Utilitzar la política de priorització per destacar les vulnerabilitats prioritàries

Un actiu pot tenir una política de priorització. Aquest element es basa en els requisits de seguretat tal com es defineixen a les mètriques d’entorn de l’estàndard CVSS:

La política de priorització es defineix amb diversos criteris: la Confidencialitat, la Integritat i la Disponibilitat, així com amb un llindar CVSS (de 0 a 10), un llindar EPSS (de 0 a 100) i la presència de les vulnerabilitats en diversos catàlegs de referència (com CERT-FR ALE, CISA KEV i altres que Cyberwatch reconeix).

Cada criteri té tres valors possibles: Baixa, Mitjana o Alta.

Aquestes mètriques permeten a un analista definir requisits de seguretat en funció de la importància de l’actiu informàtic per a l’organització.

Per exemple, si un actiu informàtic està vinculat a una funció de negoci per a la qual la Disponibilitat és molt important, l’analista pot assignar el valor Alta a la Disponibilitat, mentre que la Confidencialitat i la Integritat es mantenen a Mitjana.

Les vulnerabilitats prioritàries es calculen a partir de:

  • la presència de les vulnerabilitats en almenys un catàleg
  • la puntuació EPSS de les vulnerabilitats
  • la puntuació CVSS de les vulnerabilitats
  • la decisió SSVC de les vulnerabilitats
  • la política de priorització configurada en un actiu

El tipus de puntuació CVSS que s’utilitza per prioritzar les vulnerabilitats depèn de les mètriques activades a la política de priorització. Les mètriques base (B) permeten calcular la puntuació CVSS inicial. Les mètriques d’amenaça (T) i les mètriques d’entorn (E) permeten tenir en compte, respectivament:

  • l’estat actual de les tècniques d’explotació o la disponibilitat del codi d’una vulnerabilitat
  • els requisits de cada actiu pel que fa a Disponibilitat, Integritat i Confidencialitat

Això permet triar entre quatre tipus: CVSS-B, CVSS-BE, CVSS-BT i CVSS-BTE. Aleshores, la puntuació CVSS s’adapta amb la fórmula de l’estàndard CVSS.

Si la puntuació obtinguda supera el llindar definit a la política de priorització de l’actiu, la vulnerabilitat es marca com a prioritària. La presència d’una vulnerabilitat en un dels catàlegs la marca com a prioritària.

Cada llindar només es té en compte si està configurat a la política i si la CVE té la puntuació corresponent. Per ser prioritària fora de catàleg, una CVE s’ha d’avaluar com a mínim amb un d’aquests criteris i assolir tots els llindars que li són aplicables:

flowchart TD
  CVE["CVE present a l'actiu"] --> CAT{"Present en un catàleg<br/>seleccionat per la política?"}
  CAT -- Sí --> PRIO["Prioritària"]
  CAT -- No --> EPSS{"Puntuació EPSS<br/>per sota del llindar?"}
  EPSS -- Sí --> NON["No prioritària"]
  EPSS -- "No, o criteri no aplicable" --> CVSS{"Puntuació CVSS contextualitzada<br/>per sota del llindar?"}
  CVSS -- Sí --> NON
  CVSS -- "No, o criteri no aplicable" --> SSVC{"Decisió SSVC<br/>per sota del llindar?"}
  SSVC -- Sí --> NON
  SSVC -- "No, o criteri no aplicable" --> ANY{"S'ha avaluat almenys<br/>un criteri?"}
  ANY -- Sí --> PRIO
  ANY -- No --> NON

Cyberwatch defineix tres polítiques de priorització per defecte:

  • Baixa amb:
    • la presència en almenys un catàleg
  • Mitjana amb:
    • els criteris Confidencialitat, Integritat i Disponibilitat amb el valor Mitjana
    • un llindar CVSS de 7,0
    • un llindar EPSS del 2 %

    o

    • la presència en almenys un catàleg
  • Alta amb:
    • els criteris Confidencialitat, Integritat i Disponibilitat amb el valor Alta
    • un llindar CVSS de 7,0
    • un llindar EPSS del 0,5 %

    o

    • la presència en almenys un catàleg

Límits màxims del CVSS

Per tenir més en compte l’entorn d’un actiu, es poden limitar les mètriques base del CVSS en el càlcul de la puntuació contextualitzada de les CVE.

