Post #1410
2.55K
KEV: панацея или нет?
Всем привет!
База данных, в которой содержится информация об уязвимостях, для которых существуют эксплойты - Known Exploited Vulnerabilities (KEV) – является одной из «точек принятия» решения о необходимости повышения приоритета по устранению уязвимости.
Но спасает ли она от всего? Примерно таким вопросом задался Автор статьи.
По ссылке можно найти небольшое исследование, в котором Автор представляет иную точку зрения: KEV – скорее некоторый baseline, а не универсальный индикатор расстановки приоритетов.
Если сравнить с общим количеством уязвимостей, которое лишь растет год от года, то в KEV можно найти лишь 1%.
При этом, наличие эксплойта, хоть и сильно повышает «значимость» уязвимости никак напрямую не связано с риском её эксплуатации для конкретной Компании.
В итоге он предлагает следующую модель:
🍭 Уровень №1. Анализ KEV, работа с уязвимостями, которые в ней есть
🍭 Уровень №2. Анализ возможности эксплуатации уязвимостей, которых нет в KEV
🍭 Уровень №3. Использование предсказательных моделей, например, EPSS (к которой тоже есть ряд вопросов)
Дополнительно ситуация осложняется и тем, что время на подготовку эксплойтов также сокращается из-за использования нейронных сетей, которые показывают неплохие результаты.
Поэтому вопрос расстановки приоритетов по устранению уязвимостей остается открытым.
А какие подходы используете вы для решения этой задачи?
Empirical Security The KEV Paradox | Empirical Security Everyone Has Known Exploited Vulnerabilities and Yet KEV Is a Tiny Fraction of the Problem. Most security leaders have (rightly) adopted the CISA Known Exploited Vulnerabilities (KEV) catalog as a core input to vulnerability remediation. KEV is high-signal:… Всем привет!
База данных, в которой содержится информация об уязвимостях, для которых существуют эксплойты - Known Exploited Vulnerabilities (KEV) – является одной из «точек принятия» решения о необходимости повышения приоритета по устранению уязвимости.
Но спасает ли она от всего? Примерно таким вопросом задался Автор статьи.
По ссылке можно найти небольшое исследование, в котором Автор представляет иную точку зрения: KEV – скорее некоторый baseline, а не универсальный индикатор расстановки приоритетов.
Если сравнить с общим количеством уязвимостей, которое лишь растет год от года, то в KEV можно найти лишь 1%.
При этом, наличие эксплойта, хоть и сильно повышает «значимость» уязвимости никак напрямую не связано с риском её эксплуатации для конкретной Компании.
В итоге он предлагает следующую модель:
🍭 Уровень №1. Анализ KEV, работа с уязвимостями, которые в ней есть
🍭 Уровень №2. Анализ возможности эксплуатации уязвимостей, которых нет в KEV
🍭 Уровень №3. Использование предсказательных моделей, например, EPSS (к которой тоже есть ряд вопросов)
Дополнительно ситуация осложняется и тем, что время на подготовку эксплойтов также сокращается из-за использования нейронных сетей, которые показывают неплохие результаты.
Поэтому вопрос расстановки приоритетов по устранению уязвимостей остается открытым.
А какие подходы используете вы для решения этой задачи?
- ❤ 3
