CVE-Triage

Ein Scanner übergibt Ihnen vierhundert CVE-Kennungen und eine Schwere-Spalte, die die meisten davon kritisch nennt. Dieser Schreibtisch ordnet die Liste nach dem, was tatsächlich ausgenutzt wird: dem KEV-Katalog der CISA für bekannte Ausnutzung, den EPSS-Werten von FIRST für die Ausnutzungswahrscheinlichkeit und CVSS für die Auswirkung — jeder Eingang steht neben der Priorität, die er erzeugt hat, sodass die Reihenfolge prüfbar ist und keine magische Zahl.

Noch keine CVE-Kennungen in der Eingabe gefunden.

Jede Woche eine Patch-Warteschlange abzuarbeiten? Überwachen Sie Ihre Sites kostenlos mit myeventwatch — Ablauf- und Ausfallwarnungen, keine Karte nötig.

Wie die Rangfolge funktioniert

Jede Kennung wird in drei Quellen nachgeschlagen und erhält eine Prioritätsstufe nach der ersten Regel, die sie erfüllt. P1 ist die Aufnahme in den Katalog bekannter ausgenutzter Schwachstellen (KEV) der CISA: Das sind keine Vorhersagen — die CISA führt eine CVE nur mit Belegen für aktive Ausnutzung —, sodass ein KEV-Eintrag alles andere schlägt und die Tabelle sein Behebungs-Fälligkeitsdatum zeigt sowie, ob die CISA eine bekannte Ransomware-Nutzung markiert. P2 ist ein EPSS-Wert von 0,10 oder höher: EPSS, gepflegt von FIRST, modelliert die Wahrscheinlichkeit, dass eine CVE in den nächsten 30 Tagen ausgenutzt wird, und 0,10 ist hoch — die große Mehrheit der bewerteten CVEs liegt unter 0,01, weshalb auch die Perzentil-Spalte gezeigt wird, damit der Rohwert ehrlich bleibt. P3 ist ein CVSS-Basiswert von 7,0 oder höher (Hoch oder Kritisch) ohne Ausnutzungssignal: schwerwiegend, falls genutzt, nicht bekannt genutzt. P4 ist alles andere mit Daten. Innerhalb einer Stufe sortieren die Zeilen nach EPSS, dann nach CVSS — und jeder Spaltenkopf sortiert die Tabelle neu, weil Ihre Warteschlange berechtigt von der Standardreihenfolge abweichen darf. Was die Stufe nie tut, ist ihre Eingänge zu verstecken: Wenn Sie mit der Priorität einer Zeile nicht einverstanden sind, stehen die Zahlen, aus denen sie stammt, in derselben Zeile.

Woher die Daten kommen und wie frisch sie sind

Der KEV-Katalog und die EPSS-Werte werden täglich auf dem Server von sysosx zwischengespeichert — beide Herausgeber veröffentlichen täglich eine Sammeldatei, also lädt der Schreibtisch diese Dateien einmal am Tag herunter und Ihre Abfrage liest die lokalen Kopien. Die Kopfzeile des Ergebnisses nennt das eigene Datum jeder Quelle (das Veröffentlichungsdatum des Katalogs, das EPSS-Bewertungsdatum) und wann sie abgerufen wurde, sodass Sie immer wissen, welcher Tag Daten Ihre Liste geordnet hat. CVSS ist die Ausnahme: Weder KEV noch EPSS führen es, also kommen die Werte von der NVD — sie werden einmal abgerufen, beim ersten Nachschlagen einer CVE, und dauerhaft auf dem Server zwischengespeichert, weil sich ein veröffentlichter CVSS-Wert nicht ändert. Ein sehr frisches Einfügen kann daher einige Werte als ausstehend zeigen: Das bedeutet, der Cache hat diese Kennungen noch nicht erreicht, nicht, dass ihnen Werte fehlen — führen Sie die Liste kurz danach erneut aus, und sie füllen sich. Frische Abfragen sind pro Besucher begrenzt wie die anderen serverseitigen Prüfungen, und das Wiederholen desselben Einfügens wird aus einem kurzen Cache bedient. Unter der Haube ruft die Seite GET /api/check/cve-triage auf dem Server von sysosx mit den extrahierten Kennungen auf.

Was dieser Schreibtisch Ihnen nicht sagen kann

Drei ehrliche Grenzen. Erstens: „Nicht in den zwischengespeicherten Daten von heute“ ist eine Abwesenheit in drei Datensätzen, kein Urteil: Es ist nicht bekannt ausgenutzt, es trägt keinen EPSS-Wert, und die NVD hat keinen Eintrag — es kann trotzdem neu, umstritten oder unter einer anderen Kennung bewertet sein, und es verdient einen manuellen Blick statt eines Achselzuckens. Zweitens: Ausnutzungsdaten betreffen die CVE in der Welt, nicht Ihren Bestand: Ein P4 auf einem internetseitigen Server kann ein P1 auf einer luftgetrennten Testbox schlagen, und nur Sie wissen, was was ist — triagieren Sie die internetseitige Charge zuerst, weshalb der Schreibtisch auch 200 Kennungen auf einmal nimmt, statt so zu tun, als passe eine Rangfolge für einen ganzen Bestand. Drittens: Die KEV-Aufnahme hinkt der Ausnutzung hinterher, und EPSS ist ein Modell, kein Orakel; beides ist weit bessere Evidenz als die Schwere allein, und keines ersetzt das Lesen des Herstellerhinweises für die P1er. Die Begründung hinter der Rangfolge — und ein durchgerechnetes Beispiel — steht in CVEs nach Ausnutzung triagieren, nicht nur nach Schwere.

