Was ist EPSS?
Die EPSS (Exploit-Vorhersage-Bewertungssystem) Schätzungen, auf einer Skala von 0 zu 1, die Wahrscheinlichkeit, dass eine Schwachstelle ausgenutzt wird nächsten 30 Tage. Verwaltet von FIRST und jeden Tag neu berechnet, antwortet es nicht: „Ist es ernst?“ aber „ist es wahrscheinlich?“.
Ihr Scanner meldet 400 Schwachstellen, 60 davon werden als kritisch eingestuft. Sie wissen bereits, dass Sie 60 diese Woche nicht reparieren werden. EPSS möchte Ihnen sagen, welche davon Ihren Dienstag wirklich verdienen.
Was genau bedeutet 0,92?
Ein EPSS von 0.92 bedeutet, dass das Modell anlegt 92 % die Wahrscheinlichkeit, dass es zu einer Ausbeutungsaktivität kommt beobachtet diesen Fehler innerhalb der nächsten 30 Tage beheben. Nicht, dass es in Ihrer Umgebung ausgenutzt wird. Nicht, dass es schwerwiegend wäre. Es handelt sich um eine statistische Wette, die jeden Morgen erneut platziert wird, basierend darauf, was die Welt am Vortag mit diesem Fehler gemacht hat.
Zwei Bilder, denn ein einziges führt immer zu einer Fehlinterpretation. EPSS ist wie ein Vorhersage der Regenwahrscheinlichkeit: Sie argumentieren nicht mit einer 80-prozentigen Regenwahrscheinlichkeit, Sie nehmen einen Regenschirm mit und es kann sehr gut sein, dass es nicht regnet. Es ist auch so Quoten des Buchmachers: Sie berücksichtigen, was gerade passiert ist, sie bewegen sich jeden Tag und sie erzählen etwas über das Feld, niemals über die eigene Rasse.
Score und Perzentil: die Verwirrung, die es zu vermeiden gilt
EPSS veröffentlicht für jedes CVE zwei Zahlen, und die Leute verwechseln sie ständig:
- die punkten — die absolute Wahrscheinlichkeit. 0,40 bedeutet eine Chance von 40 %.
- die Perzentil — der relative Rang unter allen CVEs. Ein Perzentil von 0,98 bedeutet: „98 % der CVEs haben einen niedrigeren Wert als dieser.“
Da die überwiegende Mehrheit der Fehler einen Wert nahe Null aufweist, entspricht ein bescheidener Wert häufig einem sehr hohen Perzentil. Eine Punktzahl von 0,40 Damit liegt ein CVE fast ganz oben in der Rangliste, auch wenn „40 %“ nach einem mittelmäßigen Wert klingt. Legen Sie Ihre Schwellenwerte auf der Punktzahl fest, wenn Sie in Wahrscheinlichkeiten denken, und auf dem Perzentil, wenn Sie in Bezug auf das Sanierungsbudget denken.
Wie die Verteilung aussieht
Hier ist, was niemand zeigt, und es ändert alles: Die EPSS-Distribution ist extrem schief. Größenordnungen entnommen aus der von FIRST veröffentlichten Distribution:
| EPSS-Punktzahl | Anteil von CVEs | Relatives Gewicht |
|---|---|---|
| Unter 0,01 | ca. 80 % | |
| 0,01 bis 0,10 | ca. 14 % | |
| 0,10 bis 0,50 | etwa 5 % | |
| Über 0,50 | ca. 1 % |
FIRST veröffentlicht die genaue Tagesverteilung unter first.org/epss/data_stats; es bewegt sich und es ist die Referenz. Was man von seiner Form mitnehmen kann: Ein Grenzwert von 0,10 filtert etwa 94 CVEs von 100 heraus. Kein anderes Signal filtert so hart und mit so geringem Aufwand.
Warum es besser ist, nach Schweregrad zu sortieren
FIRST veröffentlicht einen Vergleich, der im Raum jedes Sicherheitsteams ausgehängt werden sollte. Bei gleicher Abdeckung – das heißt bei der Erkennung des gleichen Anteils an Fehlern, die tatsächlich ausgenutzt werden – erfordern die beiden Triage-Strategien sehr unterschiedliche Anstrengungen:
| Triage-Strategie | Aufwand (Anteil von CVEs zur Reparatur) | Abdeckung (ausgenutzte Fehler erkannt) |
|---|---|---|
| Alles mit CVSS ≥ 7 | ca. 58 % | ca. 82 % |
| Alles mit EPSS ≥ 0,088 | ca. 7 % | ca. 82 % |
Gleiches Ergebnis, achtmal weniger Arbeit. Das ist das Hauptargument für EPSS, und die Zahlen stammen von der Organisation, die das Modell veröffentlicht – nicht von einem Softwareanbieter.
Wie die Punktzahl berechnet wird
EPSS basiert auf einem maschinellen Lernmodell, das mit öffentlichen Signalen gespeist wird: ob ein Proof of Concept vorliegt, ob Exploit-Code in anstößigen Toolkits enthalten ist, Erwähnungen in öffentlichen Quellen, der beteiligte Anbieter, die Art der Schwachstelle (CWE), das Alter des CVE und die tatsächlich von den Sensoren der Partner beobachtete Nutzungsaktivität.
Da sich diese Signale ändern, Die Punktzahl eines CVE ändert sich im Laufe der Zeit. Ein Fehler, der sechs Monate lang still blieb, kann innerhalb von 24 Stunden nach dem Erscheinen eines Exploits in einem öffentlichen Repository auftreten. Ein vor drei Wochen notierter und in eine Tabelle kopierter EPSS-Score ist wertlos: Es handelt sich um Daten, die erneut gelesen und nicht archiviert werden müssen.
EPSS, CVSS, KEV: Welches antwortet was?
| CVSS | EPSS | KEV | |
|---|---|---|---|
| Antworten | Wie hoch ist der Schaden? | Wie wahrscheinlich? | Ausgenutzt, ja oder nein? |
| Maßstab | 0 bis 10 | 0 zu 1 | Binär |
| Änderungen? | Nein (Basispunktzahl) | Täglich | Durch Ergänzungen |
| Abdeckungen | Alle erhielten die Note CVEs | Alle CVEs | Ungefähr tausend Einträge |
Ein CVSS 9 mit einem EPSS von 0,01 kann auf das Wartungsfenster warten. Ein CVSS 6 mit einem EPSS von 0,8 ist für diese Woche ein Problem. Ein CVE im KEV ist, was auch immer der Rest sagt, für heute Abend ein Problem.
Was es für Sie in der Praxis bedeutet
Eine vierzeilige Triage-Richtlinie, einmal zu schreiben und ohne Debatte anzuwenden:
- Im KEV und in Ihrer Umgebung: Behebung innerhalb von 48 Stunden.
- Ansonsten, EPSS ≥ 0.10: innerhalb der Woche beheben. Dieser Schwellenwert hält etwa einen CVE von sechzehn.
- Ansonsten, EPSS ≥ 0.01 und CVSS ≥ 7: nächster Aktualisierungszyklus.
- Alles andere: Routineaktualisierungen, kein Meeting erforderlich.
Überprüfen Sie bei jedem Zyklus erneut das EPSS der Elemente 3 und 4: Genau hier treten plötzliche Sprünge auf.