Leitfäden
CVSS, EPSS und KEV: wie man sie zusammen nutzt
Drei verschiedene Maße, um zu entscheiden, welche Schwachstellen zuerst zu beheben sind: wie schwer sie ist, wie wahrscheinlich ihre Ausnutzung ist und ob sie bereits ausgenutzt wird.
Drei verschiedene Fragen
Jeden Tag werden mehr als hundert Schwachstellen mit einer CVE-Kennung veröffentlicht: Alle sofort zu beheben ist unmöglich, es braucht eine Reihenfolge. Die drei gebräuchlichsten Maße beantworten verschiedene Fragen:
- CVSS: Wie schwer wäre es, wenn jemand sie ausnutzt?
- EPSS: Wie wahrscheinlich ist ihre Ausnutzung in den nächsten 30 Tagen?
- KEV: Wird sie bereits in echten Angriffen ausgenutzt?
Keines reicht für sich allein. Zusammen, und mit dem Kontext der eigenen Umgebung, zeigen sie, was zuerst zu beheben ist.
CVSS: die technische Schwere
Das Common Vulnerability Scoring System, gepflegt von FIRST, gibt jeder Schwachstelle einen Wert von 0 bis 10 nach ihren Merkmalen: von wo sie angreifbar ist, wie aufwendig der Angriff ist, ob Zugangsdaten oder eine Aktion des Nutzers nötig sind und was der Angreifer erreicht (Daten, Änderungen, Ausfall des Dienstes). Die Stufen sind: keine (0), niedrig (0,1 bis 3,9), mittel (4,0 bis 6,9), hoch (7,0 bis 8,9) und kritisch (9,0 bis 10,0).
Zum Wert gehört ein Vektor, zum Beispiel AV:N/AC:L/PR:N/UI:N: über das Netz angreifbar (AV:N), ohne Zugangsdaten (PR:N) und ohne Aktion des Nutzers (UI:N). Er sagt oft mehr als die Zahl.
Die Grenze: CVSS misst die Schwere, nicht das Risiko. Viele kritische Schwachstellen werden nie ausgenutzt, und manche mittlere landen in Angriffskampagnen. Verwendet werden die Versionen 3.1 und 4.0.
EPSS: die Wahrscheinlichkeit der Ausnutzung
Das Exploit Prediction Scoring System, ebenfalls von FIRST, schätzt jeden Tag für jede veröffentlichte CVE die Wahrscheinlichkeit, dass sie in den folgenden 30 Tagen ausgenutzt wird. Das Modell lernt aus beobachteten Angriffen und aus Merkmalen wie einem öffentlichen Exploit oder der Art des Produkts.
Es wird auf zwei Arten gelesen: als Wahrscheinlichkeit (zum Beispiel 5 %) und als Perzentil (zum Beispiel 92 %, also ein höherer Wert als bei 92 % der CVEs). Die Wahrscheinlichkeiten sind fast immer niedrig: Schon wenige Prozent machen eine Schwachstelle zu einer der wahrscheinlichsten.
Die Grenze: Es ist eine statistische Schätzung, die sich schnell ändert, wenn ein Exploit erscheint, und sie weiß nicht, ob Sie das Produkt einsetzen oder ob es aus dem Internet erreichbar ist.
KEV: die bestätigte Ausnutzung
Der Katalog Known Exploited Vulnerabilities der CISA, der US-Behörde für Cybersicherheit, führt seit November 2021 die Schwachstellen, für die es verlässliche Belege einer Ausnutzung in echten Angriffen gibt. Aufgenommen wird eine Schwachstelle mit CVE-Kennung, Belegen für aktive Ausnutzung und klaren Hinweisen zur Behebung; für jeden Eintrag nennt der Katalog auch, ob sie in Ransomware-Kampagnen genutzt wurde.
Für US-Bundesbehörden hat jeder Eintrag eine Frist zur Behebung; für alle anderen ist er die meistgenutzte Referenz der tatsächlich ausgenutzten Schwachstellen. In Europa veröffentlicht die ENISA die europäische Schwachstellendatenbank (EUVD), die die NIS2-Richtlinie vorsieht und die ebenfalls ausgenutzte Schwachstellen kennzeichnet.
Die Grenze: Eine Schwachstelle kommt erst nach den ersten Belegen einer Ausnutzung in den Katalog, und nicht jede ausgenutzte Schwachstelle gelangt dorthin. Die Einträge des Katalogs nach Hersteller finden Sie auf der Seite ausgenutzte Schwachstellen.
Wie man sie zusammen nutzt
Eine praktische Reihenfolge für die Produkte, die Sie tatsächlich einsetzen:
- Zuerst die bereits ausgenutzten: im KEV-Katalog oder mit einer von offiziellen Quellen bestätigten Ausnutzung, beginnend mit Systemen, die aus dem Internet erreichbar sind, und mit Geräten am Netzrand (Firewalls, VPN, Gateways).
- Dann die wahrscheinlichen und schweren: hoher EPSS und hoher CVSS, vor allem wenn sie über das Netz ohne Zugangsdaten angreifbar sind.
- Dann die übrigen, im normalen Update-Zyklus.
Der Kontext wiegt mehr als die Zahlen: Derselbe Wert zählt auf einem System im Internet viel mehr als auf einem internen. Deshalb ist das Erste, was man wissen muss, welche Produkte man wo einsetzt.
Wie DefenceLevel sie nutzt
Die DEFCON-Stufe des Tages berechnen explizite, überprüfbare Regeln: Die technische Schwere geht vom offiziellen CVSS-Wert aus, die Wahrscheinlichkeit der Ausnutzung berücksichtigt auch EPSS, und die Ausnutzung wird durch offizielle Quellen wie den KEV-Katalog, nationale CERTs und Hersteller bestätigt, zusammen mit der Aufmerksamkeit Hunderter Quellen. Schwellen und Gewichte stehen in der Methodik.
Für jede CVE, die in den Briefings der letzten 12 Monate erschienen ist, zeigt ihre Seite CVSS, EPSS, die Aufnahme in den KEV-Katalog und die Tage, an denen sie in den Briefings erschienen ist.
Häufige Fragen
Muss eine Schwachstelle mit CVSS 9,8 sofort behoben werden?
Wenn Sie das Produkt einsetzen und die Schwachstelle bereits ausgenutzt wird oder laut EPSS wahrscheinlich ist, ja. Sonst kann sie in den normalen Update-Zyklus: Ein hoher Wert sagt, wie schwer es wäre, nicht dass jemand sie nutzt.
Heißt ein niedriger EPSS, dass ich sicher bin?
Nein. Es ist eine Schätzung, die sich täglich ändert, und ein Beleg für eine Ausnutzung zählt immer mehr als die Schätzung: Eine Schwachstelle im KEV-Katalog ist als ausgenutzt zu behandeln, egal wie hoch ihr EPSS ist.
Gilt der KEV-Katalog auch in Europa?
Der Katalog gehört der CISA, aber die Schwachstellen sind überall dieselben: Er ist eine weltweit genutzte Referenz. In Europa gibt es zusätzlich die Datenbank der ENISA (EUVD).
Wo finde ich diese Daten zu einer CVE?
In der NVD und auf cve.org zu jeder CVE; bei DefenceLevel auf der Seite der CVE, wenn sie in den Briefings der letzten 12 Monate erschienen ist.