Säkerhetsteam misslyckas sällan på grund av brist på data. Oftare misslyckas de för att de åtgärdar fel problem först. Det är just därför som underrättelsetjänster om kända exploater, riskbaserad sårbarhetshantering, Cyber Resilience Act och CISEn katalog över kända utnyttjade sårbarheter samlas nu i moderna AppSec-arbetsflöden.
Varje vecka rapporterar skannrar hundratals sårbarheter. Angripare utnyttjar dock bara en liten delmängd av dem. Följaktligen slösar team som prioriterar utan att utnyttja kontexten tid medan verkliga hot slinker igenom. Kända exploitinformationskällor täcker den klyftan genom att avslöja de sårbarheter som angripare faktiskt använder, inte bara de som ser allvarliga ut på pappret.
Vad som är känt - Utnyttja intelligens
Kända attacker identifierar sårbarheter som angripare aktivt utnyttjar i verkliga miljöer. Med andra ord skiljer den teoretisk risk från bekräftat attackbeteende.
Istället för att fråga om en sårbarhet kunde utnyttjas, kan team äntligen fråga:
Utnyttjas detta redan, och påverkar det min produkt?
Den skillnaden är viktig både operativt och, i allt högre grad, juridiskt.
Varför traditionell prioritering faller sönder
De flesta team förlitar sig fortfarande på statiska signaler för att prioritera risker.
Vanligtvis sorterar de sårbarheter efter:
- CVSS-svårighetsgrad
- Skannerförtroende
- Paketets popularitet
Även om dessa signaler hjälper till att minska brus, missar de en kritisk faktor: angriparnas beteende. Som ett resultat rusar team ofta för att åtgärda allvarliga problem som aldrig utnyttjas, samtidigt som de missar mindre allvarliga brister som angripare aktivt riktar in sig på.
Denna lucka förklarar varför statisk prioritering inte längre skalas.
Varför lagen om cybermotståndskraft ändrar reglerna
Enligt Cyberresilience Actblir leverans av programvara med kända sårbarheter som kan utnyttjas en efterlevnadsfråga, inte bara en säkerhetsrisk.
Förordningen kräver att:
- Produkter med digitala element får inte komma in på EU-marknaden med kända sårbarheter som kan utnyttjas
- Tillverkare implementerar sårbarhetshantering och säkerhetskontroller
- Utnyttjande i verkliga miljöer väger tyngre än teoretisk allvarlighetsgrad
Som ett resultat flyttas prioriteringen från bästa praxis till rättslig skyldighet.
Det är precis här som exploit intelligence blir avgörande.
Cyberresilience Act
Ocuco-landskapet Cyberresilience Act är en EU-förordning som fastställer obligatoriska cybersäkerhetskrav för produkter med digitala element som säljs i EU.
Enkelt uttryckt kräver det att tillverkare designar, utvecklar och underhåller programvara som inte innehåller kända exploaterbara sårbarheter vid tidpunkten för lanseringen. Dessutom ålägger det företag att övervaka sårbarheter efter lanseringen och rapportera aktivt utnyttjade problem inom strikta tidsramar.
Förordningen trädde i kraft i december 2024. Fullständig tillämpning börjar dock i december 2027. Från och med 2026 måste företag rapportera aktivt utnyttjade sårbarheter till EU-myndigheter inom 24 timmar efter upptäckten.
Med andra ord omvandlar lagen om cybermotståndskraft sårbarhetshantering från bästa praxis till ett krav på marknadstillträde.
Varför KEV:er står i centrum för efterlevnad av CRA-regler
Ocuco-landskapet CISEn katalog över kända utnyttjade sårbarheter listar CVE:er som angripare redan utnyttjar i fritt tillstånd. Denna katalog tar bort oklarheter.
Istället för att diskutera risker kan team förlita sig på verifierad exploateringsdata. Följaktligen blir KEV:er den starkaste utlösaren för servicenivåavtal för åtgärdande och blockering av releaser.
