CVE Prioritizer

CVE Prioritizer ist ein leistungsstarkes Tool, das Ihnen hilft, die Priorisierung von Schwachstellen-Patches zu verbessern, indem es CVSS, EPSS, die Known Exploited Vulnerabilities von CISA und die Community-Ressourcen von VulnCheck (NVD++, KEV) kombiniert. Es bietet wertvolle Einblicke in die Wahrscheinlichkeit einer Ausnutzung und die potenziellen Auswirkungen von Schwachstellen auf Ihr Informationssystem.

Warum CVSS, EPSS und CISA KEV kombinieren?

CVE_Prioritizer nutzt die Korrelation zwischen CVSS- und EPSS-Scores, um die Behebung von Schwachstellen zu verbessern. Während CVSS die grundlegenden Eigenschaften einer Schwachstelle erfasst, liefert EPSS datengesteuerte Bedrohungsinformationen, die es Ihnen ermöglichen, Patches besser zu priorisieren.

Inhaltsverzeichnis

1. Warum CVSS, EPSS und CISA KEV kombinieren?
2. Kombination von CVSS, EPSS und KEV
3. Unser Ansatz
4. Installation
5. Verwendung
   • API-Schlüssel anfordern
   • Datenquelle für CVEs auswählen
   • Eingabemethode wählen
   • Ausgabe anpassen
6. Beispiele
7. Mitwirken
8. Lizenz
9. Kontakt

Kombination von CVSS, EPSS und KEV

Das Team von FIRST hat in seinem EPSS-Benutzerhandbuch hervorragend erklärt, warum man CVSS und EPSS kombinieren sollte. Das folgende Material wurde aus diesem Dokument entnommen.

Die folgende Abbildung zeigt die Korrelation zwischen EPSS- und CVSS-Scores basierend auf Daten vom 16.05.2021. Beachten Sie, dass EPSS Vorhersagewerte zwischen 0 und 1 (0 und 100 %) liefert, wobei höhere Werte eine höhere Wahrscheinlichkeit einer Ausnutzung anzeigen. Jeder Punkt steht für eine oder mehrere Schwachstellen (CVEs). Einige Schwachstellen sind zu Illustrationszwecken beschriftet.

Zunächst ist zu beobachten, dass die meisten Schwachstellen am unteren Rand des Diagramms konzentriert sind und nur ein kleiner Prozentsatz der Schwachstellen EPSS-Werte über 50 % (0,5) aufweist. Während es eine gewisse Korrelation zwischen EPSS- und CVSS-Scores gibt, liefert dieses Diagramm insgesamt Hinweise darauf, dass Angreifer nicht nur Schwachstellen ins Visier nehmen, die die größten Auswirkungen haben oder zwangsläufig einfacher auszunutzen sind (wie z. B. eine nicht authentifizierte Remote-Codeausführung).

Dies ist ein wichtiger Befund, da er die gängige Annahme widerlegt, dass Angreifer nur nach den schwerwiegendsten Schwachstellen suchen (und diese nutzen). Wie kann ein Netzwerkverteidiger dann aus diesen Schwachstellen auswählen, welche zuerst gepatcht werden sollen?

CVSS ist ein nützliches Werkzeug zur Erfassung der grundlegenden Eigenschaften einer Schwachstelle, muss jedoch in Kombination mit datengesteuerten Bedrohungsinformationen wie EPSS verwendet werden, um die Priorisierung von Schwachstellenbehebungen zu verbessern.

Betrachten wir zur Diskussion das folgende Diagramm, das zur allgemeinen Veranschaulichung der Schwachstellenpriorisierung kommentiert wurde.

• Schwachstellen unten links stellen solche dar, die sowohl eine geringere Wahrscheinlichkeit der Ausnutzung haben als auch geringere Auswirkungen auf das Informationssystem hätten, und können daher herabgestuft werden.
• Schwachstellen im oberen linken Quadranten werden möglicherweise häufiger ausgenutzt, würden jedoch für sich genommen das Informationssystem nicht kritisch beeinträchtigen. (Es sollten jedoch weitere Untersuchungen durchgeführt werden, um besser zu verstehen, wie solche Schwachstellen in einer verketteten Angriffskette verwendet werden könnten.)
• Schwachstellen unten rechts stellen solche dar, die zwar das Informationssystem schwerwiegend beeinträchtigen können, aber im Vergleich zu anderen weitaus seltener ausgenutzt werden. Sie sollten jedoch im Auge behalten werden, falls sich die Bedrohungslandschaft ändert.
• Schwachstellen im oberen rechten Quadranten hingegen sind die kritischsten Arten von Schwachstellen, die sowohl wahrscheinlicher ausgenutzt werden als auch das Informationssystem vollständig gefährden könnten, und sollten daher zuerst gepatcht werden.

Diese Entscheidungsstrategie unterstreicht die enorme Leistungsfähigkeit von EPSS. Ein Netzwerkverteidiger, der sich typischerweise mit Tausenden oder Zehntausenden exponierter Schwachstellen befassen musste, kann nun mit weniger Ressourcen mehr Schwachstellen patchen, die mit viel höherer Wahrscheinlichkeit ausgenutzt werden. Diese Fähigkeit, zwischen Schwachstellen zu unterscheiden, war bisher nicht möglich.

Unser Ansatz

Wir haben die Priorisierungsschwellenwerte basierend auf den Empfehlungen von FIRST und unserer eigenen Erfahrung verfeinert. Hier eine Übersicht:

1. Wir beziehen die Known Exploited Vulnerabilities von CISA ein und geben CVEs aus dem KEV Vorrang.
2. Der CVSS-Schwellenwert ist auf 6,0 gesetzt, was dem gewichteten durchschnittlichen CVSS-Score von CVE Details entspricht.
3. Der EPSS-Schwellenwert ist auf 0,2 gesetzt, was den Fokus auf Schwachstellen mit höherer Relevanz oberhalb dieses Schwellenwerts legt.

Dieser Ansatz kategorisiert Schwachstellen in fünf Prioritätsstufen, sodass Sie Ressourcen effektiver zuweisen können.

Priorität	Beschreibung
Priority 1+	CVEs, die im CISA-KEV enthalten sind
Priority 1	CVEs im oberen rechten Quadranten
Priority 2	CVEs im unteren rechten Quadranten
Priority 3	CVEs im oberen linken Quadranten
Priority 4	CVEs im unteren linken Quadranten

Nachfolgend eine modifizierte Version der FIRST-Empfehlung nach Anwendung unseres Ansatzes.

Hinweis: Sie können beim Ausführen des Tools eigene Schwellenwerte festlegen, um die Ergebnisse an das Risikoprofil Ihrer Organisation anzupassen.

Installation

GitHub

git clone https://github.com/TURROKS/CVE_Prioritizer.git
cd CVE_Prioritizer
pip install -r requirements.txt

pip

pip install --user cve_prioritizer

Verwendung

Um CVE_Prioritizer effektiv zu nutzen, befolgen Sie diese Schritte: