KEV: панацея или нет?

Всем привет!

База данных, в которой содержится информация об уязвимостях, для которых существуют эксплойты - Known Exploited Vulnerabilities (KEV) – является одной из «точек принятия» решения о необходимости повышения приоритета по устранению уязвимости.

Но спасает ли она от всего? Примерно таким вопросом задался Автор статьи.

По ссылке можно найти небольшое исследование, в котором Автор представляет иную точку зрения: KEV – скорее некоторый baseline, а не универсальный индикатор расстановки приоритетов.

Если сравнить с общим количеством уязвимостей, которое лишь растет год от года, то в KEV можно найти лишь 1%.

При этом, наличие эксплойта, хоть и сильно повышает «значимость» уязвимости никак напрямую не связано с риском её эксплуатации для конкретной Компании.

В итоге он предлагает следующую модель:
🍭 Уровень №1. Анализ KEV, работа с уязвимостями, которые в ней есть
🍭 Уровень №2. Анализ возможности эксплуатации уязвимостей, которых нет в KEV
🍭 Уровень №3. Использование предсказательных моделей, например, EPSS (к которой тоже есть ряд вопросов)

Дополнительно ситуация осложняется и тем, что время на подготовку эксплойтов также сокращается из-за использования нейронных сетей, которые показывают неплохие результаты.

Поэтому вопрос расстановки приоритетов по устранению уязвимостей остается открытым.

А какие подходы используете вы для решения этой задачи?