Guadagni:
- Capacità di stabilire con precisione le priorità combinando CVSS (gravità), EPSS (probabilità di abuso) e KEV (abuso effettivo) con il contesto istituzionale (esposizione, criticità, controllo compensativo)
- Capacità di verificare i numeri e i punteggi CVE che l'intelligenza artificiale può creare nelle origini NVD/EPSS/KEV e passare il piano di patching attraverso il gate di gestione delle modifiche
- Comprendi che un CVSS elevato da solo non significa priorità, ma che il rischio reale è determinato dal contesto.
Esistono migliaia di vulnerabilità in ogni organizzazione: una vulnerabilità in un software, un'errata configurazione o un componente obsoleto che un utente malintenzionato può sfruttare. Uno scanner di vulnerabilità, uno strumento che analizza i sistemi ed elenca le vulnerabilità note, produce facilmente 10.000-50.000 risultati in un'organizzazione di medie dimensioni. Il problema non è trovarli; In questa pila in cui è impossibile chiuderli tutti contemporaneamente, è importante decidere quale patchare per primo. L'assegnazione errata delle priorità provoca danni in due modi: si ritarda ciò che è veramente pericoloso oppure si esaurisce la continuità del team e dell'azienda con migliaia di risultati non importanti.
L’intelligenza artificiale è un potente aiuto in questa definizione delle priorità. Può raggruppare migliaia di righe di output della scansione, combinare duplicati, tradurre ogni risultato in linguaggio umano, spiegare “perché è importante” e fornire uno schema di definizione delle priorità. Ma l’intelligenza artificiale non sa quale server della tua organizzazione è aperto a Internet e quale contiene dati critici; e, cosa ancora più pericolosa, può creare un'identità di vulnerabilità (CVE) che non esiste. Quindi l’intelligenza artificiale genera e spiega lo schema della classifica, ma la decisione finale sulla priorità viene presa dall’analista con il contesto istituzionale e i dati validati.
Concetti base di definizione delle priorità
Chiariamo alcuni termini. CVE (Common Vulnerabilities and Exposures) è l'ID univoco assegnato a ciascuna vulnerabilità nota (ad esempio CVE-2021-44228, il famigerato Log4Shell). CVSS (Common Vulnerability Scoring System) è lo standard che assegna un punteggio da 0 a 10 alla gravità tecnica di una vulnerabilità; 9.0+ è considerato "critico". Ma il CVSS da solo non è sufficiente perché dice “quanto grave potrebbe essere”, non “quanto è probabile che venga effettivamente abusato”. È qui che entra in gioco l’EPSS (Exploit Prediction Scoring System): prevede la probabilità che una vulnerabilità venga effettivamente sfruttata nei prossimi 30 giorni. Esiste anche l'elenco KEV (Known Exploited Vulnerabilities): vulnerabilità che hanno dimostrato di essere utilizzate in attacchi reali; Queste sono priorità assolute.
La corretta definizione delle priorità combina questi tre elementi con il contesto aziendale: CVSS elevato + EPSS elevato + nell'elenco KEV + server critico aperto a Internet = patch immediata. CVSS alto ma EPSS basso + sulla rete interna + accesso limitato = patch pianificate.
Tabella dei fattori di priorità
fattore
cosa dice
Fonte
È abbastanza da solo?
Punteggio CVSS
Serietà tecnica (0-10)
NVD/venditore
No, non dice probabilità
Punteggio EPSS
Probabilità di essere sfruttato (%)
FIRST.org
No, il contesto non lo dice
Elenco KEV
Viene effettivamente sfruttato?
CISA KEV
Segnale forte, non l'unico
Criticità degli asset
Quanto vale il server?
Inventario istituzionale
Fornisce il contesto
esposizione
È aperto a Internet o isolato?
architettura di rete
Fornisce il contesto
controllo compensativo
WAF, esiste la segmentazione?
Informazioni sull'istituzione
Riduce il rischio
L’intelligenza artificiale si affretta a compilare questa tabella; Ma è tua responsabilità confermare i valori CVSS/EPSS/KEV dalla fonte ufficiale e aggiungere la criticità e l’esposizione degli asset con conoscenza istituzionale.
Passaggi per la definizione delle priorità delle vulnerabilità
- Raccogli e rendi anonimo l'output della scansione. Maschera i nomi host e gli IP interni.
- Raggruppare e ridurre le ripetizioni. Lascia che l'intelligenza artificiale combini le ripetizioni della stessa vulnerabilità su macchine diverse e crei un elenco CVE univoco.
