Kwetsbaarheden begrijpen, zonder jargon
Vier acroniemen zijn voldoende om een beveiligingswaarschuwing te beoordelen. CVE vertelt u met welke fout u te maken heeft. CVSS vertelt je hoeveel schade het kan aanrichten. EPSS geeft aan hoe waarschijnlijk het is dat er misbruik van wordt gemaakt. KEV vertelt u of dit al het geval is. Van het meest theoretische tot het meest zekere.
Op vrijdagavond krijg je een melding: “CVSS 9.8, critical.” Moet je je weekend annuleren? Deze vier handleidingen geven u wat u nodig heeft om in dertig seconden een besluit te nemen – en dat besluit tijdens de vergadering van maandag te verdedigen.
Waar te beginnen: de leesvolgorde
Lees ze in deze volgorde. Ze bouwen allemaal voort op de vorige en geen enkele duurt langer dan acht minuten.
- CVE ten eerste, omdat dit het nummer is waar al het andere aan vasthangt. Zonder dit kunnen twee tools er niet zeker van zijn dat ze dezelfde fout bedoelen.
- CVSS vervolgens, omdat dit het nummer is dat je overal tegenkomt – en het nummer dat het vaakst verkeerd wordt gelezen.
- EPSS ten derde, omdat het de belangrijkste zwakte van CVSS oplost: de ernst is niet de waarschijnlijkheid.
- De KEV als laatste, omdat het de enige van de vier is die niets voorspelt: het observeert. Als je dat eenmaal begrijpt, wordt het stellen van prioriteiten eenvoudig.
De vier raamwerken naast elkaar
Hier is de tabel waardoor het allemaal klikt: deze vier raamwerken beantwoorden niet dezelfde vraag, worden niet door dezelfde organisaties gepubliceerd en verouderen niet in hetzelfde tempo.
| Standaard | Vraag die het beantwoordt | Type antwoord | Wie publiceert het | Veranderingen? |
|---|---|---|---|---|
| CVE | Over welk gebrek hebben we het? | Een identificatie | Het CVE-programma (MITRE), via elk CNA | Zijn status, nooit zijn nummer |
| CVSS | Hoeveel schade als het wordt uitgebuit? | Een score van 0 tot 10 | FIRST, toegepast door de NVD en CNA's | Nee, voor de basisscore |
| EPSS | Hoe waarschijnlijk is het dat het binnen 30 dagen wordt uitgebuit? | Een waarschijnlijkheid van 0 tot 1 | FIRST | Ja, dagelijks herberekend |
| KEV | Wordt er momenteel misbruik van gemaakt? | Een waargenomen feit: ja of nee | CISA | Ja, door opeenvolgende toevoegingen |
Wat je daarna kunt doen
- Lees een CVSS-vector veld voor veld en zeg hardop wat deze beschrijft.
- Vertel het de EPSS scoren (een waarschijnlijkheid) van zijn percentiel (een ranglijst) — de meest voorkomende verwarring over dit raamwerk.
- Leg in één zin uit waarom de ene CVE in jouw omgeving de andere voorgaat.
- Ontdek een onbruikbare waarschuwing: een CVE zonder getroffen versie kan met geen enkele tool worden vergeleken met welke inventaris dan ook.
De raamwerken rond CVEs
Zodra je de vier basisprincipes kent, maken drie taxonomieën het plaatje compleet: CWE noemt de soort defect achter de fout, CAPEC beschrijft hoe het wordt uitgebuit, en CNA zijn de organisaties die identificatiegegevens toekennen – en zo in de praktijk de kwaliteit van uw waarschuwingen bepalen. Onze gegevensbronnen detailleren van de feeds die we controleren.