Ikke hver sikkerhetssårbarhet betyr at du må oppdatere med en gang — her er hvordan du kan vite hvilke som gjør det

Sårbarheter kommer ofte med stor hastverk, men noen ganger er det mer støy enn det som egentlig er berettiget. Faktisk mener VulnCheck at av de mer enn 40 000 sårbarhetene som ble offentliggjort i 2024, ble kun 1 % bekreftet å ha blitt utnyttet i praksis.

Likevel, i det øyeblikket vi hører om en sårbarhet, føler vi behov for å oppdatere umiddelbart. Dette ser ut til å være den fornuftige tilnærmingen. Men å blindt følge denne prosessen hele tiden viser at du ikke har en pålitelig måte å avgjøre hvilke sårbarheter som faktisk krever at du oppdaterer. Det finnes måter å bestemme dette på.

De to signalene som faktisk forteller deg når du skal oppdatere

Den ene er en offentlig liste som hvem som helst kan søke i på 30 sekunder; den andre er leverandørens egne ord

• DE FØRSTE dataene i bildene ovenfor viser EPSS-poeng og de høyest rangerte CVE-ene.

Du trenger verken et verktøy eller et poengsystem, bare to signaler for å avgjøre om det er grunn nok til å oppdatere.

Det første av disse er Cybersecurity and Infrastructure Security Agency's (CISA) KEV (Known Exploited Vulnerabilities) katalog. Dette er en detaljert offentlig katalog over bekreftede sårbarheter som aktivt brukes i angrep i den virkelige verden. Så, i stedet for teoretiske eller høyt vurderte sårbarheter, viser den bekreftede utnyttelser. Derfor, hvis du finner noe på denne listen som påvirker et verktøy du bruker, må du oppdatere det umiddelbart.

Det finnes flere måter å søke gjennom listen på. Jeg synes det er veldig effektivt å søke etter leverandørnavn. Når jeg får resultater, kan jeg matche dem med programvaren jeg bruker.

Leverandørens rådgivningsspråk er det andre signalet. Personene som utviklet programvaren kan gi et direkte signal ved å bruke språk som "aktivt utnyttet" eller "utnyttelse oppdaget i det fri" i deres sikkerhetsrådgivning. Dette brukes ofte sammen med en alvorlighetsgradetikett som "Kritisk" eller "Viktig" og signaliserer direkte at reell, umiddelbar handling er nødvendig.

Din oppdateringshastighet bør følge denne regelen:

Vanligvis er nettlesere og operativsystemer to kategorier av forbrukersoftware som står for de fleste utnyttede sårbarheter. Det er trygt å ha automatiske oppdateringer på. For alt annet kan du imidlertid først kjøre denne sjekken når du ser en oppdateringsmelding, og fortsette med oppdateringen hvis det er en reell trussel.

Hvorfor alvorlighetsgraden i hver overskrift er feil tall

CVSS måler konsekvensene i verste fall — ikke om noen faktisk kommer etter deg

CVSS er et scoringssystem som representeres med en skala fra 0 til 10 for hver "patch umiddelbart"-overskrift du ser. 9,0 til 10,0 er kritisk, 7,0 til 8,9 er høy, 4,0 til 6,9 er middels, og 0,1 til 3,9 er lav. Denne poengsummen måler den hypotetiske worst-case-alvoret av en sårbarhet; en angripers maksimale kapasitet hvis det ikke finnes noen forsvar. Det er en nyttig scoringsmetode hvis du må sammenligne sårbarheter med hverandre; men det forteller deg ikke om en oppdatering er nødvendig. Det etterlater viktige hull fordi det ikke forteller:

• Om noen aktivt utnytter det
• Enten du har den berørte programvaren installert
• Om sårbarheten er eksternt tilgjengelig

Det siste punktet definerer et angrepsvektorfelt (i CVE-poster). Dette er det største gapet i CVSS-poengsettingen.

Det er en reell forskjell som ofte utelates. En sårbarhet med middels poengsum og nettverksvektor kan være farligere enn en sårbarhet med kritisk poengsum som krever lokal eller fysisk tilgang.

For å sette alt i perspektiv, av den 1 % av de 40 000 sårbarhetene som er bekreftet å ha blitt utnyttet i den virkelige verden, ble flere utnyttet før en CVE ble utstedt. Dette gjør dem sjeldne, men raske sårbarheter, og akkurat det de to signalene er ment å fange.

Det valgfrie signalet sikkerhetsprofesjonelle legger til bildet

EPSS gir hver sårbarhet en sannsynlighetsscore — men den har et viktig blindpunkt

EPSS (Exploit Prediction Scoring System) er et tredje signal hvis du vil gå et nivå dypere. Det estimerer sannsynligheten for at en sårbarhet vil bli utnyttet innen 30 dager. Denne beregningen er basert på observert angriperatferd og oppdateres daglig. Hvis en sårbarhet har en CVSS-vurdering på 9,8, men en EPSS-score på 0,3 %, viser det at angripere ignorerer den. Derimot, en CVSS-vurdering på 5,5 med en EPSS-score på 80 % viser at sårbarheten tiltrekker seg oppmerksomhet i den virkelige verden.

nvd.nist.gov viser CVSS og EPSS side om side. Behandle som en nødsituasjon hvis en sårbarhet med et nettverksangrepsvektor har en EPSS på 50 %; oppdater selv før KEV er bekreftet. Fangsten er imidlertid at en zero-day-sårbarhet vil ha lave EPSS-poeng, rett og slett fordi det ikke finnes bevis på utnyttelse som modellen trenger for å oppdatere. Dette er grunnen til at det å bruke EPSS som et støttesignal snarere enn en primær indikator er det bedre alternativet.

Tommelfingerregelen er å oppdatere umiddelbart hvis KEV er bekreftet eller leverandøren merker det som "aktivt utnyttet." Du kan utsette oppdateringer i 24 til 48 timer hvis EPSS er over 50 % med en nettverksangrepsvektor, men sårbarheten er ennå ikke på KEV. Du kan utsette oppdateringer til neste vanlige oppdateringssyklus når det eneste signalet er en høy CVSS.

Noen ting får statusen «oppdater umiddelbart» — ingen signaler kreves

For de fleste oppdateringer trenger du bare tosigersystemet. Du trenger imidlertid ikke å vente på noen signaler før du oppdaterer visse verktøykategorier. Tabellen nedenfor er min guide:

Ikke hopp over oppdateringer du faktisk trenger. Du bør imidlertid også vite hvorfor du oppdaterer. De fleste sikkerhetsoverskrifter er med vilje laget for å se alarmerende ut, og slik fungerer publisering generelt, men nå som du vet hva du skal se etter, kan du avgjøre om en oppdatering er nødvendig eller ikke.