Gdy skanowanie zwraca więcej podatności o poziomie wysokim i krytycznym, niż zespół jest w stanie załatać w tym tygodniu, potrzebna jest kolejność prac. Sortowanie według wyniku CVSS wydaje się obiektywne, ale odpowiada na niewłaściwe pytanie. Połączenie go z EPSS, katalogiem KEV i wiedzą o własnych zasobach daje znacznie lepszą odpowiedź.
Co mierzy CVSS, a czego nie
Common Vulnerability Scoring System (CVSS), rozwijany przez FIRST, opisuje, jak poważna jest podatność. Wynik bazowy odzwierciedla wewnętrzne cechy podatności i zakłada rozsądnie najgorszy scenariusz we wszystkich środowiskach, w których może zostać wdrożony podatny produkt. Przewodnik użytkownika CVSS v4.0 opracowany przez FIRST wprost stwierdza, że wyniki bazowe mierzą wagę podatności i „nie powinny być używane samodzielnie do oceny ryzyka”.
Mimo to zwykle dostępny jest tylko wynik bazowy. Ten sam przewodnik zauważa, że opiekunowie produktów i amerykańska National Vulnerability Database zazwyczaj publikują wyłącznie wyniki bazowe. Uwzględnienie informacji o bieżących zagrożeniach i o własnym środowisku należy do Państwa.
Wektor CVSS pokazuje, jak powstał wynik. Na przykład:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H (9.8, Critical)Odczytuje się to tak: osiągalna przez sieć, niska złożoność, brak wymaganych uprawnień i interakcji z użytkownikiem, wysoki wpływ na poufność, integralność i dostępność. Wektor nie mówi nic o tym, czy ktoś wykorzystuje podatność ani czy system, którego dotyczy, jest w ogóle dostępny z zewnątrz w Państwa sieci.
CVSS v3.1 i v4.0 w skrócie
CVSS v4.0 opublikowano w listopadzie 2023 roku. Obie wersje stosują te same przedziały jakościowe: niski (Low) od 0,1 do 3,9, średni (Medium) od 4,0 do 6,9, wysoki (High) od 7,0 do 8,9 i krytyczny (Critical) od 9,0 do 10,0. W biuletynach bezpieczeństwa jeszcze przez jakiś czas będą się pojawiać obie wersje.
| Zagadnienie | CVSS v3.1 | CVSS v4.0 |
|---|---|---|
| Grupy metryk | Bazowe (Base), czasowe (Temporal), środowiskowe (Environmental) | Bazowe, zagrożeń (Threat), środowiskowe, uzupełniające (Supplemental) |
| Informacje o exploitach | Grupa czasowa z trzema metrykami | Grupa zagrożeń wyłącznie z metryką dojrzałości exploita (Exploit Maturity) |
| Szerszy wpływ | Metryka zakresu (Scope) | Osobne skutki dla podatnego systemu i dla systemów kolejnych |
| Warunki ataku | Złożoność ataku (Attack Complexity) | Złożoność ataku oraz nowa metryka wymagań ataku (Attack Requirements) |
| Interakcja z użytkownikiem | Brak lub wymagana | Brak, pasywna lub aktywna |
| Oznaczenia | Jeden wynik | CVSS-B, CVSS-BT, CVSS-BE lub CVSS-BTE, zależnie od użytych grup |
Oznaczenia z wersji 4.0 są przydatne. Wynik oznaczony jako CVSS-B to wyłącznie wynik bazowy, więc wiadomo, że nie uwzględniono zagrożeń ani środowiska. Metryki uzupełniające, takie jak możliwość zautomatyzowania ataku, dodają kontekst bez zmiany wyniku.
EPSS – jak prawdopodobne jest wykorzystanie podatności?
Exploit Prediction Scoring System (EPSS), również prowadzony przez FIRST, szacuje prawdopodobieństwo, że opublikowana podatność CVE zostanie wykorzystana w rzeczywistych atakach w ciągu najbliższych 30 dni. Wyniki mieszczą się w przedziale od 0 do 1 i są publikowane codziennie dla każdej CVE, bezpłatnie, jako plik CSV do pobrania i przez API.
Przewodnik użytkownika FIRST proponuje połączenie EPSS z CVSS w prostą macierz czterech ćwiartek:
| Niski CVSS | Wysoki CVSS | |
|---|---|---|
| Wysoki EPSS | Prawdopodobnie zostanie wykorzystana, sama w sobie ma ograniczony wpływ; warto sprawdzić, czy da się ją połączyć z innymi | Łatać w pierwszej kolejności |
| Niski EPSS | Zwykle można obniżyć jej priorytet | Poważna, ale mniej prawdopodobne, że zostanie wykorzystana; monitorować zmiany |
Przewodnik równie jasno opisuje ograniczenia. EPSS obejmuje wyłącznie zagrożeniową stronę ryzyka, więc „nigdy nie powinien być traktowany jako wynik ryzyka”. Nie wie, jakie systemy Państwo utrzymują, na ile są one wystawione na ataki ani jakie dane przechowują. Niski wynik nigdy też nie oznacza zera.
