TL; DR
רוב רשימות הפגיעויות מספרות לך מה יכול להשתבש. CISקטלוג KEV אומר לך מה משתבש כרגע. פגיעויות מנוצלות ידועות (KEV) הן פגיעויות CVE שאושרו כמנוצלות באופן פעיל בטבע. CISA מתחזק את הקטלוג הרשמי וקובע לוחות זמנים לתיקון בעיות עבור סוכנויות פדרליות באמצעות הנחיה מבצעית מחייבת 22-01. רוב הארגונים הפרטיים משתמשים באותה רשימה כדי לחתוך רעשי התרעה ולזהות מה באמת צריך לתקן קודם.
CVSS, EPSS ו-KEV עונים על שלוש שאלות שונות. CVSS מודד חומרה תיאורטית - עד כמה זה יכול להיות גרוע? EPSS מנבא את הסתברות הניצול תוך 30 יום - מה הסבירות שזה יהיה מטרה? KEV מאשר ניצול פעיל - האם זה מותקף כרגע? פגיעות עם ציון CVSS בינוני, ציון EPSS גבוה ותג KEV דחופה יותר מציון CVSS קריטי ללא ראיות לניצול. שלושת הסימנים פועלים יחד, לא לסירוגין.
KEV בתלות שלך אינו סיכון תיאורטי - יש לו דד-ליין. KEVs כוללים לעתים קרובות רכיבים, מסגרות, קונטיינרים ו... של צד שלישי. CI/CD תלויות שהצוותים מניחים שהן בטוחות. אושר כי CVE-2023-4966 (CitrixBleed) נוצל תוך ימים ספורים מרגע הגילוי. CVE-2024-1086 נתפס על ידי קבוצות כופר זמן קצר לאחר כניסתו לקטלוג KEV. standard חלון התיקון עבור KEVs הפונים לאינטרנט הוא 1-3 ימים, לא מחזור התיקון הרגיל.
פוסט זה מכסה: מהם KEVs וכיצד הם שונים מ-CVEs, CVSS ו-EPSS; כיצד לבנות זרימת עבודה של קביעת סדרי עדיפויות סביב ה- CISקטלוג; ואיך קסיגני אוטומציה של קורלציה של KEV, אכיפת מעקות בטיחות ותיקון ברחבי CI/CD pipelines - כולל מדיניות מעקה בטיחות YAML פועלת.
מהן פגיעויות ידועות שמנוצלות (KEV)?
כל סורק פגיעויות מייצר ממצאים המדורגים לפי חומרת CVSS. הבעיה היא ש-CVSS מודד השפעה תיאורטית, לא ניצול פעיל. CISקטלוג פגיעויות ידועות שמנוצלות (KEV) פותר בעיה שונה ודחופה יותר: הוא מפרט את פגיעויות ה-CVE שתוקפים מנצלים כרגע, עם מועדי תיקון מצורפים. עבור כל צוות שמנסה להחליט מה לתקן קודם, זהו הסימן היעיל ביותר הזמין.
פגיעויות ידועות שמנוצלות (KEVs) יש לו פגיעויות המופיעות ב-CVE אושרו כמנוצלות בשטחסוכנות אבטחת הסייבר והתשתיות של ארה"ב (CISA) שומר על הרשמי קטלוג KEV ומחייב לוחות זמנים לתיקון באמצעות הוראה תפעולית מחייבת 22-01. ארגונים פרטיים רבים משתמשים כיום ברשימה זו כדי לתעדף תיקונים.
למרות CVSS מדד ציונים פוטנציאל השפעה, ערכי KEV מייצגים פעיל ניצול. במילים אחרות, הם הופכים את "אולי ניתן לניצול" ל"ניתן לניצול", מה שמחייב הסכמי רמת שירות מהירים יותר ואוטומטיים. guardrails.
KEV לעומת CVE לעומת EPSS
צוותי אבטחה לעיתים קרובות מבלבלים בין המונחים הקשורים הללו. הבנת ההבדל חיונית לבדיקת סיכונים מדויקת
| ראשי תיבות | מָקוֹר | מטרה |
|---|---|---|
| CVE | NDV | מזהה ייחודי עבור פגיעות שנחשפה. |
| CVSS | NVD / ראשון | מודד חומרה תיאורטית (השפעה + ניצול). |
| EPSS | FIRST.org | ניבוי הסתברות לניצול תוך 30 יום. |
| KEV | CISA | מאשר ניצול אמיתי וקובע מועדי תיקון. |
יחד, מערכות אלו יוצרות היררכיה של סיכונים: CVSS מראה עד כמה זה יכול להיות גרוע, EPSS מראה עד כמה זה סביר, ו-Known Exploited Vulnerabilities מראות מה קורה בפועל.
לקריאה נוספת: ציון CVSS: כיצד עובד ציון CVSS ו EPSS לעומת CVSS: מה ההבדל?
למה KEVs חשובים למפתחים CISOs
ראשית, KEV מדגישים התנהגות תוקף חישנית, הם כוללים לעתים קרובות רכיבים של צד שלישי, מסגרות, מכולות, או CI/CD תלויות, שצוותים מניחים שהן בטוחות. כתוצאה מכך, תיקון מאוחר יכול לפתוח נתיבי תנועה רוחביים בתוך תשתית הבנייה והאספקה שלך.
