CVE ट्राइएज
एक स्कैनर आपको चार सौ CVE आईडी और एक गंभीरता स्तंभ देता है जो उनमें से अधिकांश को गंभीर कहता है। यह डेस्क सूची को इस आधार पर क्रम देता है कि वास्तव में किसका शोषण हो रहा है: ज्ञात शोषण के लिए CISA KEV कैटलॉग, शोषण संभावना के लिए FIRST EPSS स्कोर, और प्रभाव के लिए CVSS — हर इनपुट उस प्राथमिकता के बगल में छपा होता है जो उसने बनाई, ताकि क्रम की जाँच हो सके, यह कोई जादुई संख्या नहीं है।
इनपुट में अभी कोई CVE आईडी नहीं मिला।
हर हफ़्ते पैच कतार से जूझ रहे हैं? myeventwatch से अपनी साइटों की मुफ़्त निगरानी करें — समाप्ति और डाउनटाइम अलर्ट, कार्ड की ज़रूरत नहीं।
क्रम कैसे काम करता है
हर आईडी को तीन स्रोतों में देखा जाता है और उसे उस पहले नियम से प्राथमिकता बैंड मिलता है जिससे वह मेल खाता है। P1 का अर्थ है CISA ज्ञात शोषित कमज़ोरियों (KEV) कैटलॉग में होना: ये भविष्यवाणियाँ नहीं हैं — CISA किसी CVE को तभी सूचीबद्ध करता है जब सक्रिय शोषण का सबूत हो — इसलिए KEV प्रविष्टि हर चीज़ से ऊपर होती है, और तालिका उसकी सुधार नियत तारीख दिखाती है और यह भी कि CISA ज्ञात रैनसमवेयर उपयोग को फ़्लैग करता है या नहीं। P2 का अर्थ है 0.10 या उससे अधिक का EPSS स्कोर: FIRST द्वारा बनाए रखा गया EPSS इस संभावना का मॉडल बनाता है कि कोई CVE अगले 30 दिनों में शोषित होगा, और 0.10 ऊँचा है — स्कोर किए गए CVE का बड़ा बहुमत 0.01 से नीचे बैठता है, इसलिए कच्चे स्कोर को ईमानदार रखने के लिए प्रतिशतक स्तंभ भी दिखाया जाता है। P3 का अर्थ है बिना किसी शोषण संकेत के 7.0 या उससे अधिक का CVSS आधार स्कोर (उच्च या गंभीर): उपयोग होने पर गंभीर, पर उपयोग होना ज्ञात नहीं। P4 वह बाकी सब है जिसके पास डेटा है। एक बैंड के भीतर, पंक्तियाँ EPSS, फिर CVSS के अनुसार क्रमबद्ध होती हैं — और हर स्तंभ शीर्षक तालिका को फिर से क्रमबद्ध करता है, क्योंकि आपकी कतार डिफ़ॉल्ट क्रम से वैध रूप से अलग हो सकती है। बैंड जो कभी नहीं करता, वह है अपने इनपुट छिपाना: यदि आप किसी पंक्ति की प्राथमिकता से असहमत हैं, तो जिन संख्याओं से वह आई है वे उसी पंक्ति पर हैं।
डेटा कहाँ से आता है, और कितना ताज़ा है
KEV कैटलॉग और EPSS स्कोर sysosx के सर्वर पर रोज़ कैश किए जाते हैं — दोनों प्रकाशक रोज़ एक बल्क फ़ाइल जारी करते हैं, इसलिए यह डेस्क उन फ़ाइलों को रोज़ एक बार डाउनलोड करता है और आपकी खोज स्थानीय प्रतियाँ पढ़ती है। परिणाम शीर्षक में हर फ़ीड की अपनी तारीख (कैटलॉग की रिलीज़ तारीख, EPSS स्कोरिंग तारीख) और उसे कब लाया गया, यह लिखा होता है, ताकि आप हमेशा जानें कि किस दिन के डेटा ने आपकी सूची को क्रम दिया। CVSS अपवाद है: न KEV न EPSS उसे रखता है, इसलिए स्कोर NVD से आते हैं — किसी CVE को पहली बार देखे जाने पर एक बार लाए जाते हैं और सर्वर पर स्थायी रूप से कैश किए जाते हैं, क्योंकि प्रकाशित CVSS