TL; DR
Kebanyakan senarai kerentanan memberitahu anda apa yang mungkin salah. CISKatalog KEV memberitahu anda apa yang sedang berlaku sekarang. Kerentanan Eksploitasi (KEV) yang Diketahui ialah CVE yang disahkan dieksploitasi secara aktif di alam liar. CISA mengekalkan katalog rasmi dan mewajibkan garis masa pemulihan untuk agensi persekutuan melalui Arahan Operasi Mengikat 22-01. Kebanyakan organisasi swasta menggunakan senarai yang sama untuk mengurangkan hingar amaran dan mengenal pasti apa yang sebenarnya perlu dibaiki terlebih dahulu.
CVSS, EPSS dan KEV menjawab tiga soalan berbeza. CVSS mengukur tahap keterukan teori — sejauh manakah keadaan ini boleh berlaku? EPSS meramalkan kebarangkalian eksploitasi dalam tempoh 30 hari — sejauh manakah kemungkinan perkara ini disasarkan? KEV mengesahkan eksploitasi aktif — adakah ini sedang diserang sekarang? Kerentanan dengan skor CVSS sederhana, skor EPSS tinggi dan tag KEV adalah lebih mendesak daripada skor CVSS kritikal tanpa bukti eksploitasi. Ketiga-tiga isyarat ini berfungsi bersama, bukan secara bergantian.
KEV dalam kebergantungan anda bukanlah risiko teori — ia mempunyai tarikh akhir. KEV kerap melibatkan komponen, rangka kerja, kontena dan pihak ketiga CI/CD kebergantungan yang dianggap selamat oleh pasukan. CVE-2023-4966 (CitrixBleed) disahkan dieksploitasi dalam beberapa hari selepas pendedahan. CVE-2024-1086 telah dikesan oleh kumpulan ransomware sejurus selepas kemasukan Katalog KEVnya. standard Tetingkap pembetulan untuk KEV yang menghadap internet adalah 1–3 hari, bukan kitaran tampalan biasa.
Catatan ini merangkumi: apakah KEV dan bagaimana ia berbeza daripada CVE, CVSS dan EPSS; cara membina aliran kerja keutamaan di sekitar CISKatalog; dan bagaimana Xygeni mengautomasikan korelasi KEV, penguatkuasaan pagar dan pemulihan merentasi CI/CD pipelines — termasuk dasar pagar pembatas YAML yang berfungsi.
Apakah Kerentanan Eksploitasi (KEV) yang Diketahui?
Setiap pengimbas kerentanan menghasilkan penemuan yang dinilai mengikut tahap keterukan CVSS. Masalahnya ialah CVSS mengukur impak teori, bukan eksploitasi aktif. CISKatalog Kerentanan yang Dieksploitasi (KEV) yang Diketahui menyelesaikan masalah berbeza yang lebih mendesak: ia menyenaraikan CVE yang sedang dieksploitasi oleh penyerang sekarang, dengan tarikh akhir tampalan yang dilampirkan. Bagi mana-mana pasukan yang cuba memutuskan apa yang perlu dibaiki dahulu, ia merupakan isyarat yang paling boleh diambil tindakan yang tersedia.
Kerentanan Eksploitasi (KEV) yang Diketahui adalah Kerentanan yang disenaraikan dalam CVE disahkan dieksploitasi di alam liarAgensi Keselamatan Siber dan Infrastruktur AS (CISA) mengekalkan rasmi Katalog KEV dan menetapkan garis masa pemulihan melalui Arahan Operasi Mengikat 22-01. Banyak organisasi swasta kini menggunakan senarai ini untuk mengutamakan penampalan.
Walaupun CVSS ukuran skor potensi impak, KEV mewakili aktif eksploitasi. Dalam erti kata lain, mereka mengubah "mungkin boleh dieksploitasi" menjadi "dieksploitasi", memerlukan SLA yang lebih pantas dan automatik guardrails.
KEV vs CVE vs EPSS
Pasukan keselamatan sering mengelirukan istilah berkaitan ini. Memahami perbezaannya adalah penting untuk risiko yang tepat
| Acronym | Source | Tujuan |
|---|---|---|
| CVE | NDV | Pengecam unik untuk kerentanan yang didedahkan. |
| CVSS | NVD / PERTAMA | Mengukur keterukan teori (kesan + keboleheksploitasian). |
| EPSS | FIRST.org | Meramalkan kebarangkalian eksploitasi dalam tempoh 30 hari. |
| KEV | CISA | Mengesahkan eksploitasi dunia sebenar dan menetapkan tarikh akhir tampalan. |
Bersama-sama, sistem ini membentuk hierarki risiko: CVSS menunjukkan betapa teruknya risiko tersebut, EPSS menunjukkan sejauh mana kemungkinannya dan Kerentanan Eksploitasi yang Diketahui menunjukkan apa yang sebenarnya berlaku.
Bacaan lanjut: Skor CVSS: Cara Pemarkahan CVSS Berfungsi dan EPSS vs CVSS: Apakah Perbezaannya?
Mengapa KEV Penting untuk Pembangun dan CISOs
Pertama, KEV mengetengahkan tingkah laku penyerang langsungKedua, mereka kerap melibatkan komponen pihak ketiga, rangka kerja, bekas atau CI/CD kebergantungan, yang dianggap selamat oleh pasukan. Akibatnya,, pembaikan yang tertangguh boleh membuka laluan pergerakan lateral di dalam infrastruktur binaan dan penghantaran anda.
