEV solo se soddisfa tutti tre delle seguenti condizioni:
- ha un assegnato CVE documento d'identità;
- c'è prove attendibili di sfruttamento attivo — una prova di concetto pubblicata non è sufficiente; devono essere stati osservati attacchi;
- una chiara bonifica esiste: una patch, un aggiornamento o istruzioni per rimuovere il prodotto.
Il terzo criterio spiega perché il catalogo è conservativo: CISA elenca solo ciò su cui un’organizzazione può effettivamente agire. Questo è un punto di forza per la definizione delle priorità e un limite per il rilevamento.
Cosa contiene una voce
| Campo | Cosa ti dice |
|---|---|
| CVE | L'identificatore della vulnerabilità, che consente la corrispondenza automatica con un inventario. |
| Venditore e prodotto | Il software interessato, in quanto testo libero, deve essere abbinato a un identificatore standardizzato prima che una macchina possa utilizzarlo. |
| Nome della vulnerabilità | Un titolo leggibile dall'uomo, utile in un ticket. |
| Data aggiunta | Il giorno dello sfruttamento è stato confermato. Rispetto alla data di pubblicazione dell'CVE, mostra la finestra reale. |
| Azione richiesta e data di scadenza | La prevista bonifica e la relativa scadenza, vincolano le agenzie federali statunitensi. |
| Utilizzo noto di ransomware | Indica se è noto che il difetto viene utilizzato nelle campagne ransomware. |
Un caso reale e datato: MOVEit, maggio–giugno 2023
Il 31 maggio 2023, il fornitore Progress rilascia una patch di emergenza per il suo strumento di trasferimento file, MOVEit Transfer. Il difetto è assegnato CVE-2023-34362: un'iniezione SQL che consente l'esecuzione di codice remoto non autenticato.
Il 2 giugno 2023, CISA lo aggiunge al catalogo KEV. Due giorni tra la patch e lo sfruttamento confermato. Ma la cronologia completa è ancora più dura: quando viene rilasciata la patch, il gruppo Cl0p sta già estraendo dati da diversi giorni. Da allora i conteggi pubblici sono passati 2.700 organizzazioni interessati, compresi enti governativi e fornitori di servizi di gestione buste paga che non avevano mai sentito parlare di MOVEit, ma il loro subappaltatore lo utilizzava.
Due lezioni che puoi riutilizzare così come sono: il divario tra la pubblicazione di un CVE e la sua aggiunta all'KEV a volte è meno di 48 ore; e lo sfruttamento è spesso iniziato prima della pubblicazione. L’KEV non è un avvertimento precoce, è un segnale di recupero: un motivo in più per agire rapidamente.
KEV, EPSS, CVSS: tre domande diverse
| Norma | Domanda | Tipo di risposta | Cosa gli manca |
|---|---|---|---|
| KEV | È sfruttato? | Sì o no, osservato | Tutto sfruttato senza prove pubbliche. |
| EPSS | È probabile che lo sia? | Una probabilità da 0 a 1 | Attacchi mirati, rari e quindi scarsamente previsti. |
| CVSS | Quanti danni se lo sono? | Un punteggio da 0 a 10 | Tempistica e contesto. |
I tre lavorano insieme in questo ordine: KEV innesca, EPSS anticipa, CVSS rompe i pareggi.
Il quadro normativo: dal BOD 22-01 al BOD 26-04
Il catalogo è stato realizzato tramite direttiva CDA 22-01 (novembre 2021), che richiedeva alle agenzie federali statunitensi di correggere le vulnerabilità KEV entro una data di scadenza prestabilita. Nel 2026 tale direttiva è stata abrogata e sostituita dalla CDA 26-04, che si concentra sulla definizione delle priorità delle patch in base al rischio. Il catalogo stesso rimane attivo e mantenuto.
Nessuna delle due direttive è giuridicamente vincolante per una società francese. Il loro valore sta altrove: hanno reso l'KEV un riferimento comune, citato in gare d'appalto, rapporti di audit e politiche di patch in ogni settore.
Cosa significa per te, in pratica
Tre passaggi, in questo ordine:
- Fai un riferimento incrociato all'KEV con il tuo inventario, non con tutti i tuoi avvisi. L'intero catalogo non ti riguarda; la sua sovrapposizione con i tuoi prodotti sì.
- Imposta una regola scritta: qualsiasi CVE nel tuo ambiente che appare nell'KEV viene gestito entro 48 ore, qualunque sia il suo punteggio CVSS. Una regola contenente un numero evita di rinegoziare ogni avviso.
- Attenzione alle aggiunte al catalogo, non solo alla pubblicazione di CVE. Un difetto che avete accantonato tre mesi fa potrà essere aggiunto domani: quello è un passaggio, ed è quello che dovrebbe far scattare l'allarme.