Verwandte Werkzeuge: der Port-Scanner dafür, welche Dienste ein Host tatsächlich exponiert (die Bestandshälfte jeder CVE-Entscheidung), der Website-Gesundheitscheck für Zertifikat, Ablauf und Einträge desselben Hosts, und der SSL-Bewerter, wenn der Befund eine TLS-Konfiguration statt einer CVE ist.

Häufige Fragen

Woher kommen die Daten, und wie frisch sind sie?

Drei öffentliche Quellen, jede im Ergebnis mit ihrem Datum beschriftet. Der Katalog bekannter ausgenutzter Schwachstellen der CISA und die täglichen EPSS-Werte von FIRST werden einmal am Tag auf den Server von sysosx heruntergeladen und dort zwischengespeichert — Ihre Abfrage liest die lokale Kopie, sie fragt CISA oder FIRST nicht live ab. Die CVSS-Werte kommen von der NVD: Das erste Nachschlagen einer CVE ruft ihn einmal ab und speichert ihn dauerhaft zwischen, weil sich ein veröffentlichter CVSS-Wert nicht ändert. Wenn ein Wert „ausstehend“ lautet, hat der Cache diese CVE noch nicht erreicht — führen Sie die Liste in einer Minute erneut aus, und er füllt sich.

Eine CVE aus meinem Scanner fehlt oder zeigt „nicht in den zwischengespeicherten Daten von heute“. Ist sie sicher?

Eine solche Schlussfolgerung ist nicht verfügbar, und die Seite wird nichts anderes vortäuschen. „Nicht gefunden“ bedeutet nur, dass die Kennung in keiner der heute zwischengespeicherten Quellen auftaucht — sie ist nicht im KEV-Katalog, sie hat keinen EPSS-Wert in der aktuellen Datei, und die NVD hat keinen CVSS-Eintrag für sie. Neue CVEs erscheinen täglich, EPSS bewertet nur CVEs, die es modelliert hat, und eine CVE kann echt und ernst und schlicht zu neu für alle drei sein. Behandeln Sie fehlende Zeilen als „von Hand triagieren“, nicht als „ignorieren“.

Warum steht ein CVSS 9,8 unter einem CVSS 7,5?

Weil die Rangfolge nach Ausnutzung erfolgt, nicht nach Auswirkung. Der 7,5er steht im KEV-Katalog: Es ist bekannt, dass Angreifer ihn nutzen, also ist er P1. Der 9,8er hat einen hohen EPSS-Wert oder gar keinen — schwerwiegend bei Ausnutzung, aber ohne Beleg, dass ihn schon jemand ausnutzt. Die Schwere sagt Ihnen, wie schlimm ein Einbruch wäre; KEV und EPSS sagen Ihnen, wie wahrscheinlich ein Versuch ist. Die Patch-Reihenfolge sollte zuerst der Wahrscheinlichkeit folgen und die Schwere als Tiebreak nutzen, was die Stufen P1–P4 abbilden. Der unten verlinkte Artikel führt die Begründung vollständig aus.

Was bedeuten die Prioritätsstufen genau?

P1: Die CVE steht im KEV-Katalog der CISA — bekannt ausgenutzt, jetzt patchen, und beachten Sie die Spalte mit dem KEV-Fälligkeitsdatum. P2: Nicht in KEV, aber ihr EPSS-Wert liegt bei 0,10 oder höher — eine modellierte Chance von 10 % oder mehr auf Ausnutzung in den nächsten 30 Tagen, sehr dünne Luft (weit unter 1 % der bewerteten CVEs). P3: Nichts davon, aber ein CVSS-Basiswert von 7,0 oder höher (Hoch oder Kritisch). P4: Sie hat Daten, erfüllt aber keine der Schwellen — planen Sie sie normal ein. Jeder Eingang hinter der Stufe steht in seiner eigenen Spalte; die Stufe ist eine Sortierreihenfolge, kein Wert, den Sie auf Glauben hinnehmen müssen.

Kann ich mehr als 200 CVEs triagieren?

Der Schreibtisch akzeptiert 200 Kennungen pro Abfrage — fügen Sie die Liste in zwei Chargen ein. Diese Obergrenze verhindert, dass eine Anfrage den Prüfer monopolisiert, und in der Praxis ist ein Scanner-Export ohnehin nützlicher, wenn er nach Bestandsgruppen geteilt ist: Triagieren Sie die internetseitige Charge zuerst, weil dieselbe CVE auf einem öffentlichen Server ein anderer Notfall ist als auf einer isolierten Arbeitsstation.