स्कोर बदलता नहीं है। इसलिए बहुत ताज़ा चिपकाना कुछ स्कोर को लंबित दिखा सकता है: इसका अर्थ है कि कैश अभी उन आईडी तक नहीं पहुँचा है, यह नहीं कि उनके पास स्कोर नहीं हैं — थोड़ी देर बाद सूची फिर चलाएँ और वे भर जाएँगे। ताज़ा खोजें अन्य सर्वर-पक्ष जाँचों की तरह प्रति आगंतुक सीमित हैं, और उसी चिपकाने को दोहराना एक छोटे कैश से परोसा जाता है। अंदर से, यह पेज निकाले गए आईडी के साथ sysosx के सर्वर पर GET /api/check/cve-triage को कॉल करता है।
यह डेस्क आपको क्या नहीं बता सकता
तीन ईमानदार सीमाएँ। पहली, “आज के कैश किए गए डेटा में नहीं” तीन डेटासेट में अनुपस्थिति है, कोई फ़ैसला नहीं: यह ज्ञात-शोषित नहीं है, इसका कोई EPSS स्कोर नहीं है, और NVD के पास कोई रिकॉर्ड नहीं है — यह फिर भी नया, विवादित, या किसी अन्य आईडी के तहत स्कोर किया गया हो सकता है, और यह कंधे उचकाने के बजाय हाथ से देखने का हकदार है। दूसरी, शोषण डेटा दुनिया में CVE के बारे में है, आपकी संपत्ति के बारे में नहीं: इंटरनेट-सामना करने वाले सर्वर पर P4, हवा से अलग किए गए टेस्ट बॉक्स पर P1 से ऊपर हो सकता है, और केवल आप जानते हैं कि कौन सा कौन सा है — इंटरनेट-सामना करने वाले बैच का ट्राइएज पहले करें, यही कारण है कि यह डेस्क एक बार में 200 आईडी लेता है, बजाय यह दिखावा करने के कि एक क्रम पूरे एस्टेट पर फ़िट बैठता है। तीसरी, KEV सूचीबद्धता शोषण से पीछे रहती है और EPSS एक मॉडल है, कोई देववाणी नहीं; दोनों गंभीरता अकेले से कहीं बेहतर सबूत हैं, और कोई भी P1 के लिए विक्रेता सलाह पढ़ने की जगह नहीं लेता। क्रम के पीछे का तर्क — और एक हल किया गया उदाहरण — CVE को सिर्फ़ गंभीरता से नहीं, शोषण के आधार पर ट्राइएज करें में है।
संबंधित टूल: पोर्ट स्कैनर यह जानने के लिए कि कोई होस्ट वास्तव में कौन सी सेवाएँ उजागर करता है (हर CVE निर्णय का संपत्ति वाला आधा हिस्सा), उसी होस्ट के प्रमाणपत्र, समाप्ति और रिकॉर्ड के लिए वेबसाइट स्वास्थ्य जाँच, और जब निष्कर्ष CVE के बजाय TLS कॉन्फ़िगरेशन हो तो SSL ग्रेडर।
अक्सर पूछे जाने वाले प्रश्न
डेटा कहाँ से आता है, और कितना ताज़ा है?
तीन सार्वजनिक स्रोत, हर एक परिणाम में अपनी तारीख के साथ लेबल किया गया। CISA ज्ञात शोषित कमज़ोरियों का कैटलॉग और FIRST EPSS दैनिक स्कोर रोज़ एक बार sysosx के सर्वर पर डाउनलोड किए जाते हैं और वहाँ कैश किए जाते हैं — आपकी खोज स्थानीय प्रति पढ़ती है, यह CISA या FIRST को लाइव नहीं पूछती। CVSS स्कोर NVD से आते हैं: किसी CVE की पहली खोज उसे एक बार लाती है और स्थायी रूप से कैश करती है, क्योंकि प्रकाशित CVSS स्कोर बदलता नहीं है। यदि कोई स्कोर “लंबित” कहता है, तो कैश अभी उस CVE तक नहीं पहुँचा है — एक मिनट में सूची फिर चलाएँ और वह भर जाएगा।
मेरे स्कैनर का कोई CVE गायब है या “आज के कैश किए गए डेटा में नहीं” दिखाता है। क्या यह सुरक्षित है?
