O catálogo CISA KEV
O KEV (Vulnerabilidades exploradas conhecidas) é o catálogo mantido por CISA, a agência de segurança cibernética dos EUA, listando vulnerabilidades cuja exploração tem sido confirmado na natureza. Não é uma estimativa de gravidade nem uma probabilidade: é um facto observado. Um CVE no KEV é consertado antes dos outros.
Você tem cem patches atrasados e dois dias pela frente. Por onde você começa? O KEV é a resposta mais curta para essa pergunta e a única baseada em fatos e não em modelos.
Duas imagens para torná-lo concreto
O KEV é o lista de incêndios já relatados. Não é um mapa de risco de incêndio, nem uma previsão do tempo: é o quadro de despacho do corpo de bombeiros, com os endereços em chamas neste momento. Ninguém debate probabilidade ali; eles enviam os caminhões.
O KEV também é um aviso de recall de veículo. Desde que o defeito seja teórico, o fabricante o documenta. Assim que os acidentes são observados, ele emite um recall – e a pergunta não é mais “devo trazê-lo?” mas “quando você pode passar por aqui?”. Esta segunda imagem acrescenta o que falta à primeira: o recall ocorre depois dos primeiros acidentes, nunca antes.
O que é o catálogo, exatamente
Criado no final de 2021, o catálogo KEV lista o CVEs para o qual existe evidência confiável de exploração ativa. Atualmente, contém mais de mil inscrições e tornou-se a lista de prioridades de referência muito além dos Estados Unidos.
Não publicamos uma contagem exata aqui: CISA mostra o total atual no topo de seu catálogo, que cresce algumas entradas por semana. Um número congelado em um artigo fica obsoleto em poucos dias; é melhor apontar a fonte.
Os três critérios de inclusão
Uma vulnerabilidade entra no KEV somente se atender a todos três das seguintes condições:
- tem um atribuído CVE identificação;
- existe evidência confiável de exploração ativa — uma prova de conceito publicada não é suficiente; os ataques devem ter sido observados;
- a correção clara existe: um patch, uma atualização ou instruções para remover o produto.
O terceiro critério explica porque o catálogo é conservador: CISA lista apenas aquilo em que uma organização pode realmente agir. Esse é um ponto forte para a priorização e uma limitação para a detecção.
O que uma entrada contém
| Campo | O que isso te diz |
|---|---|
| CVE | O identificador de vulnerabilidade, que permite a correspondência automática com um inventário. |
| Fornecedor e produto | O software afetado, como texto livre – deve ser associado a um identificador padronizado antes que uma máquina possa usá-lo. |
| Nome da vulnerabilidade | Um título legível, útil em um ticket. |
| Data adicionada | O dia em que a exploração foi confirmada. Comparado com a data de publicação do CVE, mostra a janela real. |
| Ação necessária e data de vencimento | A remediação esperada e seu prazo, vinculativo para as agências federais dos EUA. |
| Uso conhecido de ransomware | Indica se a falha é usada em campanhas de ransomware. |
Um caso real e datado: MOVEit, maio-junho de 2023
O 31 de maio de 2023, o fornecedor Progress lança um patch de emergência para sua ferramenta de transferência de arquivos, MOVEit Transfer. A falha é atribuída CVE-2023-34362: uma injeção de SQL que permite a execução remota de código não autenticado.
O 2 de junho de 2023, CISA o adiciona ao catálogo KEV. Dois dias entre o patch e a exploração confirmada. Mas o cronograma completo é ainda mais difícil: quando o patch for lançado, o grupo Cl0p já estará extraindo dados há vários dias. As contagens públicas já passaram 2.700 organizações afetados, incluindo órgãos governamentais e fornecedores de folha de pagamento que nunca tinham ouvido falar do MOVEit — mas o seu subcontratado o utilizou.
Duas lições que você pode reutilizar como estão: a lacuna entre a publicação de um CVE e sua adição ao KEV às vezes é menos de 48 horas; e a exploração muitas vezes começou antes da publicação. O KEV não é um aviso prévio, é um sinal de atualização – mais uma razão para agir rapidamente.
KEV, EPSS, CVSS: três questões diferentes
| Padrão | Pergunta | Tipo de resposta | O que falta |
|---|---|---|---|
| KEV | É explorado? | Sim ou não, observado | Qualquer coisa explorada sem evidências públicas. |
| EPSS | É provável que seja? | Uma probabilidade de 0 a 1 | Ataques direcionados, que são raros e, portanto, mal previstos. |
| CVSS | Quanto dano se for? | Uma pontuação de 0 a 10 | Tempo e seu contexto. |
Os três trabalham juntos nesta ordem: KEV aciona, EPSS antecipa, CVSS desempata.
O marco regulatório: do DBO 22-01 ao DBO 26-04
O catálogo foi criado por portaria DBO 22-01 (novembro de 2021), que exigia que as agências federais dos EUA corrigissem as vulnerabilidades do KEV até uma data de vencimento definida. Em 2026, essa diretiva foi revogada e substituída por DBO 26-04, que se concentra na priorização de patches com base em risco. O próprio catálogo permanece ativo e mantido.
Nenhuma das directivas é juridicamente vinculativa para uma empresa francesa. O seu valor está noutro lado: fizeram do KEV uma referência comum, citada em concursos, relatórios de auditoria e políticas de patches em todos os setores.
O que isso significa para você, na prática
Três etapas, nesta ordem:
- Faça referência cruzada do KEV com seu inventário, não com todos os seus alertas. O catálogo inteiro não lhe diz respeito; sua sobreposição com seus produtos sim.
- Defina uma regra por escrito: qualquer CVE em seu ambiente que apareça no KEV será tratado em 48 horas, qualquer que seja sua pontuação CVSS. Uma regra com um número evita a renegociação de cada alerta.
- Fique atento às adições ao catálogo, não apenas à publicação CVE. Uma falha que você deixou de lado há três meses pode ser adicionada amanhã: isso é uma transição e é o que deve acionar o alerta.