Оценка срочности.Три сигнала — один приоритет.
CVSS показывает, насколько серьёзна уязвимость, но не насколько она срочна. Оценка срочности учитывает и то, что происходит в реальных атаках.
Формула
срочность = CVSS × 4 + (30, если KEV) + EPSS × 30
макс. 40 макс. 30 макс. 30
нижняя граница: не меньше 40, если есть готовый инструмент атаки (модуль Metasploit или KEV),
не меньше 60, если уязвимость ещё и эксплуатируется по сети без учётной записиCVSS
макс. 40Техническая тяжесть
Насколько серьёзна сама уязвимость? Базовая оценка CVSS умножается на 4. Уязвимость с оценкой 9,8 из 10 даёт 39 баллов.
CISA KEV
макс. 30Эксплуатация в реальных атаках
Перечень уязвимостей, активная эксплуатация которых подтверждена Агентством по кибербезопасности и защите инфраструктуры США (CISA). Каждая CVE из перечня получает 30 баллов.
EPSS
макс. 30Вероятность в ближайшее время
Оценка FIRST вероятности эксплуатации в ближайшие 30 дней. Вероятность 90 % даёт 27 баллов.
Уровни срочности
- 80–100
- Срочно
- Установите исправление сегодня или закройте доступ.
- 60–79
- На этой неделе
- Не ждите следующего окна обслуживания.
- 40–59
- В плане
- Включите в обычный цикл установки исправлений.
- 0–39
- Наблюдать
- Пока низкий приоритет; следите за изменениями.
Пример
Уязвимость гипервизора с CVSS 8,2, которая требует локального доступа, отсутствует в KEV и имеет EPSS 5 %: 33 + 0 + 2 = 35 · Наблюдать. Уязвимость сервера печати с CVSS 7,5, у которой EPSS за неделю вырос с 13 % до 42 %: 30 + 0 + 13 = 43 · В плане, и она в списке трендов. Команда, которая смотрит только на CVSS, сначала исправит первую.
Как составляется оценка Noroxi
Оценку в начале каждой страницы CVE пишет не ИИ, и при открытии страницы внешние сервисы не вызываются. Данные регулярно загружаются в нашу базу из перечисленных ниже открытых источников; при открытии страницы поля записи превращаются в предложения по фиксированным правилам. Одни и те же данные всегда дают один и тот же текст.
| Строка | Источник | Обновление |
|---|---|---|
| Приоритет и оценка срочности | Формула выше: CVSS, CISA KEV, FIRST EPSS | При изменении данных |
| Эксплуатация в атаках, вымогатели, срок | Каталог CISA KEV | Ежечасно |
| Готовый модуль атаки | Модули Metasploit и шаблоны Nuclei (только названия) | Ежедневно |
| Proof of concept (PoC) | Публичные PoC на Exploit-DB и GitHub (ссылки не даём) | Ежедневно |
| Вероятность эксплуатации и динамика | FIRST EPSS (вероятность, перцентиль, изменение за 7 дней) | Ежедневно |
| Кто и с какими правами может вызвать | Вектор CVSS (NVD или CNA) | Ежечасно |
| Автоматизируемость | Решение CISA SSVC (Vulnrichment) | Ежечасно |
| Исправленная версия | Собственная запись производителя (CNA, MSRC), иначе записи пакетов и дистрибутивов OSV | Ежечасно / ежедневно |
| Спорная оценка | Разница не менее 2 баллов между оценкой CNA и NVD | Ежечасно |
| Национальные бюллетени | Архив бюллетеней siberguvenlik.gov.tr (Турция) | Ежедневно |
Правила
- Нет данных — нет предложения; ничего не домысливается.
- Уязвимость только с proof of concept не называется "эксплуатируемой"; для этого нужна запись в CISA KEV.
- Если в записи нет исправленной версии, так и пишется; версии не угадываются.
- Проценты округляются вниз: "100%" было бы заявлением о полной уверенности.
- Оценка описывает данные записи и не знает вашей среды: эксплуатируемость у вас покажет только проверка.
Источники данных
- NVDЗаписи CVE, векторы CVSS, сопоставления CPE и CWE
- CISA KEVКаталог активно эксплуатируемых уязвимостей
- FIRST EPSSЕжедневные оценки вероятности эксплуатации
- Бюллетени производителейЗатронутые и исправленные версии
Данные из NVD, CVE Program, CISA KEV, FIRST EPSS и OSV; дата последнего обновления показана над списком CVE.
Наши принципы публикации
- Каждая запись публикуется с диапазонами затронутых версий, исправленной версией и ссылками на источники.
- Мы не публикуем работающий код эксплойтов и пошаговые инструкции по атаке.
- Мы не даём ссылок на репозитории с PoC, а лишь отмечаем, что он существует.
- Примеры кода показательные: они демонстрируют ошибочный шаблон и его исправление.