ऐसा कोई निष्कर्ष उपलब्ध नहीं है, और यह पेज अन्यथा दिखावा नहीं करेगा। “नहीं मिला” का अर्थ केवल इतना है कि वह आईडी आज के कैश किए गए स्रोतों में से किसी में भी नहीं दिखता — यह KEV कैटलॉग में नहीं है, वर्तमान फ़ाइल में इसका कोई EPSS स्कोर नहीं है, और NVD के पास इसका कोई CVSS रिकॉर्ड नहीं है। नए CVE रोज़ आते हैं, EPSS केवल उन्हीं CVE को स्कोर करता है जिनका उसने मॉडल बनाया है, और कोई CVE असली, गंभीर और तीनों में से किसी के लिए भी बस बहुत नया हो सकता है। गायब पंक्तियों को “अनदेखा करें” नहीं, “हाथ से ट्राइएज करें” मानें।
CVSS 9.8 को CVSS 7.5 के नीचे क्यों रखा गया है?
क्योंकि क्रम प्रभाव के आधार पर नहीं, शोषण के आधार पर है। वह 7.5 KEV कैटलॉग में है: हमलावर उसका उपयोग कर रहे हैं, यह ज्ञात है, इसलिए वह P1 है। उस 9.8 का EPSS स्कोर ऊँचा है या है ही नहीं — शोषण होने पर गंभीर, पर अभी तक कोई सबूत नहीं कि कोई उसका शोषण कर रहा है। गंभीरता आपको बताती है कि उल्लंघन कितना बुरा होगा; KEV और EPSS आपको बताते हैं कि प्रयास कितना संभावित है। पैच क्रम को पहले संभावना का पालन करना चाहिए और गंभीरता को टाईब्रेक के रूप में उपयोग करना चाहिए, यही P1–P4 बैंड कोड करते हैं। नीचे लिंक किया गया लेख इस तर्क को पूरी तरह खोलता है।
प्राथमिकता बैंड का ठीक-ठीक अर्थ क्या है?
P1: वह CVE CISA KEV कैटलॉग में है — ज्ञात शोषित, अभी पैच करें, और KEV नियत तारीख स्तंभ पर ध्यान दें। P2: KEV में नहीं, पर उसका EPSS स्कोर 0.10 या उससे अधिक है — अगले 30 दिनों में शोषण की मॉडल की गई 10%+ संभावना, जो बहुत दुर्लभ हवा है (स्कोर किए गए CVE के 1% से काफ़ी कम)। P3: दोनों में से कोई नहीं, पर CVSS आधार स्कोर 7.0 या उससे अधिक (उच्च या गंभीर)। P4: उसके पास डेटा है पर वह किसी सीमा को पूरा नहीं करता — उसे सामान्य रूप से निर्धारित करें। बैंड के पीछे का हर इनपुट अपने स्तंभ में छपा होता है; बैंड एक क्रम क्रम है, कोई ऐसा स्कोर नहीं जिसे आपको विश्वास पर लेना पड़े।
क्या मैं 200 से अधिक CVE का ट्राइएज कर सकता हूँ?
यह डेस्क प्रति खोज 200 आईडी स्वीकार करता है — सूची को दो बैच में चिपकाएँ। यह सीमा एक अनुरोध को चेकर पर एकाधिकार करने से रोकती है, और व्यवहार में स्कैनर निर्यात वैसे भी संपत्ति समूह के अनुसार बाँटने पर अधिक उपयोगी होता है: इंटरनेट-सामना करने वाले बैच का ट्राइएज पहले करें, क्योंकि वही CVE सार्वजनिक सर्वर पर अलग आपात स्थिति है और अलग किए गए वर्कस्टेशन पर अलग।