KEV – czy podatność jest już wykorzystywana?
Katalog CISA Known Exploited Vulnerabilities (KEV) zawiera podatności, w przypadku których istnieją wiarygodne dowody wykorzystania w rzeczywistych atakach. Podatność trafia do katalogu tylko wtedy, gdy spełnione są trzy warunki:
- ma identyfikator CVE
- istnieją wiarygodne dowody aktywnego wykorzystania; samo skanowanie, badania i kod proof-of-concept się nie liczą
- istnieją jasne zalecenia naprawcze, np. aktualizacja producenta
Dyrektywa operacyjna BOD 22-01 (Binding Operational Directive 22-01) zobowiązuje amerykańskie federalne agencje cywilne do usuwania podatności z KEV w wyznaczonych terminach. Inne organizacje nie są nią związane, ale CISA zdecydowanie zaleca wszystkim traktowanie wpisów KEV priorytetowo w zarządzaniu podatnościami.
Organizacje europejskie mają drugie źródło. Europejska baza podatności ENISA (European Vulnerability Database, EUVD), działająca od maja 2025 roku na podstawie dyrektywy NIS2, obejmuje panel wykorzystywanych podatności. Dane CVE, biuletyny producentów i katalog KEV są do niej zasilane automatycznie.
Proste podejście do ustalania priorytetów
KEV i EPSS pomagają ustalić, jak pilna jest sprawa, a wiedza o własnych zasobach – gdzie ma ona znaczenie. Poniższe poziomy to proponowany przez nas punkt wyjścia, a nie norma. Terminy należy dostosować do własnych możliwości i apetytu na ryzyko.
| Poziom | Warunek | Proponowany termin |
|---|---|---|
| 1 | W KEV lub oznaczona jako wykorzystywana w EUVD, w systemie dostępnym z internetu lub krytycznym dla działalności | Kilka dni, z rozwiązaniami tymczasowymi, jeśli łatka nie jest jeszcze dostępna |
| 2 | W KEV w systemach wewnętrznych albo wysoki EPSS w systemie wystawionym na zewnątrz | Najbliższy cykl aktualizacji, w ciągu ok. dwóch tygodni |
| 3 | Wysoki lub krytyczny CVSS przy niskim EPSS, system niewystawiony na zewnątrz | Zwykły cykl miesięczny; regularnie sprawdzać EPSS i KEV |
| 4 | Wszystko inne | Rutynowa konserwacja albo akceptacja ryzyka z zapisaniem uzasadnienia |
To kontekst zasobów zamienia wynik w decyzję. W odniesieniu do każdego systemu należy zadać trzy pytania: czy jest dostępny z internetu, do jakich danych lub uprawnień daje dostęp i ile kosztowałaby jego awaria? W terminologii CVSS są to Państwa metryki środowiskowe.
Przykład poglądowy
Wyobraźmy sobie dwie podatności wykryte tego samego dnia. Pierwsza ma ocenę 9,8 i dotyczy wewnętrznego serwera testowego bez wrażliwych danych, ma niski wynik EPSS i nie figuruje w KEV. Druga to lokalna eskalacja uprawnień z oceną 7,8, ujęta w katalogu KEV i obecna na każdym laptopie pracownika.
Sortowanie według wyniku stawia na pierwszym miejscu pierwszą z nich. Opisane wyżej podejście stawia na pierwszym miejscu drugą. Jest ona wykorzystywana w atakach i występuje na każdym laptopie, gdzie jeden skuteczny e-mail phishingowy może dać atakującemu potrzebny przyczółek. Serwer testowy również zostanie poprawiony, w zwykłym cyklu.
Od czego zacząć
- Upewnić się, że skaner lub inwentarz zasobów zapisuje identyfikator CVE każdej podatności.
- Pobierać codzienne wyniki EPSS i listę KEV albo korzystać z narzędzia, które już to robi.
- Oznaczyć zasoby według ekspozycji i znaczenia biznesowego, choćby tylko jako „dostępne z internetu” i „krytyczne”.
- Uzgodnić z kierownictwem docelowe terminy dla każdego poziomu i monitorować ich dotrzymywanie.
- Gdy biuletyn podaje tylko wektor, odczytać go w naszym kalkulatorze CVSS i dostosować do własnego środowiska.
Jeśli wolą Państwo, aby ten proces działał w sposób ciągły, nasze zarządzane usługi bezpieczeństwa mogą przejąć śledzenie podatności i ustalanie priorytetów.
