Levert een scan meer bevindingen met de ernst Hoog of Kritiek op dan uw team deze week kan patchen, dan hebt u een werkvolgorde nodig. Sorteren op CVSS-score voelt objectief, maar beantwoordt de verkeerde vraag. Combineer de score met EPSS, de KEV-catalogus en kennis van uw eigen systemen, en u krijgt een veel beter antwoord.
Wat CVSS meet, en wat niet
Het Common Vulnerability Scoring System (CVSS), beheerd door FIRST, beschrijft hoe ernstig een kwetsbaarheid is. De basisscore weerspiegelt de intrinsieke kenmerken van de kwetsbaarheid en gaat uit van een redelijk slechtste scenario in alle omgevingen waarin het product kan worden ingezet. De gebruikershandleiding van CVSS v4.0 van FIRST zegt expliciet dat basisscores de ernst meten en "niet als enige maatstaf moeten worden gebruikt om risico te beoordelen".
Toch is de basisscore meestal het enige wat u krijgt. Dezelfde handleiding merkt op dat productleveranciers en de Amerikaanse National Vulnerability Database doorgaans alleen basisscores publiceren. Informatie over actuele dreigingen en over uw eigen omgeving toevoegen, laten ze aan u over.
Een CVSS-vector laat zien hoe de score is opgebouwd. Bijvoorbeeld:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H (9.8, Critical)Dit leest u als: bereikbaar via het netwerk, lage complexiteit, geen rechten of gebruikersinteractie nodig, hoge impact op vertrouwelijkheid, integriteit en beschikbaarheid. Het zegt niets over de vraag of iemand de kwetsbaarheid misbruikt, of dat het getroffen systeem in uw netwerk überhaupt bereikbaar is.
CVSS v3.1 en v4.0 in één oogopslag
CVSS v4.0 is in november 2023 gepubliceerd. Beide versies gebruiken dezelfde kwalitatieve klassen: Laag 0,1 tot 3,9, Gemiddeld 4,0 tot 6,9, Hoog 7,0 tot 8,9 en Kritiek 9,0 tot 10,0. U zult beide versies nog een tijd naast elkaar tegenkomen in beveiligingsadviezen.
| Onderwerp | CVSS v3.1 | CVSS v4.0 |
|---|---|---|
| Metriekgroepen | Basis, Temporeel, Omgeving | Basis, Dreiging, Omgeving, Aanvullend |
| Informatie over exploits | Temporele groep met drie metrieken | Dreigingsgroep met alleen Exploit Maturity |
| Bredere impact | Scope-metriek | Aparte impact op het kwetsbare systeem en op volgende systemen |
| Aanvalsvoorwaarden | Aanvalscomplexiteit | Aanvalscomplexiteit plus een nieuwe metriek, Attack Requirements |
| Gebruikersinteractie | Geen of Vereist | Geen, Passief of Actief |
| Labels | Eén score | CVSS-B, CVSS-BT, CVSS-BE of CVSS-BTE, afhankelijk van de gebruikte groepen |
De labels van v4.0 zijn nuttig. Een score met het label CVSS-B is alleen een basisscore, dus u weet dat dreiging en omgeving niet zijn meegewogen. Aanvullende metrieken, zoals de vraag of misbruik kan worden geautomatiseerd, geven context zonder de score te veranderen.
EPSS: hoe waarschijnlijk is misbruik?
Het Exploit Prediction Scoring System (EPSS), eveneens van FIRST, schat de kans dat een gepubliceerde CVE in de komende 30 dagen in de praktijk wordt misbruikt. Scores lopen van 0 tot 1 en worden dagelijks gratis gepubliceerd voor elke CVE, als CSV-download en via een API.
De gebruikershandleiding van FIRST stelt voor om EPSS en CVSS te combineren in een eenvoudig kwadrant:
| Lage CVSS | Hoge CVSS | |
|---|---|---|
| Hoge EPSS | Waarschijnlijk misbruikt, op zichzelf beperkt; controleer of de kwetsbaarheid in een aanvalsketen kan worden gebruikt | Eerst patchen |
| Lage EPSS | Kan doorgaans lagere prioriteit krijgen | Ernstig, maar minder waarschijnlijk misbruikt; houd veranderingen in de gaten |
De handleiding is net zo duidelijk over de beperkingen. EPSS dekt alleen de dreigingskant van risico, dus het "mag nooit worden behandeld als een risicoscore". Het weet niet welke systemen u gebruikt, hoe blootgesteld die zijn of welke gegevens erop staan. Een lage score betekent ook nooit nul.
