Prioritzar CVE sense refiar-se només del CVSS

L'error que més vegades he vist, i que vaig cometre jo també al principi, és ordenar una llista de CVE per CVSS i anomenar això priorització. El CVSS mesura gravetat tècnica en abstracte. No diu si algú està explotant aquesta fallada ara mateix. Són preguntes diferents, i tractar-les com si fossin la mateixa fa que es gastin setmanes en un CVE de 9,8 que ningú fa servir mentre un de 6,5 s'explota activament.

Tres fonts, tres preguntes diferents

Cadascuna de les següents respon alguna cosa que les altres dues no saben:

• NVD respon què és la fallada: CVSS, CWE, i la versió que la corregeix.
• CISA KEV respon si s'està explotant de veritat, ara mateix, confirmat.
• EPSS respon la probabilitat que s'exploti en els propers 30 dies, encara que encara no sigui a KEV.

Cap no substitueix les altres dues. NVD sense les altres dona llistes llarguíssimes sense ordre real. KEV sol és binari: dins o fora. EPSS sol és un número sense context de què corregeix.

El criteri que aplico

Amb les tres creuades, l'ordre queda així, sense excepcions:

1. Si és a KEV, va primer. És igual el CVSS.
2. Si no és a KEV però l'EPSS és alt, va després. És el senyal que comença a explotar-se.
3. CVSS alt amb EPSS baix i fora de KEV pot esperar al cicle normal de pedaços.

La sorpresa la primera vegada que aplico això sobre un tenant real sempre és la mateixa: la llista final no s'assembla gens a la que surt d'ordenar només per CVSS.

Per què ho vaig automatitzar

Creuar tres fonts a mà cada mes no escala, i és just el tipus de tasca que es salta quan hi ha pressa, que és precisament quan més falta fa. Ho vaig integrar al generador d'informes que faig servir per als clients: cada CVE que apareix s'enriqueix automàticament contra les tres fonts abans d'entrar al document, amb cache a disc per no tornar a preguntar per un CVE que ja s'ha consultat. El codi està publicat si a algú li serveix de referència.

El que cap de les tres sap

Ni NVD, ni KEV, ni EPSS saben si l'actiu afectat és un portàtil de proves o un controlador de domini. Això només ho sap qui coneix la xarxa. L'automatització ordena per senyal tècnic; el context de negoci continua posant-lo una persona, i aquí és on de debò es decideix què es pedaça aquesta setmana i què espera al mes que ve.

Relacionat: vaig automatitzar la vigilància del mateix catàleg KEV per no dependre de recordar-me de consultar-lo.