Elk jaar krijgen tienduizenden nieuwe kwetsbaarheden een CVE-nummer. Geen team kan ze allemaal direct patchen, en dat hoeft meestal ook niet: maar een klein deel wordt ooit bij echte aanvallen gebruikt.
Het lastige is weten welke. Daar komt de catalogus Known Exploited Vulnerabilities (KEV) om de hoek kijken.
Wat is de CISA KEV-catalogus?
De KEV-catalogus is een openbare lijst van het Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA). Een kwetsbaarheid komt er alleen op als er betrouwbaar bewijs is dat aanvallers hem actief misbruiken, en als er een duidelijke oplossing of maatregel is.
Amerikaanse federale overheidsdiensten moeten KEV-kwetsbaarheden binnen vaste termijnen oplossen (Binding Operational Directive 22-01). Voor alle anderen is de lijst vrijwillig, maar hij is een van de nuttigste signalen in de branche geworden voor één simpele vraag: gebruikt iemand dit echt? De catalogus markeert ook kwetsbaarheden die bekend zijn uit ransomwarecampagnes.
Waarom CVSS alleen niet genoeg is
De CVSS-score (0 tot 10) beschrijft hoe ernstig een kwetsbaarheid kan zijn: hoe makkelijk misbruik is en hoeveel schade het kan doen. Hij zegt niet of iemand de kwetsbaarheid misbruikt.
Dat geeft een bekend probleem. Een scanner geeft 400 bevindingen, waarvan 60 “kritiek”. Het team werkt de kritieke lijst af, terwijl een oudere kwetsbaarheid met score “hoog” op de VPN-gateway precies de kwetsbaarheid is die ransomwaregroepen nu gebruiken.
Een eenvoudige manier om te prioriteren
Combineer drie vragen:
- Wordt hij actief misbruikt? Staat hij op de KEV-lijst, dan gaat hij bovenaan.
- Is het systeem vanaf internet bereikbaar? VPN-gateways, firewalls, mailservers, bestandsoverdrachttools en webapplicaties zijn favoriete ingangen.
- Hoe belangrijk is het systeem? Een kwetsbaarheid op je betaal- of identiteitssysteem weegt zwaarder dan een op een testmachine.
Een praktische vuistregel die veel teams gebruiken:
| Situatie | Doel |
|---|---|
| KEV + bereikbaar vanaf internet | Vandaag, of het systeem isoleren tot je kunt patchen |
| KEV + intern | Binnen enkele dagen |
| Niet in KEV, CVSS kritiek | Volgende geplande patchmoment |
| De rest | Normale onderhoudscyclus |
Sommige teams kijken ook naar EPSS, een openbare score van FIRST die de kans schat dat een kwetsbaarheid in de komende 30 dagen wordt misbruikt. Handig voor de grote groep kwetsbaarheden die (nog) niet in KEV staat.
Patchen is niet altijd genoeg
Bij meerdere bekende kwetsbaarheden in randapparatuur stalen aanvallers sessietokens of plaatsten ze achterdeurtjes voordat de patch was geïnstalleerd. Volg na het patchen van een misbruikte kwetsbaarheid op een apparaat dat vanaf internet bereikbaar is het advies van de leverancier: beëindig actieve sessies, vervang inloggegevens en controleer op sporen van een inbraak.
Hoe OZAG Security helpt
OZAG Security vergelijkt elke kwetsbaarheid op je systemen met de KEV-catalogus en rangschikt je systemen op echt risico: blootstelling, bedrijfsbelang, open detecties en ongepatchte, actief misbruikte CVE’s. Onze openbare Dreigingsradar toont alle kwetsbaarheden die de afgelopen zes maanden aantoonbaar zijn misbruikt, dagelijks bijgewerkt. Probeer het 14 dagen gratis.