Der CISA KEV-Katalog
Die KEV (Bekannte ausgenutzte Schwachstellen) ist der Katalog, der von verwaltet wird CISA, die US-amerikanische Cybersicherheitsbehörde, listet Schwachstellen auf, deren Ausnutzung erfolgt ist in freier Wildbahn bestätigt. Es handelt sich weder um eine Schätzung des Schweregrads noch um eine Wahrscheinlichkeit: Es handelt sich um eine beobachtete Tatsache. Ein CVE im KEV wird vor den anderen repariert.
Sie haben hundert überfällige Patches und zwei Tage vor sich. Wo fängst du an? Der KEV ist die kürzeste Antwort auf diese Frage und die einzige, die auf Fakten und nicht auf Modellen basiert.
Zwei Bilder zur Verdeutlichung
Der KEV ist der Liste der bereits gemeldeten Brände. Es handelt sich nicht um eine Brandgefahrenkarte und auch nicht um eine Wettervorhersage: Es handelt sich um die Leittafel der Feuerwache, auf der die Adressen gerade brennen. Niemand debattiert dort über die Wahrscheinlichkeit; Sie schicken die Lastwagen.
Der KEV ist auch ein Hinweis zum Fahrzeugrückruf. Solange es sich um einen theoretischen Mangel handelt, wird er vom Hersteller dokumentiert. Sobald Unfälle festgestellt werden, erfolgt ein Rückruf – und die Frage lautet nicht mehr: „Soll ich es einbringen?“ aber „Wann kannst du vorbeikommen?“ Dieses zweite Bild fügt hinzu, was dem ersten fehlt: Der Rückruf erfolgt nach den ersten Unfällen, nie zuvor.
Was genau der Katalog ist
Der Ende 2021 erstellte KEV-Katalog listet die CVEs auf, für die es einen gibt zuverlässige Beweise für eine aktive Ausbeutung. Mittlerweile umfasst sie mehr als tausend Einträge und ist weit über die Vereinigten Staaten hinaus zur Referenz-Prioritätenliste geworden.
Eine genaue Zahl veröffentlichen wir hier nicht: CISA zeigt die aktuelle Gesamtzahl oben in seinem Katalog an, der wöchentlich um einige Einträge wächst. Eine in einem Artikel eingefrorene Zahl veraltet innerhalb weniger Tage; Es ist besser, Sie auf die Quelle hinzuweisen.
Die drei Einschlusskriterien
Eine Schwachstelle tritt nur dann in den KEV ein, wenn alle Voraussetzungen erfüllt sind drei der folgenden Bedingungen:
- es hat eine zugewiesene CVE Ausweis;
- es gibt zuverlässige Beweise für eine aktive Ausbeutung — ein veröffentlichter Proof of Concept reicht nicht aus; Angriffe müssen beobachtet worden sein;
- a klare Abhilfe existiert: ein Patch, ein Update oder Anweisungen zum Entfernen des Produkts.
Das dritte Kriterium erklärt, warum der Katalog konservativ ist: CISA listet nur auf, worauf eine Organisation tatsächlich reagieren kann. Das ist eine Stärke für die Priorisierung und eine Einschränkung für die Erkennung.
Was ein Eintrag enthält
| Feld | Was es Ihnen sagt |
|---|---|
| CVE | Die Schwachstellenkennung, die einen automatischen Abgleich mit einem Inventar ermöglicht. |
| Anbieter und Produkt | Die betroffene Software als Freitext – sie muss einer standardisierten Kennung zugeordnet werden, bevor eine Maschine sie verwenden kann. |
| Name der Sicherheitslücke | Ein für Menschen lesbarer Titel, der in einem Ticket nützlich ist. |
| Datum hinzugefügt | Die Tagesausbeutung wurde bestätigt. Im Vergleich zum Veröffentlichungsdatum des CVE zeigt es das tatsächliche Fenster. |
| Erforderliche Aktion und Fälligkeitsdatum | Die erwartete Abhilfe und ihre Frist sind für US-Bundesbehörden bindend. |
| Bekannter Einsatz von Ransomware | Gibt an, ob die Schwachstelle bekanntermaßen in Ransomware-Kampagnen verwendet wird. |
Ein echter, veralteter Fall: MOVEit, Mai–Juni 2023
Die 31. Mai 2023veröffentlicht der Anbieter Progress einen Notfall-Patch für sein Dateiübertragungstool MOVEit Transfer. The flaw is assigned CVE-2023-34362: eine SQL-Injection, die eine nicht authentifizierte Remotecodeausführung ermöglicht.
