Guide
CVSS, EPSS e KEV: come usarli insieme
Tre misure diverse per decidere quali vulnerabilità correggere prima: quanto è grave, quanto è probabile che venga sfruttata, se è già sfruttata.
Tre domande diverse
Ogni giorno vengono pubblicate più di cento vulnerabilità con un codice CVE: correggerle tutte subito non è possibile, serve un ordine. Le tre misure più usate rispondono a domande diverse:
- CVSS: quanto sarebbe grave, se qualcuno la sfruttasse?
- EPSS: quanto è probabile che venga sfruttata nei prossimi 30 giorni?
- KEV: è già sfruttata in attacchi reali?
Nessuna basta da sola. Insieme, e con il contesto di chi le usa, dicono che cosa correggere prima.
CVSS: la gravità tecnica
Il Common Vulnerability Scoring System, mantenuto da FIRST, dà a ogni vulnerabilità un punteggio da 0 a 10 a partire dalle sue caratteristiche: da dove si può attaccare, quanto è complesso farlo, se servono credenziali o l'aiuto dell'utente, e che cosa si ottiene (dati, modifiche, interruzione del servizio). Le fasce sono: nessuna (0), bassa (da 0,1 a 3,9), media (da 4,0 a 6,9), alta (da 7,0 a 8,9) e critica (da 9,0 a 10,0).
Il punteggio arriva con un vettore, per esempio AV:N/AC:L/PR:N/UI:N: attaccabile da rete (AV:N), senza credenziali (PR:N) e senza l'aiuto dell'utente (UI:N). Spesso è l'informazione più utile, più del numero.
Il limite: il CVSS misura la gravità, non il rischio. Molte vulnerabilità critiche non vengono mai sfruttate, e alcune di gravità media finiscono in campagne di attacco. Le versioni in uso sono la 3.1 e la 4.0.
EPSS: la probabilità di sfruttamento
L'Exploit Prediction Scoring System, anch'esso di FIRST, stima ogni giorno, per ogni CVE pubblicata, la probabilità che venga sfruttata nei 30 giorni successivi. Il modello impara dagli attacchi osservati e da caratteristiche come la disponibilità di un exploit pubblico o il tipo di prodotto.
Si legge in due modi: la probabilità (per esempio 5%) e il percentile (per esempio 92%, cioè un punteggio più alto di quello del 92% delle CVE). Le probabilità sono quasi sempre basse: anche qualche punto percentuale mette una vulnerabilità fra le più probabili.
Il limite: è una stima statistica, che cambia in fretta quando compare un exploit, e non sa se usi quel prodotto né se è esposto su internet.
KEV: lo sfruttamento confermato
Il catalogo Known Exploited Vulnerabilities della CISA, l'agenzia statunitense per la cybersicurezza, elenca dal novembre 2021 le vulnerabilità di cui ci sono prove affidabili di sfruttamento in attacchi reali. Per entrare servono un codice CVE, prove di sfruttamento attivo e indicazioni chiare per correggerla; per ogni voce il catalogo dice anche se è stata usata in campagne ransomware.
Per le agenzie federali statunitensi ogni voce ha una scadenza per la correzione; per tutti gli altri è il riferimento più usato delle vulnerabilità sfruttate davvero. In Europa l'ENISA pubblica la banca dati europea delle vulnerabilità (EUVD), prevista dalla direttiva NIS2, che segnala anche quelle sfruttate.
Il limite: una vulnerabilità entra nel catalogo dopo le prime prove di sfruttamento, e non tutte quelle sfruttate ci arrivano. Le voci del catalogo, produttore per produttore, sono nella pagina vulnerabilità sfruttate.
Come usarli insieme
Un ordine pratico, per i prodotti che usi davvero:
- Prima quelle già sfruttate: nel catalogo KEV o con lo sfruttamento confermato da fonti ufficiali, a partire dai sistemi raggiungibili da internet e dagli apparati di confine (firewall, VPN, gateway).
- Poi quelle probabili e gravi: EPSS alto e CVSS alto, soprattutto se attaccabili da rete senza credenziali.
- Poi le altre, nel ciclo normale degli aggiornamenti.
Il contesto pesa più dei numeri: lo stesso punteggio vale molto di più su un sistema esposto su internet che su uno interno. Per questo la prima cosa da sapere è quali prodotti usi e dove.
Come li usa DefenceLevel
Il livello DEFCON del giorno lo calcolano regole esplicite e verificabili: la gravità tecnica parte dal CVSS ufficiale, la probabilità di sfruttamento tiene conto anche dell'EPSS, e lo sfruttamento si conferma con fonti ufficiali come il catalogo KEV, i CERT nazionali e i produttori, insieme all'attenzione di centinaia di fonti. Soglie e pesi sono nel metodo.
Per ogni CVE comparsa nei briefing degli ultimi 12 mesi, la sua pagina mostra CVSS, EPSS, l'ingresso nel catalogo KEV e i giorni in cui è comparsa nei briefing.
Domande frequenti
Una vulnerabilità con CVSS 9,8 va corretta subito?
Se usi quel prodotto e la vulnerabilità è già sfruttata, o probabile secondo l'EPSS, sì. Altrimenti può entrare nel ciclo normale degli aggiornamenti: un punteggio alto dice quanto sarebbe grave, non che qualcuno la stia usando.
Un EPSS basso vuol dire che sono al sicuro?
No. È una stima che cambia ogni giorno, e una prova di sfruttamento conta sempre più della stima: una vulnerabilità nel catalogo KEV va trattata come sfruttata, qualunque sia il suo EPSS.
Il catalogo KEV vale anche in Europa?
Il catalogo è della CISA, ma le vulnerabilità sono le stesse ovunque: è un riferimento usato in tutto il mondo. In Europa c'è anche la banca dati dell'ENISA (EUVD).
Dove trovo questi dati per una CVE?
Su NVD e su cve.org per ogni CVE; su DefenceLevel, nella pagina della CVE, se è comparsa nei briefing degli ultimi 12 mesi.