- Arricchire. Includi lo stato CVSS, EPSS e KEV per ciascun CVE, ma verificali dalla fonte ufficiale.
- Aggiungi contesto. Quale sistema è aperto a Internet, che contiene dati critici, quale controllo compensativo esiste: si somma.
- Ordina per. Fate stilare una lista di priorità che combini serietà+probabilità+contesto.
- Verificare e decidere. Confermare che i CVE dei risultati di cui sopra siano autentici e che le versioni esistano effettivamente nel vostro istituto; Approvare il piano di patch in qualità di analista.
tre mini custodie
Caso 1: 12.000 risultati, 40 priorità reali. Un analista fornisce all'intelligenza artificiale 12.000 righe di output di scansione in forma anonima. L'intelligenza artificiale combina le ripetizioni e le riduce a 380 CVE unici, li arricchisce con dati EPSS e KEV ed evidenzia "40 vulnerabilità presenti nell'elenco KEV e situate sul server aperto a Internet". L'analista conferma questi 40 CVE nel catalogo NVD e KEV, correggendo le 3 vulnerabilità critiche effettivamente esistenti entro 24 ore. Lo stack si è ridotto da 12.000 a 40 gestibili; L'analista ha preso la decisione.
Caso 2 — CVE falso. Un altro analista ha dato priorità all’intelligenza artificiale; AI dice "CVE-2023-88888, CVSS 9.8, patch adesso." L'analista cerca questo numero in NVD: nessun record, modello inventato. Se non fosse stato confermato, il team avrebbe cercato una patch che non esisteva. Lezione: non a tutti i numeri CVE viene assegnata la priorità finché non vengono verificati nel registro NVD/fornitore.
Caso 3: il CVSS è elevato ma il rischio è basso. Uno scanner rileva una vulnerabilità CVSS 9.1 su un server di test sulla rete interna. L’intelligenza artificiale lo mette al primo posto. Ma l'analista aggiunge il contesto: il server è chiuso a Internet, non ci sono dati critici, c'è una segmentazione della rete davanti ad esso e il punteggio EPSS è dello 0,4%. Nello stesso elenco c'è un'altra vulnerabilità che è CVSS 7.5 ma è aperta a Internet ed è in KEV. L'analista corregge la classifica: la vulnerabilità in KEV, con CVSS basso ma effettivamente sfruttata, viene prima. Lezione: il CVSS da solo non è una priorità; il contesto determina.
Prompt debole / Prompt forte
Suggerimento debole:
Classifica queste vulnerabilità dalla più pericolosa alla più pericolosa e scrivi i relativi punteggi CVSS. [uscita scansione]
Questa affermazione si basa esclusivamente sul CVSS (ignorando probabilità e contesto), lascia la porta aperta all'intelligenza artificiale per adattarsi ai valori CVSS/CVE e non tiene conto dell'esposizione dell'agenzia.
Suggerimento potente:
Il tuo ruolo: assistente DRAFT per l'assegnazione delle priorità all'analista della sicurezza. Processo decisionale; Non ordinare patch. Elabora il seguente output di scansione anonima: (1) unisci duplicati, genera un elenco CVE univoco, (2) compila lo stato CVSS, EPSS e KEV per ciascun CVE MA contrassegna ciascun valore come "[Deve essere verificato da NVD/EPSS/KEV]"; Non inventare alcun valore, scrivi "[sconosciuto]" se non sei sicuro, (3) scrivimi 3 domande che dovrei porre per il contesto istituzionale (esposizione, criticità patrimoniale, controllo compensativo), (4) fornisci una classifica PRELIMINARE basata solo su dati tecnici, precisa che la correggerò con il contesto aziendale. Output: [risultato della scansione anonimo]
Il potente prompt richiede il trio CVSS/EPSS/KEV, lascia che ogni valore venga verificato, prende da te il contesto istituzionale e ti dà la decisione finale.
