TL, д-р
Більшість списків вразливостей повідомляють про те, що може піти не так. CISКаталог KEV підкаже вам, що зараз не так. Відомі експлуатовані вразливості (KEV) – це CVE, які підтверджено активно експлуатуються в реальних умовах. CISА веде офіційний каталог і встановлює терміни усунення недоліків для федеральних агентств через Обов'язкову операційну директиву 22-01. Більшість приватних організацій використовують один і той самий список, щоб відрізати шум тривоги та визначити, що насправді потрібно виправити в першу чергу.
CVSS, EPSS та KEV відповідають на три різні питання. CVSS вимірює теоретичну серйозність — наскільки це може бути погано? EPSS прогнозує ймовірність експлуатації протягом 30 днів — наскільки ймовірно, що це стане ціллю? KEV підтверджує активну експлуатацію — чи зазнає ця атака прямо зараз? Вразливість із помірним балом CVSS, високим балом EPSS та тегом KEV є більш терміновою, ніж критичний бал CVSS без доказів експлуатації. Ці три сигнали працюють разом, а не взаємозамінно.
KEV у вашій залежності не є теоретичним ризиком — він має термін дії. KEV часто включають сторонні компоненти, фреймворки, контейнери та CI/CD залежності, які команди вважають безпечними. CVE-2023-4966 (CitrixBleed) було підтверджено зловмисним використанням протягом кількох днів після розкриття. CVE-2024-1086 було виявлено групами програм-вимагачів невдовзі після його потрапляння до каталогу KEV. standard Період виправлення для KEV з підтримкою інтернету становить 1–3 дні, а не типовий цикл оновлення.
Ця публікація охоплює: що таке KEV та чим вони відрізняються від CVE, CVSS та EPSS; як побудувати робочий процес визначення пріоритетів навколо CISКаталог; і як Ксігені автоматизує кореляцію KEV, забезпечення дотримання захисних огорож та усунення наслідків по всьому CI/CD pipelines — включаючи робочу політику захисту YAML.
Що таке відомі експлуатовані вразливості (KEV)?
Кожен сканер вразливостей видає результати, відсортовані за рівнем серйозності CVSS. Проблема полягає в тому, що CVSS вимірює теоретичний вплив, а не активне використання вразливостей. CISКаталог відомих використаних вразливостей (KEV) вирішує іншу, більш нагальну проблему: він містить список CVE, які зловмисники використовують зараз, із зазначенням термінів виправлення. Для будь-якої команди, яка намагається вирішити, що виправити в першу чергу, це найдієвіший доступний сигнал.
Відомі вразливості, що піддаються експлуатації (KEV) він має Підтверджено, що вразливості, перелічені у списку CVE, експлуатуються в реальних умовахАгентство США з кібербезпеки та безпеки інфраструктури (CISA) підтримує офіційну Каталог KEV та встановлює терміни відновлення через Обов'язкова операційна директива 22-01. Багато приватних організацій зараз використовують цей список для визначення пріоритетів виправлень.
хоча CVSS оцінки вимірювання потенціал вплив, KEV представляють активний експлуатація. Іншими словами, вони перетворюють «можливо, придатне для експлуатації» на «так, що експлуатується», що вимагає швидших угод про рівень обслуговування та автоматизованих guardrails.
KEV проти CVE проти EPSS
Команди безпеки часто плутають ці пов'язані терміни. Розуміння різниці має вирішальне значення для точної оцінки ризиків.
| Акронім | Source | Мета |
|---|---|---|
| CVE | NVD | Унікальний ідентифікатор виявленої вразливості. |
| CVSS | ПНВ / ПЕРШИЙ | Вимірює теоретичну серйозність (вплив + можливість використання). |
| EPSS | FIRST.org | Прогнозує ймовірність експлуатації протягом 30 днів. |
| КЕВ | CISA | Підтверджує експлуатацію в реальному світі та встановлює терміни виправлення. |
Разом ці системи утворюють ієрархію ризиків: CVSS показує, наскільки це може бути погано, EPSS показує, наскільки це ймовірно, а відомі використані вразливості показують, що насправді відбувається.
Подальше читання: Оцінка CVSS: Як працює оцінка CVSS та EPSS проти CVSS: у чому різниця?
Чому KEV важливі для розробників та CISOs
По-перше, KEVs підкреслюють поведінка зловмисника в реальному часіПо-друге, вони часто пов'язані сторонні компоненти, фреймворки, контейнери або CI/CD залежності, які команди вважають безпечними. Отже,, Затримка з виправленням може відкрити шляхи для нестандартного просування всередині вашої інфраструктури збірки та доставки.
