Cos'è EPSS?
Il EPSS (Sfrutta il sistema di punteggio di previsione) stime, su una scala da 0 a 1, la probabilità che una vulnerabilità venga sfruttata nel prossimi 30 giorni. Mantenuto da FIRST e ricalcolato ogni giorno, risponde non “è grave?” ma “è probabile?”.
Lo scanner segnala 400 vulnerabilità, 60 delle quali classificate critiche. Sai già che non ne risolverai 60 questa settimana. EPSS esiste per dirti chi di loro merita davvero il tuo martedì.
Cosa significa esattamente 0,92?
Un EPSS di 0.92 significa che il modello mette a 92 % la probabilità che si verifichi l'attività di sfruttamento osservato contro questo difetto nei prossimi 30 giorni. Non che verrà sfruttato nel tuo ambiente. Non che sia grave. È una scommessa statistica, riproposta ogni mattina in base a ciò che il mondo ha fatto il giorno prima con questo difetto.
Due immagini, perché una sola porta sempre a un errore di lettura. EPSS è come un previsione della possibilità di pioggia: non si discute con l'80% di possibilità che piova, si prende l'ombrello e può benissimo non piovere. È anche così quote del bookmaker: tengono conto di quello che è appena successo, si muovono ogni giorno e ti dicono qualcosa sul campo, mai sulla tua razza.
Punteggio e percentile: la confusione da evitare
EPSS pubblica due numeri per ogni CVE e le persone li confondono costantemente:
- il punteggio — la probabilità assoluta. 0,40 significa una probabilità del 40%.
- il percentile — il rango relativo tra tutti gli CVEs. Un percentile di 0,98 significa: “Il 98% degli CVEs ha un punteggio inferiore a questo”.
Poiché la stragrande maggioranza dei difetti ha un punteggio vicino allo zero, un punteggio modesto spesso corrisponde a un percentile molto alto. Un punteggio di 0,40 colloca un CVE in cima alla classifica, anche se il "40%" sembra una cifra mediocre. Imposta le tue soglie sul punteggio se pensi in termini di probabilità, sul percentile se pensi in termini di budget per la riparazione.
Come appare la distribuzione
Ecco quello che nessuno mostra, e cambia tutto: la distribuzione EPSS lo è estremamente distorto. Ordini di grandezza presi dalla distribuzione pubblicata da FIRST:
| Punteggio EPSS | Quota di CVEs | Peso relativo |
|---|---|---|
| Sotto 0,01 | circa l'80% | |
| da 0,01 a 0,10 | circa il 14% | |
| da 0,10 a 0,50 | circa il 5% | |
| Oltre 0,50 | circa l'1% |
FIRST pubblica l'esatta distribuzione giornaliera su first.org/epss/data_stats; si muove ed è il riferimento. Cosa togliere dalla sua forma: un taglio di 0,10 filtra circa 94 CVEs su 100. Nessun altro segnale filtra così intensamente con così poco sforzo.
Perché è migliore dell'ordinamento per gravità
FIRST pubblica un confronto che dovrebbe essere pubblicato nella stanza di ogni squadra di sicurezza. A parità di copertura, ovvero individuando la stessa quota di difetti che vengono effettivamente sfruttati, le due strategie di triage richiedono sforzi molto diversi:
| Strategia di triage | Sforzo (quota di CVEs da risolvere) | Copertura (difetti sfruttati rilevati) |
|---|---|---|
| Tutto con CVSS ≥ 7 | circa il 58% | circa l'82% |
| Tutto con EPSS ≥ 0,088 | circa il 7% | circa l'82% |
Stesso risultato, otto volte meno lavoro. Questo è l’argomento principale a favore di EPSS e i numeri provengono dall’organizzazione che pubblica il modello, non da un fornitore di software.
Come viene calcolato il punteggio
EPSS si basa su un modello di machine learning alimentato con segnali pubblici: se esiste una prova di concetto, se il codice di exploit è incluso in toolkit offensivi, menzioni in fonti pubbliche, il fornitore coinvolto, il tipo di debolezza (CWE), l'età dell'CVE e l'attività di sfruttamento effettivamente osservata dai sensori dei partner.
Poiché questi segnali cambiano, il punteggio di un CVE cambia nel tempo. Un difetto rimasto nascosto per sei mesi può manifestarsi entro 24 ore dal giorno in cui un exploit appare in un archivio pubblico. Un punteggio EPSS annotato tre settimane fa e copiato su un foglio di calcolo non vale niente: sono dati da rileggere, non da archiviare.
EPSS, CVSS, KEV: quale risponde a cosa
| CVSS | EPSS | KEV | |
|---|---|---|---|
| Risposte | Quanti danni? | Quanto è probabile? | Sfruttato sì o no? |
| Scala | da 0 a 10 | 0 a 1 | Binario |
| Cambiamenti? | No (punteggio base) | Ogni giorno | Per aggiunte |
| Copertine | Tutti hanno ottenuto CVEs | Tutto CVEs | Circa un migliaio di voci |
Un CVSS 9 con un EPSS di 0,01 può attendere la finestra di manutenzione. Un CVSS 6 con un EPSS di 0,8 è un problema per questa settimana. Un CVE nell'KEV, qualunque cosa dicano gli altri, è un problema per stasera.
Cosa significa per te, in pratica
Una politica di triage in quattro righe, da scrivere una volta e applicare senza dibattito:
- Nel KEV e nel tuo ambiente: riparalo entro 48 ore.
- Altrimenti, EPSS ≥ 0.10: risolvere entro la settimana. Questa soglia mantiene circa un CVE su sedici.
- Altrimenti, EPSS ≥ 0.01 e CVSS ≥ 7: ciclo di aggiornamento successivo.
- Tutto il resto: aggiornamenti di routine, nessuna riunione necessaria.
Ricontrollare EPSS dei punti 3 e 4 ad ogni ciclo: è proprio lì che si verificano i salti improvvisi.