Contoh terkini:
- CVE-2024-1086 (Linux nf_tables): ditambah ke Katalog KEV; dieksploitasi oleh kumpulan ransomware pada pertengahan 2024.
- CVE-2023-4966 (CitrixBleed): eksploitasi yang disahkan dalam beberapa hari selepas pendedahan; kitaran tampalan kecemasan paksa di seluruh dunia.
Bawa pulang: KEV bukanlah ancaman yang berpotensi, ia aktif yang. Oleh itu, anggap setiap Kerentanan yang Dieksploitasi yang Diketahui sebagai "betulkan sekarang", melainkan jika analisis kebolehcapaian membuktikan sebaliknya.
Cara Mengesan dan Mengutamakan Kerentanan yang Diketahui Dieksploitasi
Untuk bermula, semak pegawai CISKatalog Kerentanan yang Diketahui Dieksploitasi dan tandakan sebarang padanan di dalam pengimbas keselamatan anda. Kemudian, gunakan maklumat ini untuk menentukan pembetulan yang perlu dilakukan terlebih dahulu. Di samping itu, gabungkan Kerentanan Dieksploitasi yang Diketahui bersama Skor EPSS untuk mengurangkan hingar dan memberi tumpuan kepada kelemahan yang benar-benar mempengaruhi kod anda yang sedang berjalan.
Aliran kerja langkah demi langkah:
- Segerakkan data: Dapatkan kemas kini terkini daripada CISSenaraikan setiap hari dan gabungkannya dengan suapan kerentanan anda yang lain.
- Hasil teg: Labelkan setiap penemuan sebagai “Diketahui Dieksploitasi” apabila ID sepadan dengan CISSatu senarai.
- Semak kebolehcapaian: Lihat sama ada kod terdedah benar-benar berjalan di dalam aplikasi atau binaan anda pipeline.
- Menilai keboleheksploitasian: Penggunaan EPSS untuk mencari isu-isu lain yang mungkin akan disasarkan tidak lama lagi.
- Tarikh akhir permohonan:
- Kerentanan yang dihadapi Internet: baiki dalam masa 1–3 hari.
- Yang dalaman: baiki dalam masa seminggu.
- Kod tidak digunakan: perhatikan dan sahkan dengan kerap.
- Automatikkan respons: Sistem menyekat penggabungan yang tidak selamat, membuka penggabungan yang selamat pull requests, dan merekodkan pengecualian bagi memastikan pasukan tidak terlepas apa-apa.
Dari Kesedaran kepada Tindakan: Mengautomasikan Pembetulan dengan Xygeni
Dalam praktiknya, pengendalian semua ini dengan tangan tidak berskala. Oleh itu, Xygeni menghubungkan Kerentanan yang Diketahui Dieksploitasi secara langsung kepada anda CI/CD aliran kerja, menukarkan amaran kepada tindakan sebenar dan berpandu.
- Korelasi pintar: Padanan CVE yang dikesan terhadap CISSenarai dan sorotan isu "selesaikan sekarang" di dalam pull requests.
- Kebolehcapaian + Keboleheksploitasian: Mengesahkan sama ada laluan kod terdedah berjalan dan memautkan EPSS data untuk praciskeutamaan e.
- Guardrails: Menghentikan penggabungan atau penggunaan berisiko apabila kecacatan yang dieksploitasi menjejaskan fail atau perkhidmatan sensitif.
- Auto-Pemulihan: Membuka PR selamat, menyemak kemungkinan perubahan yang tidak menentu dan menjalankan ujian sebelum penggabungan.
- Log audit: Menyimpan rekod yang jelas tentang apa yang telah dibaiki dan bila, menyokong matlamat keselamatan dalaman.
Pendek kata, risikan ancaman menunjukkan apa yang sedang diserang, Xygeni memastikan ia dibaiki dengan cepat, selamat dan automatik.
Contoh Polisi Pagar Pengawal (YAML)
guardrail:
id: "kev-protection"
description: "Block merges if known exploited vulnerability detected"
conditions:
- match: vulnerability.kev == true
- match: reachability == "reachable"
actions:
- block: merge
- notify: ["slack:#security-alerts", "jira:SEC-OPS"]
- create_pr: true
sla:
critical: 72h
high: 7d
Peraturan ini menguatkuasakan tiada gabungan untuk Kerentanan Eksploitasi yang Diketahui aktif, memberitahu saluran yang berkaitan dan mencipta pembetulan PR secara automatik, semuanya dalam CI/CD guardrails.
Kes Mini: Mencegah Pelaksanaan KEV
- Minggu 1: Perpustakaan sumber terbuka baharu diluluskan SAST tetapi termasuk CVE-2023-4966.
- Minggu 2: Korelasi KEV Xygeni mengesannya dalam yang terkini CISKemas kini.
- Minggu 3: Guardrails hentikan penggabungan; Auto-Remediasi mencadangkan versi yang ditampal.
Keputusan: Pasukan itu mengelak daripada menghantar kerentanan yang dieksploitasi yang diketahui untuk pengeluaran dan pemulihan merah pipeline aliran dalam pecutan yang sama.
Xygeni menghubungkan CVE terbuka anda dengan CISKatalog KEV secara automatik, menandakan kelemahan yang dieksploitasi yang diketahui di dalamnya pull requests, menguatkuasakan guardrails yang menyekat penggabungan yang tidak selamat dan membuka PR pemulihan dengan pengesahan perubahan pecah terbina dalam.
