CVE-bewaking dat leidt tot actie.

Bijgewerkt op 16 september 2026

A CVE (Veelvoorkomende kwetsbaarheden en blootstellingen) is de publieke identificatie van een kwetsbaarheid. Meer dan 40.000 werden gepubliceerd in 2024, en de curve is sinds 2016 niet afgevlakt (CVE-programmastatistieken). Een team dat rond de dertig onderdelen draait, zal er in de loop van het jaar enkele tientallen tegenkomen die er daadwerkelijk mee te maken hebben. Het hele probleem ligt in die verhouding.

De werkelijke kosten van lawaai

Het lezen van elke gepubliceerde CVE zou meer dan twee uur per werkdag in beslag nemen, bij een relevantiepercentage van minder dan één procent. Niemand houdt dat tempo vol. Wat er in de praktijk gebeurt, is erger dan opgeven: het team leest twee weken, bladert dan, filtert vervolgens op ‘kritiek’ en stopt dan met openen. Op de dag dat een fout hen echt zorgen baart, belandt de melding op een kanaal waar niemand meer naar kijkt.

Het echte risico is dus het afvlakken, niet het volume. Een monitoringopstelling wordt beoordeeld op één vraag: leest iemand het over een half jaar nog?

Een bereik opbouwen en actueel houden

Een monitoringbereik is de lijst met wat u uitvoert, met versies. Er zijn drie manieren om het te bouwen: handmatig invoeren, een SBOM (Softwarestuklijst, de componenteninventaris die wordt geproduceerd door uw software-buildpijplijn), of laat de technologieën achter een openbare URL detecteren. Wacht twee minuten voor ongeveer tien componenten.

Het moeilijkste is niet het creëren ervan, maar het actueel houden ervan. Een versie-upgrade, een toegevoegde bibliotheek, een server die wordt overgenomen van een client: elke niet-geregistreerde wijziging is een blinde vlek. Het importeren van een SBOM bij elke release is het enige mechanisme dat stand houdt in de loop van de tijd, omdat het niet afhankelijk is van iemands geheugen.

Drie signalen voor het stellen van prioriteiten, en wanneer ze allemaal de fout in gaan

Zodra de lijst is beperkt, moet u nog steeds de volgorde kiezen. Drie openbare referenties beantwoorden dit, en ze moeten in deze exacte volgorde worden gelezen.

KEV eerst: de catalogus van actief uitgebuite kwetsbaarheden, gepubliceerd door het Amerikaanse cybersecuritybureau. Het is geen voorspelling, het is een observatie: de lijst met branden die al branden. Een CVE die zich in de KEV bevindt en aanwezig is in uw omgeving, wordt gerepareerd, geen discussie. De beperking: het vermeldt alleen wat is waargenomen en gerapporteerd, dus het komt soms na exploitatie binnen. Hoe de KEV-catalogus te lezen.

EPSS volgende: een waarschijnlijkheid van uitbuiting die binnen de komende dertig dagen wordt waargenomen, elke ochtend opnieuw berekend. Het is de weersvoorspelling: je maakt geen ruzie met de kans op regen, je neemt een paraplu mee. De beperking ervan: het beschrijft de wereld, niet jij. Een zeer waarschijnlijke fout in een dienst die u niet blootlegt, baart u nauwelijks zorgen. Wat EPSS voorspelt en wat niet.

CVSS als laatste: de intrinsieke ernst, van 0 tot 10. Het is de omvang van een aardbeving: de kracht van de gebeurtenis, ongeacht of er een stad erboven ligt. De beperking ervan is de belangrijkste om te weten: de meeste CVEs-geclassificeerde kritische gebruikers worden nooit uitgebuit. Hoe een CVSS-vector te lezen, en de rekenmachine om er een te bouwen.

Een regel die u kunt gebruiken zoals deze is: alles in de KEV en aanwezig in uw omgeving wordt binnen 48 uur afgehandeld; vervolgens alles met een EPSS boven 0.1; CVSS dient alleen om een ​​gelijkspel tussen twee kandidaten te verbreken.

Wat gebeurt er na de waarschuwing

Een waarschuwing die nergens toe leidt, is een kostenpost zonder rendement. Het volledige pad heeft vier statussen: ontvangen, geanalyseerd, gerepareerd, opgelost. Elke waarschuwing heeft een genoemde eigenaar; Elke statuswijziging laat een gedateerd verslag achter, dat net zo nuttig is voor het team als voor een auditor zes maanden later.

Twee vertragingen die niet met elkaar verward moeten worden, omdat ze overal door elkaar gehaald worden. De synchronisatie: hoe vaak de feeds worden herlezen. De verwerking: de tijd tussen het lezen van een CVE en het verzenden van de melding, die bij ons onder de 30 seconden blijft. Geen enkel hulpmiddel kan sneller zijn dan de synchronisatiefrequentie, en elke leverancier die slechts één cijfer aankondigt, verbergt het andere.

Einde van de steun, de blinde vlek

Een end-of-life-versie zal nooit meer een patch krijgen. Het is niet nog een kwetsbaarheid: het is de garantie dat elke toekomstige kwetsbaarheid open zal blijven. Serieuze monitoring volgt daarom de datums voor het einde van de ondersteuning net zo nauwkeurig als CVEs, met voldoende kennisgeving om een ​​migratie te plannen in plaats van deze op de dag zelf te ontdekken.

Negen feeds, gecontroleerd

Geen enkele bron is op zichzelf compleet. Sinds februari 2024 is CVE-verrijking door de NVD is sterk vertraagd: veel kwetsbaarheden bleven maandenlang zonder score of productreferentie. We vergelijken negen feeds (CVE List, NVD, de KEV-catalogus, EPSS-scores, gepubliceerde proofs of concept, GitHub-adviezen, OSV, CERT-FR-publicaties en de Europese EUVD-database) om bruikbaar te blijven als een van hen achterop raakt. Bronnen en hun licenties in detail.

In de praktijk, op maandagochtend

Vier stappen, in deze volgorde, voor een team dat vanaf niets begint.

1. Declareer twintig componenten, versies inbegrepen. Geen honderd: degenen die zijn blootgesteld aan internet en degenen die gegevens bewaren.
2. Stel de drempel in. Alles in de KEV, ongeacht de score, plus alles boven de 7 in CVSS. Dat brengt u van enkele duizenden CVEs per maand naar een handvol waarschuwingen.
3. Scheid de kanalen. Essentiële items voor Slack of Teams, de rest in een dagelijks overzicht. Alles naar Slack sturen is hetzelfde als het dempen van Slack.
4. Controleer het volume na een week. Meer dan tien waarschuwingen? Verhoog de drempel. Nul? Je reikwijdte is waarschijnlijk onvolledig.

Welk hulpmiddel om dit allemaal aan te pakken

De bovenstaande methode is niet afhankelijk van welk product dan ook. Om degene te kiezen die het uitvoert, twee pagina's: de 2026-ranglijst van zes CVE-monitoringtools als je helemaal opnieuw begint, en de onderlinge vergelijkingen als u al OpenCVE, Cyberwatch of CVEDetails gebruikt. TechWatchAlert past deze methode toe, in het Frans, gehost in Frankrijk, met een gratis abonnement om het op uw eigen scope uit te proberen.