Die 2. Juni 2023, CISA adds it to the KEV catalog. Zwei Tage zwischen dem Patch und der bestätigten Ausnutzung. Aber der vollständige Zeitplan ist noch härter: Als der Patch veröffentlicht wird, hat die Cl0p-Gruppe bereits seit mehreren Tagen Daten exfiltriert. Public tallies have since passed 2.700 Organisationen betroffen, darunter Regierungsbehörden und Lohn- und Gehaltsabrechnungsdienstleister, die noch nie von MOVEit gehört hatten – ihr Subunternehmer es jedoch nutzte.
Zwei Lektionen, die Sie unverändert wiederverwenden können: Die Lücke zwischen der Veröffentlichung eines CVE und seiner Ergänzung zum KEV ist manchmal groß weniger als 48 Stunden; und die Ausbeutung hat oft schon vor der Veröffentlichung begonnen. Der KEV ist keine Frühwarnung, sondern ein Aufholsignal – ein Grund mehr, schnell zu handeln.
KEV, EPSS, CVSS: drei verschiedene Fragen
| Standard | Frage | Art der Antwort | Was es vermisst |
|---|---|---|---|
| KEV | Wird es ausgenutzt? | Ja oder nein, beobachtet | Alles, was ohne öffentliche Beweise ausgenutzt wird. |
| EPSS | Ist das wahrscheinlich? | Eine Wahrscheinlichkeit von 0 bis 1 | Gezielte Angriffe, die selten sind und daher schlecht vorhersehbar sind. |
| CVSS | Wie hoch ist der Schaden, wenn ja? | Eine Punktzahl von 0 bis 10 | Timing und Ihr Kontext. |
Die drei arbeiten in dieser Reihenfolge zusammen: KEV löst aus, EPSS antizipiert, CVSS unterbricht Bindungen.
Der regulatorische Rahmen: von BOD 22-01 bis BOD 26-04
Der Katalog wurde per Direktive erstellt BSB 22-01 (November 2021), der die US-Bundesbehörden dazu verpflichtete, KEV-Schwachstellen bis zu einem festgelegten Fälligkeitsdatum zu beheben. Im Jahr 2026 wurde diese Richtlinie aufgehoben und durch ersetzt BSB 26-04, das sich auf eine risikobasierte Patch-Priorisierung konzentriert. Der Katalog selbst bleibt aktiv und wird gepflegt.
Keine der beiden Richtlinien ist für ein französisches Unternehmen rechtsverbindlich. Ihr Wert liegt anderswo: Sie haben den KEV zu einer gemeinsamen Referenz gemacht, die in Ausschreibungen, Prüfberichten und Patch-Richtlinien in allen Branchen zitiert wird.
Was es für Sie in der Praxis bedeutet
Drei Schritte, in dieser Reihenfolge:
- Vergleichen Sie den KEV mit Ihrem Inventar, nicht mit sämtlichen Ihrer Warnungen. Der gesamte Katalog betrifft Sie nicht; seine Überschneidung mit Ihren Produkten schon.
- Legen Sie eine schriftliche Regel fest: Alle CVE in Ihrer Umgebung, die im KEV angezeigt werden, werden innerhalb von 48 Stunden verarbeitet, unabhängig von der CVSS-Punktzahl. Eine Regel mit einer Zahl verhindert, dass jede Warnung neu ausgehandelt wird.
- Achten Sie auf Ergänzungen zum Katalog, nicht nur auf die CVE-Veröffentlichung. Ein Fehler, den Sie vor drei Monaten beiseite gelegt haben, kann morgen hinzugefügt werden: Das ist ein Übergang, und er sollte die Warnung auslösen.