Detta tillvägagångssätt överensstämmer naturligt med riskbaserad sårbarhetshantering, eftersom den fokuserar insatserna där verklig skada uppstår.
CVSS, EPSS och KEV tjänar olika syften
Effektiv prioritering kräver förståelse för hur signaler skiljer sig åt.
- CvSs visar potentiell påverkan
- EPSS uppskattar sannolikheten för utnyttjande
- Ocuco-landskapet CISEn katalog över kända utnyttjade sårbarheter bekräftar aktiv utnyttjande
Använda ensamma är varje signal vilseledande. Tillsammans ger de sammanhang. Den kombinationen utgör grunden för modern riskbaserad sårbarhetshantering.
Hur känd exploitinformation fungerar i praktiken
En praktisk prioriteringsmodell följer en tydlig sekvens:
- Upptäck sårbarheter i kod och beroenden
- Matchresultat mot CISEn katalog över kända utnyttjade sårbarheter
- Utvärdera sannolikheten för utnyttjande med hjälp av EPSS
- Verifiera tillgängligheten i applikationen eller pipeline
- Tillämpa åtgärdsregler baserat på exponering och produktroll
Som ett resultat slutar team att behandla sårbarhetslistor som eftersläpningar och börjar behandla dem som decisjoner.
Hur vi byggde känd exploit-intelligens på Xygeni
Vi byggde den här funktionen efter att upprepade gånger ha sett team åtgärda problem med hög CVSS medan kända utnyttjade sårbarheter nådde produktion. Den erfarenheten formade hur vi utformade systemet.
Med v5.36, Xygeni integrerar verifierad exploitinformation direkt i prioriteringsmotorn.
Vad som händer under huven
- Xygeni hämtar kontinuerligt betrodda exploitkataloger som KEV och andra offentliga exploitkällor.
- Varje sårbarhet får metadata om exploit-prevention
- Prioriteringsfunneln kombinerar:
- Känd exploateringsstatus
- EPSS-sannolikhet
- Tillgänglighetskontext
- Kod- och beroendeexponering
Plattformen beräknar en sammansatt verklig riskpoäng
Istället för att ersätta befintliga signaler förfinar den här modellen dem.
Detektion → Utnyttjandematchning → Nåbarhet → Åtgärd
Detta flöde driver varje decisJon:
Utvecklare ser exploateringskontext direkt i pull requests. Pipelines-blocket sammanfogas endast när åtkomlig kod innehåller kända utnyttjade sårbarheter. Automatiserad åtgärd föreslår säkra uppgraderingar omedelbart.
Inga möten. Inga gissningar. Inga paniklappar.
Varför detta är viktigt utöver efterlevnad
Även om lagen om cyberresiliens utlöste denna förändring, sträcker sig fördelarna längre.
Team som prioriterar att använda exploit intelligence:
- Minska vaksamhetströtthet
- Förkorta saneringstiden
- Undvik akuta patchcykler
- Leverera säkrare programvara med förtroende
Regelefterlevnad blir en bieffekt av att göra säkerheten rätt.
Slutliga tankar: CRA gör riskbaserad hantering obligatorisk
Cyber Resilience Act formaliserar vad erfarna team redan lärt sig. Alla sårbarheter är inte lika viktiga.
Ocuco-landskapet CISEn katalog över kända utnyttjade sårbarheter visar vad angripare använder idag. Kontext och tillgänglighet visar om det påverkar dig. Tillsammans definierar de moderna riskbaserad sårbarhetshantering.
Xygeni tillämpar denna modell kontinuerligt, automatiskt och där utvecklare redan arbetar.
Om författaren
Skriven av Fatima Said, Content Marketing Manager specialiserad på applikationssäkerhet på Xygeni Security. Hon skapar utvecklarfokuserat, forskningsdrivet innehåll om AppSec, ASPMoch DevSecOps, som omsätter verkliga säkerhetsutmaningar till tydlig och handlingsbar vägledning.