Per exemple, si un actiu està desconnectat de qualsevol xarxa, especificar Local com a vector d’atac dels límits màxims del CVSS reduirà la puntuació de les CVE explotables des de la xarxa, ja que es considerarà que el seu vector d’atac és Local en lloc de Xarxa.

Per editar els límits màxims del CVSS, cal fer clic al botó Límit màxim dels vectors CVSS de la pàgina d’edició de les polítiques de priorització. Per defecte, es defineixen amb els valors màxims de les mètriques, de manera que no tinguin cap impacte en la puntuació contextualitzada.

Decisió SSVC

Stakeholder-Specific Vulnerability Categorization (SSVC) és un sistema de decisió per determinar la urgència amb què cal tractar una CVE. Per a més informació, consulteu la documentació oficial al lloc web del CISA: https://www.cisa.gov/stakeholder-specific-vulnerability-categorization-ssvc.

Per calcular les decisions SSVC de les CVE d’un actiu, cal omplir la secció Mètriques SSVC de la política de priorització de l’actiu. A més, les mètriques SSVC només són presents a les CVE que tracta el CISA.

Es pot afegir un criteri de priorització sobre la decisió SSVC per excloure les CVE la decisió SSVC de les quals és massa baixa. Aquest criteri no afectarà les CVE sense mètriques SSVC.

Les decisions SSVC de les CVE es poden mostrar a la pestanya Vulnerabilitats de la pàgina de detalls dels actius personalitzant les columnes de la taula. També s’inclouen a les exportacions CSV i a Kibana.

Temps de resposta a les vulnerabilitats

Es pot definir un objectiu de temps de resposta per als actius basat en la seva política de priorització. Aquest termini correspon al llindar màxim autoritzat entre la detecció i la correcció d’una vulnerabilitat. Aquest indicador permet identificar ràpidament les vulnerabilitats que no s’han corregit dins del termini establert i comparar els temps mitjans de remediació amb els objectius definits.

A les pestanyes «Vulnerabilitats» i «Gestió de pedaços», qualsevol vulnerabilitat la durada de presència de la qual supera l’objectiu rep una insígnia vermella que indica el nombre de dies de retard. Aquesta insígnia també és visible a la pàgina de detall d’una CVE, aplicada als actius afectats.

Per il·lustrar la velocitat de remediació, a la pestanya «Resum» de cada actiu es mostren dues sèries d’indicadors semicirculars. Una primera sèrie d’indicadors il·lustra el temps mitjà de remediació de les vulnerabilitats, és a dir, el termini entre la seva detecció i la seva correcció, per verificar si es compleixen els objectius fixats. Una segona sèrie destaca el temps mitjà de presència de les vulnerabilitats, que reflecteix la durada d’exposició real abans de la correcció. En totes dues sèries, els indicadors distingeixen les vulnerabilitats prioritàries de les vulnerabilitats catalogades.

Crear una política de priorització

  1. Feu clic a Paràmetres > Polítiques de priorització
  2. Feu clic al botó «Crea»
  3. Ompliu el formulari
  4. Feu clic al botó «Desa»

Editar una política de priorització

  1. Feu clic a Paràmetres > Polítiques de priorització
  2. Feu clic a la icona d’edició (les polítiques per defecte no es poden modificar)
  3. Ompliu el formulari
  4. Feu clic al botó «Desa»

Suprimir una política de priorització

  1. Feu clic a Paràmetres > Polítiques de priorització
  2. Feu clic a la icona de supressió (les polítiques per defecte no es poden suprimir)

Assignar una política de priorització a un actiu

  1. Feu clic a Inventari
  2. Marqueu la línia dels actius als quals voleu assignar la política de priorització
  3. Feu clic a «Edició en bloc»
  4. Feu clic a «Modifica la priorització» a la llista desplegable
  5. Feu clic a la política desitjada