Das Schwachstellenmanagement greift oft auf eine einfache Regel zurück: Ein höherer CVSS-Score bedeutet ein höheres Risiko. Dies führt zu einem reaktiven Zyklus, bei dem jede kritische oder hochgradige CVE gepatcht wird, ohne eine aktive Ausnutzung zu bestätigen. Ein solcher Ansatz verbraucht erhebliche Ressourcen, bekämpft aber nicht immer unmittelbare Bedrohungen. Ein hoher CVSS-Score weist auf eine theoretische Schwere hin. Er bestätigt keine aktive Ausnutzung.
Die Grenzen der CVSS-First-Priorisierung
Das Common Vulnerability Scoring System (CVSS) bietet eine standardisierte Methode zur Bewertung der Schwere von Schwachstellen. Es berücksichtigt Faktoren wie Angriffskomplexität, erforderliche Privilegien und Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Dies sind wertvolle Metriken zum Verständnis potenzieller Schäden.
CVSS-Scores sind jedoch statisch. Sie beschreiben, was passieren könnte, nicht, was gerade passiert. Eine Schwachstelle mit einem hohen CVSS-Score könnte jahrelang ungenutzt bleiben. Eine andere, mit einer moderaten CVSS-Bewertung, könnte gerade aktiv angegriffen werden. Sich ausschließlich auf CVSS zu verlassen, kann zu „Patch-Müdigkeit“ führen, bei der Teams theoretisch schwerwiegende, aber praktisch inerte Schwachstellen beheben. Dies lenkt die Aufmerksamkeit von den Schwachstellen ab, die Angreifer aktiv nutzen. Es führt zu einer Fehlallokation der Verteidigungsbemühungen.
Was KEV bedeutet: Aktive Ausnutzung
Der CISA Known Exploited Vulnerabilities (KEV) Katalog verlagert den Fokus von der theoretischen Schwere auf das bestätigte Risiko. Eine Schwachstelle im KEV-Katalog bedeutet, dass CISA zuverlässige Beweise für eine aktive Ausnutzung in der Praxis hat [0]. Dies ist eine entscheidende Unterscheidung: Sie verschiebt eine Schwachstelle von einer potenziellen Bedrohung zu einer aktiven.
Eine KEV-Listung ist ein sofortiger Aufruf zum Handeln. Sie umgeht das „Was wäre wenn“-Szenario von CVSS und ersetzt es durch eine „Was ist“-Realität. Für Verteidiger bedeutet dies, dass die Schwachstelle nicht länger theoretisch ist; sie ist jetzt Teil des Werkzeugkastens eines Angreifers.
Integration von KEV in Ihren Workflow zur Schwachstellenpriorisierung
Effektives Schwachstellenmanagement erfordert ein Triage-System, das auf der Grundlage der tatsächlichen Bedrohung und nicht nur des potenziellen Impacts priorisiert. Die Integration des KEV-Katalogs in Ihren Workflow bedeutet, eine explizite Prüfung hinzuzufügen: „Ist diese Schwachstelle in KEV?“ Wenn ja, rückt diese Schwachstelle an die Spitze der Behebungsliste, unabhängig von ihrem CVSS-Score.
Das bedeutet nicht, CVSS vollständig zu ignorieren. CVSS informiert weiterhin über den Impact eines erfolgreichen Exploits. Aber KEV informiert über die Wahrscheinlichkeit, dass dieser Exploit bald auftritt. Die Kombination liefert ein genaueres Risikoprofil: KEVs mit hohem CVSS sind kritisch. KEVs mit mittlerem CVSS sind ebenfalls kritisch. Nicht-KEVs mit hohem CVSS sind wichtig, aber weniger dringend.
Praktische Schritte für eine KEV-gesteuerte Reaktion
Die Umstellung auf eine KEV-First-Priorisierung erfordert einen strukturierten Prozess:
- Inventarverwaltung: Führen Sie ein genaues, aktuelles Inventar aller Assets, Software und Abhängigkeiten. Sie können nicht schützen, was Sie nicht wissen, dass Sie es haben. Dieses Inventar muss detailliert genug sein, um betroffene Systeme zu identifizieren, wenn eine KEV-Warnung ausgegeben wird.
- Kontinuierliche Überwachung: Überprüfen Sie regelmäßig den CISA KEV-Katalog. Automatisieren Sie dies, wo immer möglich, indem Sie KEV-Updates in Schwachstellenscan- und Berichterstellungstools integrieren.
- Herstellerhinweise: Gleichen Sie KEV-Einträge mit Herstellerhinweisen ab. Diese bieten oft spezifische Abhilfemaßnahmen, Patches oder Workarounds.
- Priorisierte Mitigation: Wenn eine in KEV gelistete Schwachstelle in Ihrer Umgebung identifiziert wird, priorisieren Sie deren Behebung. Dies kann das Anwenden von Patches, die Implementierung temporärer Abhilfemaßnahmen oder die Isolierung betroffener Systeme umfassen. Ziel ist es, die Angriffsfläche schnell zu verkleinern.
- Verantwortung und Rechenschaftspflicht: Weisen Sie klare Verantwortlichkeiten für KEV-Behebungsaufgaben zu. Stellen Sie sicher, dass die für bestimmte Systeme verantwortlichen Teams ihre Rolle bei der Behebung von KEV-Elementen verstehen und über die notwendigen Ressourcen verfügen.
- Verifizierung: Überprüfen Sie nach der Mitigation, ob die Schwachstelle erfolgreich behoben wurde. Dies kann das erneute Scannen oder manuelle Überprüfungen umfassen.
Stellen Sie sich ein Team vor, das zuvor von einem Rückstand an High-CVSS-Elementen überfordert war und einen KEV-First-Ansatz gewählt hat. Durch die Konzentration auf aktiv ausgenutzte Bedrohungen konnten sie die Zeit, die zur Behebung von KEV-gelisteten Schwachstellen benötigt wurde, erheblich verkürzen. Diese Umverteilung der Anstrengungen bedeutete, dass sie reale Angriffe schneller bekämpften, ohne den Personalbestand zu erhöhen. Der Explosionsradius potenzieller Vorfälle wurde reduziert, weil sie zuerst das Wichtigste gepatcht haben.
Über den Patch hinaus: Ein KEV-bewusstes Programm aufrechterhalten
Ein KEV-bewusstes Programm ist keine einmalige Lösung; es ist kontinuierlich. Es erfordert ständige Wachsamkeit, klare Kommunikation und eine Kultur, die den Unterschied zwischen theoretischem Risiko und aktiver Bedrohung versteht. Durch die Priorisierung von KEV-Einträgen können Organisationen von einem reaktiven, breit angelegten Patching-Ansatz zu einer proaktiven, bedrohungsbasierten Verteidigung übergehen. Dies bedeutet weniger Ressourcenverschwendung für ungenutzte Schwachstellen und einen effektiveren Schutz vor bereits laufenden Angriffen. Ziel ist es, Vorfälle klein zu halten. Die Behebung bekannter, ausgenutzter Bedrohungen ist der schnellste Weg dazu.
