Schwachstellen verstehen, ohne Fachjargon
Zur Triage einer Sicherheitswarnung reichen vier Akronyme aus. CVE sagt Ihnen, mit welchem Fehler Sie es zu tun haben. CVSS sagt Ihnen, wie viel Schaden es anrichten könnte. EPSS gibt an, wie wahrscheinlich es ist, dass es ausgenutzt wird. KEV sagt Ihnen, ob es bereits so ist. Vom theoretischsten zum sichersten.
An einem Freitagabend erhalten Sie eine Warnung: „CVSS 9.8, kritisch“. Müssen Sie das Wochenende absagen? Diese vier Leitfäden geben Ihnen, was Sie brauchen, um in dreißig Sekunden zu entscheiden — und um die Entscheidung am Montag in der Besprechung zu vertreten.
Wo soll ich anfangen: die Lesereihenfolge
Lesen Sie sie in dieser Reihenfolge. Jeder baut auf dem vorherigen auf und keiner dauert länger als acht Minuten.
- CVE Erstens, weil es die Zahl ist, an der alles andere hängt. Ohne sie können zwei Tools nicht sicher sein, dass sie denselben Fehler bedeuten.
- CVSS als nächstes, weil es die Zahl ist, die Sie überall sehen werden – und die am häufigsten falsch verstanden wird.
- EPSS Drittens, weil es die Hauptschwäche von CVSS behebt: Der Schweregrad ist nicht die Wahrscheinlichkeit.
- Der KEV und schließlich, weil es das einzige der vier ist, das nichts vorhersagt: es beobachtet. Sobald Sie das verstanden haben, wird die Priorisierung einfach.
Die vier Frameworks nebeneinander
Hier ist die Tabelle, die es auf den Punkt bringt: Diese vier Frameworks beantworten nicht dieselbe Frage, werden nicht von denselben Organisationen veröffentlicht und altern nicht im gleichen Tempo.
| Standard | Frage, es beantwortet | Art der Antwort | Wer veröffentlicht es? | Änderungen? |
|---|---|---|---|---|
| CVE | Von welchem Fehler reden wir? | Eine Kennung | Das CVE-Programm (MITRE) durch jedes CNA | Sein Status, niemals seine Nummer |
| CVSS | Wie hoch ist der Schaden, wenn es ausgenutzt wird? | Eine Punktzahl von 0 bis 10 | FIRST, angewendet von NVD und CNAs | Nein, für die Basispunktzahl |
| EPSS | Wie wahrscheinlich ist es, dass es innerhalb von 30 Tagen ausgenutzt wird? | Eine Wahrscheinlichkeit von 0 bis 1 | FIRST | Ja, täglich neu berechnet |
| KEV | Wird es gerade ausgenutzt? | Eine beobachtete Tatsache: ja oder nein | CISA | Ja, durch sukzessive Ergänzungen |
Was Sie danach tun können
- Lesen Sie einen CVSS-Vektor Feld für Feld und sagen Sie laut, was er beschreibt.
- Sagen Sie es dem EPSS punkten (eine Wahrscheinlichkeit) aus ihr Perzentil (ein Ranking) – die häufigste Verwirrung über dieses Framework.
- Erklären Sie in einem Satz, warum ein CVE in Ihrer Umgebung einem anderen voraus ist.
- Erkennen Sie eine unbrauchbare Warnung: Ein CVE ohne betroffene Version kann von keinem Tool mit einem Inventar abgeglichen werden.
Die Frameworks rund um CVEs
Sobald Sie die vier Grundlagen kennen, vervollständigen drei Taxonomien das Bild: CWE benennt die Art des Defekts hinter dem Fehler, CAPEC beschreibt wie es wird ausgebeutet, und CNA sind die Organisationen, die Kennungen vergeben – und so in der Praxis die Qualität Ihrer Warnungen bestimmen. Unser Datenquellen Einzelheiten zu den Feeds, die wir gegenprüfen.