KEV: wordt de kwetsbaarheid al misbruikt?
De catalogus Known Exploited Vulnerabilities (KEV) van CISA bevat kwetsbaarheden waarvoor betrouwbaar bewijs bestaat dat ze in de praktijk worden misbruikt. Een kwetsbaarheid wordt alleen toegevoegd als aan drie voorwaarden is voldaan:
- er is een CVE-ID
- er is betrouwbaar bewijs van actief misbruik; scannen, onderzoek en proof-of-conceptcode tellen op zichzelf niet mee
- er is een duidelijke oplossing, zoals een update van de leverancier
Binding Operational Directive 22-01 verplicht Amerikaanse federale civiele overheidsinstanties om KEV-vermeldingen binnen vastgestelde termijnen te verhelpen. Andere organisaties zijn er niet aan gebonden, maar CISA raadt iedereen met klem aan om KEV-vermeldingen voorrang te geven in het kwetsbaarheidsbeheer.
Europese organisaties hebben een tweede bron. De European Vulnerability Database (EUVD) van ENISA, operationeel sinds mei 2025 op grond van de NIS2-richtlijn, bevat een dashboard met misbruikte kwetsbaarheden. CVE-gegevens, adviezen van leveranciers en de KEV-catalogus worden er automatisch in ingelezen.
Een eenvoudige aanpak voor prioritering
Gebruik KEV en EPSS om te bepalen hoe urgent iets is, en uw eigen kennis van uw systemen om te bepalen waar het ertoe doet. De niveaus hieronder zijn een vertrekpunt dat wij voorstellen, geen standaard. Pas de termijnen aan uw eigen capaciteit en risicobereidheid aan.
| Niveau | Voorwaarde | Voorgestelde termijn |
|---|---|---|
| 1 | In KEV of in de EUVD gemarkeerd als misbruikt, op een systeem dat vanaf het internet bereikbaar of bedrijfskritisch is | Dagen; gebruik mitigerende maatregelen als patchen nog niet mogelijk is |
| 2 | In KEV op interne systemen, of hoge EPSS op een blootgesteld systeem | Volgende patchcyclus, binnen ongeveer twee weken |
| 3 | Hoge of kritieke CVSS met lage EPSS, niet blootgesteld | Normale maandelijkse cyclus; controleer EPSS en KEV regelmatig opnieuw |
| 4 | Al het andere | Regulier onderhoud, of accepteer het risico en leg vast waarom |
Pas met de context van uw systemen wordt een score een beslissing. Stel bij elk systeem drie vragen: is het bereikbaar vanaf het internet, welke gegevens of toegang biedt het, en wat kost een storing? In CVSS-termen zijn dit uw omgevingsmetrieken.
Een voorbeeld ter illustratie
Stel dat er op dezelfde dag twee bevindingen binnenkomen. De eerste heeft een score van 9,8, zit op een interne testserver zonder gevoelige gegevens, heeft een lage EPSS-score en staat niet in KEV. De tweede is een lokale privilege-escalatie met score 7,8 die in de KEV-catalogus staat en op elke laptop van uw medewerkers voorkomt.
Sorteren op score zet de eerste bovenaan. De aanpak hierboven zet de tweede op één. Die wordt actief misbruikt en zit op elke laptop, waar één geslaagde phishingmail een aanvaller de voet aan de grond kan geven die hij nodig heeft. De testserver wordt ook gerepareerd, in de normale cyclus.
Waar u begint
- Zorg dat uw scanner of inventaris van systemen bij elke bevinding de CVE-ID vastlegt.
- Haal dagelijks de EPSS-scores en de KEV-lijst op, of gebruik een tool die dat al doet.
- Label uw systemen naar blootstelling en bedrijfsbelang, al is het maar als "bereikbaar vanaf internet" en "kritiek".
- Spreek met het management doeltermijnen per niveau af en houd bij of ze worden gehaald.
- Geeft een advies alleen een vector, lees die dan met onze CVSS-calculator en pas hem aan uw omgeving aan.
Wilt u dit liever continu laten uitvoeren? Met onze dienst beheerde beveiliging nemen wij het bijhouden en prioriteren van kwetsbaarheden van u over.
