Guides
CVSS, EPSS et KEV : comment les utiliser ensemble
Trois mesures différentes pour décider quelles vulnérabilités corriger en premier : sa gravité, la probabilité qu'elle soit exploitée, et si elle l'est déjà.
Trois questions différentes
Plus de cent vulnérabilités dotées d'un identifiant CVE sont publiées chaque jour : les corriger toutes tout de suite est impossible, il faut un ordre. Les trois mesures les plus utilisées répondent à des questions différentes :
- CVSS : quelle serait la gravité si quelqu'un l'exploitait ?
- EPSS : quelle est la probabilité qu'elle soit exploitée dans les 30 prochains jours ?
- KEV : est-elle déjà exploitée lors d'attaques réelles ?
Aucune ne suffit seule. Ensemble, et avec le contexte de celui qui utilise les produits, elles disent quoi corriger en premier.
CVSS : la gravité technique
Le Common Vulnerability Scoring System, maintenu par FIRST, donne à chaque vulnérabilité un score de 0 à 10 selon ses caractéristiques : d'où elle peut être attaquée, la complexité de l'attaque, s'il faut des identifiants ou une action de l'utilisateur, et ce que l'attaquant obtient (données, modifications, interruption du service). Les niveaux sont : aucune (0), faible (de 0,1 à 3,9), moyenne (de 4,0 à 6,9), élevée (de 7,0 à 8,9) et critique (de 9,0 à 10,0).
Le score s'accompagne d'un vecteur, par exemple AV:N/AC:L/PR:N/UI:N : attaquable par le réseau (AV:N), sans identifiants (PR:N) et sans action de l'utilisateur (UI:N). C'est souvent plus utile que le chiffre.
La limite : le CVSS mesure la gravité, pas le risque. Beaucoup de vulnérabilités critiques ne sont jamais exploitées, et certaines de gravité moyenne finissent dans des campagnes d'attaque. Les versions utilisées sont la 3.1 et la 4.0.
EPSS : la probabilité d'exploitation
L'Exploit Prediction Scoring System, lui aussi de FIRST, estime chaque jour, pour chaque CVE publiée, la probabilité qu'elle soit exploitée dans les 30 jours suivants. Le modèle apprend des attaques observées et de caractéristiques comme l'existence d'un exploit public ou le type de produit.
Il se lit de deux façons : la probabilité (par exemple 5 %) et le centile (par exemple 92 %, soit un score plus élevé que celui de 92 % des CVE). Les probabilités sont presque toujours faibles : quelques points de pourcentage suffisent à placer une vulnérabilité parmi les plus probables.
La limite : c'est une estimation statistique, qui change vite quand un exploit apparaît, et elle ne sait pas si vous utilisez le produit ni s'il est exposé sur internet.
KEV : l'exploitation confirmée
Le catalogue Known Exploited Vulnerabilities de la CISA, l'agence américaine de cybersécurité, recense depuis novembre 2021 les vulnérabilités dont l'exploitation lors d'attaques réelles est prouvée de façon fiable. Pour y entrer, il faut un identifiant CVE, des preuves d'exploitation active et des indications claires pour la corriger ; pour chaque entrée, le catalogue indique aussi si elle a servi dans des campagnes de rançongiciel.
Pour les agences fédérales américaines, chaque entrée a une échéance de correction ; pour tous les autres, c'est la référence la plus utilisée des vulnérabilités réellement exploitées. En Europe, l'ENISA publie la base européenne des vulnérabilités (EUVD), prévue par la directive NIS2, qui signale aussi celles qui sont exploitées.
La limite : une vulnérabilité entre dans le catalogue après les premières preuves d'exploitation, et toutes celles qui sont exploitées n'y arrivent pas. Les entrées du catalogue, éditeur par éditeur, sont sur la page vulnérabilités exploitées.
Comment les utiliser ensemble
Un ordre pratique, pour les produits que vous utilisez vraiment :
- D'abord celles déjà exploitées : dans le catalogue KEV ou avec une exploitation confirmée par des sources officielles, en commençant par les systèmes accessibles depuis internet et les équipements en bordure de réseau (pare-feu, VPN, passerelles).
- Puis les probables et graves : EPSS élevé et CVSS élevé, surtout si elles sont attaquables par le réseau sans identifiants.
- Puis les autres, dans le cycle normal des mises à jour.
Le contexte pèse plus que les chiffres : le même score compte beaucoup plus sur un système exposé sur internet que sur un système interne. C'est pourquoi la première chose à savoir est quels produits vous utilisez, et où.
Comment DefenceLevel les utilise
Le niveau DEFCON du jour est calculé par des règles explicites et vérifiables : la gravité technique part du score CVSS officiel, la probabilité d'exploitation tient aussi compte de l'EPSS, et l'exploitation est confirmée par des sources officielles comme le catalogue KEV, les CERT nationaux et les éditeurs, avec l'attention de centaines de sources. Seuils et pondérations sont dans la méthodologie.
Pour chaque CVE parue dans les briefings des 12 derniers mois, sa page montre le CVSS, l'EPSS, l'entrée dans le catalogue KEV et les jours où elle est parue dans les briefings.
Questions fréquentes
Une vulnérabilité avec un CVSS de 9,8 doit-elle être corrigée tout de suite ?
Si vous utilisez le produit et que la vulnérabilité est déjà exploitée, ou probable selon l'EPSS, oui. Sinon, elle peut entrer dans le cycle normal des mises à jour : un score élevé dit quelle serait la gravité, pas que quelqu'un l'utilise.
Un EPSS faible veut-il dire que je suis en sécurité ?
Non. C'est une estimation qui change chaque jour, et une preuve d'exploitation compte toujours plus que l'estimation : une vulnérabilité du catalogue KEV doit être traitée comme exploitée, quel que soit son EPSS.
Le catalogue KEV vaut-il aussi en Europe ?
Le catalogue est celui de la CISA, mais les vulnérabilités sont les mêmes partout : c'est une référence utilisée dans le monde entier. En Europe, il existe aussi la base de l'ENISA (EUVD).
Où trouver ces données pour une CVE ?
Sur la NVD et cve.org pour chaque CVE ; sur DefenceLevel, sur la page de la CVE, si elle est parue dans les briefings des 12 derniers mois.