Wat is EPSS?
De EPSS (Maak gebruik van het voorspellingsscoresysteem) schattingen, op een schaal van 0 tot 1, de kans dat een kwetsbaarheid zal worden uitgebuit in de komende 30 dagen. Onderhouden door FIRST en elke dag opnieuw berekend, antwoordt het niet “is het ernstig?” maar “is het waarschijnlijk?”.
Uw scanner rapporteert 400 kwetsbaarheden, waarvan 60 als kritiek zijn beoordeeld. Je weet al dat je deze week geen 60 gaat repareren. EPSS bestaat om u te vertellen welke van hen uw dinsdag echt verdienen.
Wat betekent 0,92 precies?
Een EPSS van 0.92 betekent dat het model op zet 92 % de waarschijnlijkheid dat er sprake zal zijn van exploitatieactiviteit waargenomen tegen deze fout in de komende 30 dagen. Niet dat het in uw omgeving zal worden uitgebuit. Niet dat het ernstig is. Het is een statistische weddenschap die elke ochtend opnieuw wordt geplaatst op basis van wat de wereld de dag ervoor met deze fout heeft gedaan.
Twee afbeeldingen, want één enkel beeld leidt altijd tot een verkeerde lezing. EPSS is als een kans op regen voorspeld: je maakt geen ruzie met 80% kans op regen, je neemt een paraplu, en het kan heel goed niet regenen. Het is ook zo odds van de bookmaker: ze houden rekening met wat er net is gebeurd, ze bewegen elke dag en ze vertellen je iets over het veld, nooit over je eigen race.
Score en percentiel: de verwarring die u moet vermijden
EPSS publiceert twee cijfers voor elke CVE, en mensen halen ze voortdurend door elkaar:
- de scoren — de absolute waarschijnlijkheid. 0,40 betekent een kans van 40%.
- de percentiel — de relatieve rangorde onder alle CVEs. Een percentiel van 0,98 betekent: “98% van CVEs heeft een lagere score dan deze.”
Omdat de overgrote meerderheid van de tekortkomingen een score van bijna nul heeft, komt een bescheiden score vaak overeen met een zeer hoog percentiel. Een cijfer van 0,40 plaatst een CVE bovenaan de ranglijst, ook al klinkt “40%” als een gemiddeld cijfer. Stel uw drempels in op de score als u denkt in termen van waarschijnlijkheid, en op het percentiel als u denkt in termen van herstelbudget.
Hoe de verdeling eruit ziet
Dit is wat niemand laat zien, en het verandert alles: de EPSS-distributie is dat wel extreem scheef. Orden van grootte ontleend aan de distributie gepubliceerd door FIRST:
| EPSS-score | Aandeel van CVEs | Relatief gewicht |
|---|---|---|
| Onder 0,01 | ongeveer 80% | |
| 0,01 tot 0,10 | ongeveer 14% | |
| 0,10 tot 0,50 | ongeveer 5% | |
| Boven de 0,50 | ongeveer 1% |
FIRST publiceert de exacte dagelijkse distributie op first.org/epss/data_stats; het beweegt en het is de referentie. Wat je van de vorm moet afleiden: een grenswaarde van 0,10 filtert ongeveer 94 CVEs in 100 weg. Geen enkel ander signaal filtert zo hard en met zo weinig moeite.
Waarom het beter is dan sorteren op ernst
FIRST publiceert een vergelijking die in de kamer van elk beveiligingsteam zou moeten worden geplaatst. Bij gelijke dekking – dat wil zeggen, het opsporen van hetzelfde deel van de tekortkomingen die daadwerkelijk worden uitgebuit – vergen de twee triagestrategieën heel verschillende hoeveelheden inspanning:
| Triage-strategie | Inspanning (aandeel van CVEs om te repareren) | Dekking (uitgebuite gebreken ontdekt) |
|---|---|---|
| Alles met CVSS ≥ 7 | ongeveer 58% | ongeveer 82% |
| Alles met EPSS ≥ 0,088 | ongeveer 7% | ongeveer 82% |
Hetzelfde resultaat, acht keer minder werk. Dat is het kernargument voor EPSS, en de cijfers komen van de organisatie die het model publiceert – niet van een softwareleverancier.
Hoe de score wordt berekend
EPSS is gebaseerd op een machine learning-model dat wordt gevoed met publieke signalen: of er een proof of concept bestaat, of exploitcode is opgenomen in aanstootgevende toolkits, vermeldingen in openbare bronnen, de betrokken leverancier, het type zwakte (CWE), de leeftijd van de CVE en de exploitatieactiviteit die daadwerkelijk wordt waargenomen door de sensoren van partners.
Omdat deze signalen veranderen, De score van een CVE verandert in de loop van de tijd. Een fout die zes maanden stil bleef, kan binnen 24 uur opduiken op de dag dat een exploit in een openbare repository verschijnt. Een EPSS-score die drie weken geleden werd genoteerd en naar een spreadsheet werd gekopieerd, is waardeloos: het zijn gegevens die opnieuw moeten worden gelezen, niet om te archiveren.
EPSS, CVSS, KEV: welke antwoordt wat
| CVSS | EPSS | KEV | |
|---|---|---|---|
| Antwoorden | Hoeveel schade? | Hoe waarschijnlijk? | Uitgebuit, ja of nee? |
| Schaal | 0 tot 10 | 0 tot 1 | Binair |
| Veranderingen? | Nee (basisscore) | Dagelijks | Door toevoegingen |
| Hoezen | Ze scoorden allemaal CVEs | Alle CVEs | Ongeveer duizend inzendingen |
Een CVSS 9 met een EPSS van 0,01 kan wachten op het onderhoudsvenster. Een CVSS 6 met een EPSS van 0,8 is een probleem voor deze week. Een CVE in de KEV is, wat de rest ook zegt, een probleem voor vanavond.
Wat het voor u betekent, in de praktijk
Een triagebeleid met vier regels, één keer schrijven en zonder debat toepassen:
- In de KEV en in uw omgeving: binnen 48 uur opgelost.
- Anders, EPSS ≥ 0.10: binnen een week opgelost. Deze drempel houdt ongeveer één CVE op zestien aan.
- Anders, EPSS ≥ 0.01 en CVSS ≥ 7: volgende updatecyclus.
- Al het andere: routinematige updates, geen vergadering nodig.
Controleer de EPSS van items 3 en 4 bij elke cyclus opnieuw: dat is precies waar plotselinge sprongen plaatsvinden.