O que é EPSS?
O EPSS (Explorar o sistema de pontuação de previsão) estimativas, em uma escala de 0 a 1, a probabilidade de que uma vulnerabilidade seja explorada no próximos 30 dias. Mantido por FIRST e recalculado todos os dias, não responde “é sério?” mas “é provável?”.
Seu scanner relata 400 vulnerabilidades, 60 delas classificadas como críticas. Você já sabe que não vai consertar 60 esta semana. O EPSS existe para te dizer quais deles realmente merecem a sua terça-feira.
O que exatamente significa 0,92?
Um EPSS de 0.92 significa que o modelo coloca em 92 % a probabilidade de que a actividade de exploração seja observado contra esta falha nos próximos 30 dias. Não que isso seja explorado em seu ambiente. Não que seja grave. É uma aposta estatística, feita novamente todas as manhãs com base no que o mundo fez com esta falha no dia anterior.
Duas imagens, porque uma só sempre leva a uma leitura errada. EPSS é como um previsão de chuva: você não discute com 80% de chance de chuva, você leva um guarda-chuva e pode muito bem não chover. Também é como probabilidades da casa de apostas: eles levam em consideração o que acabou de acontecer, mudam todos os dias e contam algo sobre o campo, nunca sobre sua própria raça.
Pontuação e percentil: a confusão a evitar
EPSS publica dois números para cada CVE, e as pessoas os confundem constantemente:
- o pontuação - a probabilidade absoluta. 0,40 significa 40% de chance.
- o percentil — a classificação relativa entre todos os CVEs. Um percentil de 0,98 significa: “98% dos CVEs têm uma pontuação inferior a esta.”
Como a grande maioria das falhas tem uma pontuação próxima de zero, uma pontuação modesta geralmente corresponde a um percentil muito alto. Uma pontuação de 0,40 coloca um CVE próximo ao topo da classificação, embora “40%” pareça um número mediano. Defina seus limites na pontuação se você pensar em termos de probabilidade, no percentil se você pensar em termos de orçamento para remediação.
Como é a distribuição
Aqui está o que ninguém mostra e muda tudo: a distribuição EPSS é extremamente distorcido. Ordens de grandeza retiradas da distribuição publicada por FIRST:
| Pontuação EPSS | Participação de CVEs | Peso relativo |
|---|---|---|
| Abaixo de 0,01 | cerca de 80% | |
| 0,01 a 0,10 | cerca de 14% | |
| 0,10 a 0,50 | cerca de 5% | |
| Acima de 0,50 | cerca de 1% |
FIRST publica a distribuição diária exata em first.org/epss/data_stats; ele se move e é a referência. O que tirar de sua forma: um corte de 0,10 filtra cerca de 94 CVEs em 100. Nenhum outro sinal filtra com tanta força com tão pouco esforço.
Por que é melhor do que classificar por gravidade
FIRST publica uma comparação que deve ser afixada na sala de cada equipe de segurança. Com cobertura igual – isto é, detectando a mesma parcela de falhas que realmente são exploradas – as duas estratégias de triagem exigem esforços muito diferentes:
| Estratégia de triagem | Esforço (parcela de CVEs para consertar) | Cobertura (falhas exploradas detectadas) |
|---|---|---|
| Tudo com CVSS ≥ 7 | cerca de 58% | cerca de 82% |
| Tudo com EPSS ≥ 0,088 | cerca de 7% | cerca de 82% |
Mesmo resultado, oito vezes menos trabalho. Esse é o principal argumento para o EPSS, e os números vêm da organização que publica o modelo – não de um fornecedor de software.
Como a pontuação é calculada
O EPSS é baseado em um modelo de aprendizado de máquina alimentado com sinais públicos: se existe uma prova de conceito, se o código de exploração está incluído em kits de ferramentas ofensivos, menções em fontes públicas, o fornecedor envolvido, o tipo de fraqueza (CWE), a idade do CVE e a atividade de exploração realmente observada pelos sensores dos parceiros.
Como esses sinais mudam, a pontuação de um CVE muda com o tempo. Uma falha que permaneceu silenciosa por seis meses pode saltar dentro de 24 horas a partir do dia em que uma exploração aparece em um repositório público. Uma pontuação EPSS anotada há três semanas e copiada em uma planilha não vale nada: são dados para reler, não para arquivar.
EPSS, CVSS, KEV: qual responde o quê
| CVSS | EPSS | KEV | |
|---|---|---|---|
| Respostas | Quanto dano? | Qual a probabilidade? | Explorado, sim ou não? |
| Escala | 0 a 10 | 0 a 1 | Binário |
| Mudanças? | Não (pontuação base) | Diariamente | Por adições |
| Capas | Todos pontuados CVEs | Todos CVEs | Cerca de mil entradas |
Um CVSS 9 com EPSS de 0,01 pode aguardar a janela de manutenção. Um CVSS 6 com um EPSS de 0,8 é um problema para esta semana. Um CVE no KEV, digam o que o resto diz, é um problema para esta noite.
O que isso significa para você, na prática
Uma política de triagem de quatro linhas, para escrever uma vez e aplicar sem debate:
- No KEV e no seu ambiente: corrija dentro de 48 horas.
- Caso contrário, EPSS ≥ 0.10: consertar dentro de uma semana. Este limite mantém cerca de um CVE em dezesseis.
- Caso contrário, EPSS ≥ 0.01 e CVSS ≥ 7: próximo ciclo de atualização.
- Todo o resto: atualizações de rotina, sem necessidade de reunião.
Verifique novamente o EPSS dos itens 3 e 4 a cada ciclo: é exatamente aí que acontecem os saltos repentinos.