Modelli di prompt copiabili
MODELLO DI RAGGRUPPAMENTO VULNERABILITÀ Elabora il seguente output di scansione anonima: (1) combina le occorrenze dello stesso CVE su macchine diverse, (2) estrai il CVE univoco e il numero di macchine interessate, (3) raggruppa per prodotto/componente. Non inventare alcun numero CVE; non aggiungere qualcosa che non è nella fonte. Risultato: [incolla]
MODELLO DI ARRICCHIMENTO TRIPLO Per l'elenco CVE, aggiungere il punteggio base CVSS, la probabilità EPSS e se è presente nell'elenco KEV in ciascuna riga. esporta OGNI valore con il flag "[verify: source]"; Presentazione di dati accurati, fabbricazione. Digita "[conferma in NVD]" per il CVE di cui non sei sicuro. CVE: [incolla]
MODELLO DI DOMANDA SUL CONTESTOPer le seguenti vulnerabilità prioritarie, genera le domande che devi pormi sul contesto dell'organizzazione in modo che io possa classificarle correttamente: esposizione (è aperto a Internet), criticità delle risorse, sensibilità dei dati, controlli compensativi, finestra di patch. Darò le risposte; Aggiornerai la classifica solo dopo. Vulnerabilità: [incolla]
MODELLO DI BOZZA DEL PIANO DI PATCHDRAFT un piano di patch basato sull'elenco di priorità convalidato e sul contesto che fornisco: bucket immediati (24 ore), a breve termine (7 giorni), pianificati (30 giorni); giustificazione per ciascuna vulnerabilità e potenziale impatto aziendale/rischio di interruzione. Questa è una bozza; l'approvazione e l'implementazione appartengono all'analista e alla gestione del cambiamento. Dati: [incolla]
Errori comuni
- Sto solo guardando CVSS. Un CVSS elevato può indicare un rischio effettivo basso; Considera insieme EPSS (probabilità), KEV (sfruttamento effettivo) e contesto.
- Non verificare CVE. I non-IA possono creare numeri e punteggi CVE; confermare ciascuno con la registrazione NVD/rivenditore.
- Oltrepassare il contesto istituzionale. È aperto a Internet, ci sono dati critici, c’è un controllo compensativo? Tutto questo cambia completamente la classifica.
- Supponendo che la versione corrisponda. Il browser a volte legge la versione sbagliata; Verifica che la vulnerabilità esista effettivamente nella tua organizzazione (scansione falsi positivi).
- Implementare solo il piano di patch senza impatto sul business. Una patch critica può causare l'interruzione dell'attività; La gestione del cambiamento e i test sono essenziali.
Suggerimento: la combinazione d'oro nell'assegnazione delle priorità è "KEV elencato + aperto a Internet + EPSS elevato". Se questi tre si intersecano, quella vulnerabilità va in cima all’elenco indipendentemente dal CVSS.
Attenzione: anche dichiarare una vulnerabilità come "critica" e applicarvi immediatamente una patch può essere rischioso; Una patch non testata può bloccare la produzione. Il piano prodotto dall’intelligenza artificiale è un progetto; l'implementazione passa attraverso il processo di gestione delle modifiche e il testing gate.
In sintesi
La parte difficile della gestione della vulnerabilità non è trovarla, ma evidenziare quella corretta tra migliaia di risultati. L'intelligenza artificiale raggruppa l'output della scansione, riduce la ripetizione, lo traduce in linguaggio umano e fornisce uno schema di classificazione. Ma la priorità adeguata non deriva da un singolo numero: CVSS (gravità), EPSS (probabilità), KEV (sfruttamento effettivo) e contesto istituzionale (esposizione, criticità, controllo compensativo) vengono valutati insieme. L’errore più pericoloso dell’IA è il non CVE e la fabbricazione del punteggio; quindi ogni valore viene convalidato in NVD/EPSS/KEV, il contesto aziendale viene aggiunto da te e il piano di applicazione delle patch passa attraverso il gate di gestione delle modifiche.
Compito dell'applicazione
Ottieni un output di scansione di esempio (anonimo da te stesso o da dati di esempio). Estrai un elenco CVE univoco e una struttura CVSS/EPSS/KEV dall'intelligenza artificiale con i modelli "Raggruppamento delle vulnerabilità" e "Triplo arricchimento". Verifica tu stesso i primi 5 CVE nel catalogo NVD e CISA KEV; Prova a catturare almeno un valore fittizio o falso. Quindi rispondi alle domande nel modello "Domanda sul contesto" per il tuo ambiente e nota come cambia l'ordine.
lista di controllo
- [] Ho reso anonimo l'output della scansione; host e IP sono mascherati.
- [ ] Ho combinato i duplicati per ottenere un elenco di CVE univoci.
- [ ] Ho verificato ogni valore CVE e CVSS/EPSS/KEV nella fonte ufficiale.
- [ ] Sapendo che potrebbe essere un CVE/punteggio falso o errato, l'ho confermato.
- [ ] Nella graduatoria ho inserito il contesto istituzionale (esposizione, criticità, controllo compensativo).
- [] Non solo CVSS; Ho anche esaminato EPSS e KEV.
- [] Ho trattato il piano di intervento come una bozza; Ho aggiunto la porta di test e gestione delle modifiche.