דוגמאות אחרונות:
- CVE-2024-1086 (nf_tables של לינוקס): נוסף לקטלוג KEV; נוצל על ידי קבוצות כופר באמצע 2024.
- CVE-2023-4966 (CitrixBleed): ניצול שאושר תוך ימים ספורים ממועד הגילוי; מחזורי תיקון חירום כפויים ברחבי העולם.
ממסעדה: כלי רכב מסוג KEV אינם איום פוטנציאלי, הם פעיל אלו. לכן, יש להתייחס לכל פגיעות ידועה שמנוצלת כאל "תקן עכשיו", אלא אם כן ניתוח הנגישות מוכיח אחרת.
כיצד לעקוב ולתעדף פגיעויות ידועות שנוצלו
ראשית, בדקו את הרשמית CISקטלוג פגיעויות ידועות שמנוצלות וסמנו כל התאמה בתוך סורק האבטחה שלכם. לאחר מכן, השתמשו במידע זה כדי להחליט אילו תיקונים צריכים להתבצע תחילה. בנוסף, שלבו פגיעויות מנוצלות ידועות עם ציוני EPSS כדי לקצץ רעשים ולהתמקד בחולשות שבאמת משפיעות על הקוד הפועל שלך.
תהליך עבודה שלב אחר שלב:
- סנכרון נתונים: משוך את העדכונים האחרונים מה- CISרשימה כל יום ושלב אותם עם פידים אחרים של פגיעויות.
- תוצאות תגיות: תייגו כל ממצא כ"ידוע כמנוצל" כאשר המזהה תואם את CISרשימה.
- בדיקת נגישות: בדוק האם הקוד הפגיע אכן פועל בתוך האפליקציה או הגרסה שלך pipeline.
- הערכת ניצול: השתמש EPSS כדי לגלות אילו נושאים נוספים עשויים להיות ממוקדים בקרוב.
- החלת מועדי הגשת מועמדות:
- פגיעויות הפונות לאינטרנט: תיקון תוך 1-3 ימים.
- פנימיים: תיקון תוך שבוע.
- קוד לא בשימוש: יש לעקוב אחריו ולבדוק אותו לעתים קרובות.
- אוטומציה של תגובות: המערכת חוסמת מיזוגים לא בטוחים, פותחת קבצים מאובטחים pull requests, ומתעד חריגים כדי לוודא שקבוצות לא מפספסות דבר.
ממודעות לפעולה: אוטומציה של תיקונים עם Xygeni
בפועל, טיפול בכל זה ידנית אינו מאפשר הרחבה. לכן, קסיגני מחבר פגיעויות ידועות שנוצלו ישירות אל שלך CI/CD זרימות עבודה, הופכות התראות לפעולות אמיתיות ומכוונות.
- מתאם חכם: התאמות זיהו CVEs כנגד CISרשימה ודגשים של בעיות "לתקן עכשיו" בפנים pull requests.
- נגישות + ניצול: מאשר אם נתיב הקוד הפגיע פועל ומקשר EPSS נתונים עבור טרוםcisקביעת סדרי עדיפויות.
- Guardrails: עוצר מיזוגים או פריסות מסוכנות כאשר פגם מנוצל משפיע על קבצים או שירותים רגישים.
- תיקון אוטומטי: פותח PR מאובטח, בודק שינויים אפשריים של פגיעה, ומפעיל בדיקות לפני מיזוג.
- יומני ביקורת: שומר תיעוד ברור של מה תוקן ומתי, תומך ביעדי אבטחה פנימיים.
בקיצור, מודיעין איומים מראה מה מותקף, Xygeni מבטיח שזה יתוקן במהירות, בבטחה ובאופן אוטומטי.
מדיניות מעקה בטיחות לדוגמה (YAML)
guardrail:
id: "kev-protection"
description: "Block merges if known exploited vulnerability detected"
conditions:
- match: vulnerability.kev == true
- match: reachability == "reachable"
actions:
- block: merge
- notify: ["slack:#security-alerts", "jira:SEC-OPS"]
- create_pr: true
sla:
critical: 72h
high: 7d
כלל זה אוכף אין מיזוג עבור פגיעויות פעילות ידועות ומנוצלות, מודיע לערוצים רלוונטיים ויוצר אוטומטית PR לתיקון, הכל במסגרת התוכנית שלך. CI/CD guardrails.
מקרה מיני: מניעת פריסת KEV
- שבוע 1: ספריית קוד פתוח חדשה עוברת SAST אך כולל את CVE-2023-4966.
- שבוע 2: מתאם ה-KEV של Xygeni מזהה זאת בבדיקה האחרונה CISעדכון.
- שבוע 3: Guardrails לעצור את המיזוג; Auto-Remediation מציע גרסה מתוקנת.
תוֹצָאָה: הצוות נמנע משליחת א פגיעות ידועה שמנוצלת לייצור ולשחזור pipeline זרימה בתוך אותו ספרינט.
קסיגני מקשר את ה-CVEs הפתוחים שלך מול ה- CISקטלוג KEV מסמן באופן אוטומטי פגיעויות ידועות שמנוצלות בפנים pull requests, אוכף guardrails שחוסמים מיזוגים לא בטוחים, ופותחים PRs לתיקון עם אימות שינויים שובר קו מובנה.