Нещодавні приклади:
- CVE-2024-1086 (nf_tables у Linux): додано до каталогу KEV; використовувалося групами програм-вимагачів у середині 2024 року.
- CVE-2023-4966 (CitrixBleed): підтверджена експлуатація протягом кількох днів після розкриття інформації; примусові цикли екстреного оновлення по всьому світу.
Їжа на винос: KEV не є потенційною загрозою, вони активний ті. Тому ставтеся до кожної відомої використаної вразливості як до «Виправити зараз», якщо аналіз досяжності не доведе інше.
Як відстежувати та визначати пріоритетність відомих вразливостей, що експлуатуються
Для початку перевірте офіційну інформацію CISКаталог відомих вразливостей, що використовувалися і позначте будь-які збіги у вашому сканері безпеки. Потім використовуйте цю інформацію, щоб вирішити, які виправлення потрібно виконати в першу чергу. Крім того, поєднайте Відомі використані вразливості з Бали EPSS щоб зменшити шум і зосередитися на слабких місцях, які дійсно впливають на роботу вашого коду.
Покроковий робочий процес:
- Синхронізувати дані: Отримайте останні оновлення з CISСписок щодня та поєднуйте його з іншими вашими стрічками даних про вразливості.
- Результати пошуку тегів: Позначте кожну знахідку як «Відомо зловмисно використану», якщо ідентифікатор збігається CISСписок.
- Перевірте доступність: Перевірте, чи справді вразливий код працює у вашому додатку або збірці pipeline.
- Оцінка придатності для використання: Скористайтеся кнопкою EPSS щоб з'ясувати, які ще проблеми можуть бути вирішені незабаром.
- Терміни подачі заявок:
- Вразливості, пов'язані з Інтернетом: виправлення протягом 1–3 днів.
- Внутрішні: виправити протягом тижня.
- Код не використовується: слідкуйте за ним та часто перевіряйте.
- Автоматизація відповідей: Система блокує небезпечні злиття, відкриває безпечні pull requests, і записує винятки, щоб команди нічого не пропустили.
Від усвідомлення до дії: Автоматизація виправлень за допомогою Xygeni
На практиці, ручна робота з усім цим не масштабується. Тому Ксігені безпосередньо пов’язує відомі використані вразливості з вашим CI/CD робочі процеси, перетворюючи сповіщення на реальні, керовані дії.
- Розумна кореляція: Збіги виявлених CVE з CISСписок та виділення проблем, які потрібно виправити зараз, усередині pull requests.
- Досяжність + Здатність до використання: Підтверджує, чи виконується вразливий кодовий шлях та чи посилається він на нього. EPSS дані для попередньогоcisе-пріоритизація.
- Guardrails: Зупиняє ризиковані злиття або розгортання, коли використана вразливість впливає на конфіденційні файли або служби.
- Автоматичне виправлення: Відкриває захищені PR-запити, перевіряє наявність можливих критичних змін та виконує тести перед об'єднанням.
- Журнали аудиту: Веде чіткий облік того, що та коли було виправлено, підтримуючи цілі внутрішньої безпеки.
Коротше кажучи, аналіз загроз показує, що зазнає атаки, а Xygeni гарантує швидке, безпечне та автоматичне виправлення.
Приклад політики щодо захисних огорож (YAML)
guardrail:
id: "kev-protection"
description: "Block merges if known exploited vulnerability detected"
conditions:
- match: vulnerability.kev == true
- match: reachability == "reachable"
actions:
- block: merge
- notify: ["slack:#security-alerts", "jira:SEC-OPS"]
- create_pr: true
sla:
critical: 72h
high: 7d
Це правило забезпечує виконання без злиття для виявлення активних відомих вразливостей, що піддаються експлуатації, повідомляє відповідні канали та автоматично створює запит на виправлення, і все це в межах вашої CI/CD guardrails.
Міні-кейс: Запобігання розгортанню KEV
- Тиждень 1: Нова бібліотека з відкритим кодом проходить SAST але включає CVE-2023-4966.
- Тиждень 2: Кореляція KEV від Xygeni виявляє це в останніх CISОновлення.
- Тиждень 3: Guardrails зупинити злиття; Auto-Remediation пропонує виправлену версію.
Результат: Команда уникла доставки відома експлуатована вразливість до виробництва та відновлення червоного pipeline потік в межах одного спринту.
Ксігені зіставляє ваші відкриті CVE з CISКаталог KEV автоматично позначає відомі використані вразливості всередині pull requests, забезпечує виконання guardrails що блокують небезпечні злиття, та відкривають запити на виправлення змін із вбудованою перевіркою критичних змін.
