Definition: EPSS | Exploit Prediction Scoring System | EPSS-Score Was ist EPSS und was ist der EPSS-Score?

Das Exploit Prediction Scoring System ist eine Metrik und Kennzahl aus dem Bereich der IT-Sicherheit. Sie ermöglicht Sicherheitsteams einen effektiven, zielgerichteten Einsatz ihrer Ressourcen beim Schließen von Si­cher­heits­lü­cken. Es handelt sich um ein datengestütztes Modell, das vorhersagt, wie hoch die Wahrscheinlichkeit ist, dass eine Si­cher­heits­lü­cke tatsächlich von Cyberkriminellen ausgenutzt wird.

EPSS ist das Akronym für Exploit Prediction Scoring System. Das Exploit Prediction Scoring System wurde vom Forum of Incident Response and Security Teams (FIRST) entwickelt und wird von diesem federführend betreut. Gestartet ist es im Jahr 2019 als ein offenes Community-Projekt. FIRST ist ein Partner der Internationalen Fernmeldeunion (ITU) und betreut unter anderem auch das Common Vulnerability Scoring System (CVSS), mit dem sich die Aus­wir­kungen von Si­cher­heits­lü­cken beschreiben lassen. Das Exploit Prediction Scoring System ist als eine Ergänzung zu anderen Metriken und Kennzahlen wie dem Common Vulnerability Scoring System (CVSS) zu sehen. Es legt den Fokus nicht auf den theoretischen Schweregrad von Si­cher­heits­lü­cken oder Schwachstellen, sondern auf deren reale Ausnutzungswahrscheinlichkeit.

Beim EPSS handelt es sich um ein datengestütztes Modell, das berechnet, wie hoch die Wahrscheinlichkeit ist, dass eine Si­cher­heits­lü­cke in den nächsten 30 Tagen tatsächlich aktiv von Cyberkriminellen ausgenutzt wird. Der EPSS-Score bewegt sich zwischen 0 und 1 beziehungsweise zwischen 0 und 100 Prozent. Je höher der Score ist, desto höher ist die Wahrscheinlichkeit der Ausnutzung einer spezifischen Si­cher­heits­lü­cke oder Schwachstelle. Der Score für die jeweiligen Si­cher­heits­lü­cken oder Schwachstellen wird täglich aktualisiert und nutzt zur Berechnung Verfahren des maschinellen Lernens. Die Benennung der Si­cher­heits­lü­cken oder Schwachstellen stützt sich auf die eindeutigen CVE-Kennungen (Common Vulnerabilities and Exposures). Der EPSS-Score soll den Sicherheitsteams in Unternehmen dabei helfen, ihre Ressourcen zielgerichtet und effektiv für das Schließen von Si­cher­heits­lü­cken oder Schwachstellen mit hohem Ausnutzungsrisiko einzusetzen. Sicherheitsteams können mit dem EPSS ihre Ressourcen so priorisieren, dass die Schwachstellen oder Si­cher­heits­lü­cken behoben werden, auf die Angriffe tatsächlich zu erwarten sind. Das Exploit Prediction Scoring System ergänzt andere Metriken oder Kennzahlen wie das Common Vulnerability Scoring System (CVSS). Es wird üblicherweise in Kombination mit dem CVSS zum Beispiel von Threat-Intelligence-Analysten, Incident-Response-Teams, SOC-Teams (Security Operations Center), Schwachstellenmanagern, Vulnerability-Management-Teams, Patch- und IT-Betriebsteams, CISOs (Chief Information Security Officer) oder DevSecOps-Teams und anderen Sicherheitsverantwortlichen verwendet.

Schwachstellenbewertung

Was Sie unbedingt über CVSS wissen sollten!

Zu welchem Zweck wurde das Exploit Prediction Scoring System entwickelt und eingeführt und was sind die konkreten Vorteile?

Das Exploit Prediction Scoring System wurde als Werkzeug und Metrik entwickelt, um Sicherheitsteams dabei zu helfen, ihre Ressourcen besser priorisieren zu können, um sie gezielter und effektiver für den Kampf gegen die Ausnutzung von Si­cher­heits­lü­cken oder Schwachstellen (CVEs) einzusetzen. Das ist wichtig, da die Zahl der bekannten und veröffentlichten CVEs kontinuierlich zunimmt. Sie liegt mittlerweile bei mehreren Hunderttausend und täglich kommen neue hinzu. Kaum ein Sicherheitsteam hat die Ressourcen, sich mit allen bekannten oder neuen CVEs näher zu befassen. Daher ist es für die Sicherheitsverantwortlichen entscheidend, herauszufinden, welche Schwachstellen oder Si­cher­heits­lü­cken für ein Unternehmen tatsächlich gefährlich sind und welche vernachlässigt werden können. Sich dabei nur auf die theoretische Schwere einer Si­cher­heits­lü­cke oder einer Schwachstelle zu verlassen, ist wenig zielführend. Entscheidend ist neben der Schwere einer Schwachstelle vor allem die Wahrscheinlichkeit, dass diese auch tatsächlich in naher Zukunft von Angreifern oder Cyberkriminellen aktiv ausgenutzt wird. Genau diese Wahrscheinlichkeit versucht das Exploit Prediction Scoring System datengestützt vorherzusagen. Das erlaubt es den IT-Security-Verantwortlichen, fundierte Entscheidungen darüber zu treffen, welche CVEs zuerst angegangen werden sollen. Der EPSS-Score lenkt die Aufmerksamkeit auf die Si­cher­heits­lü­cken und Schwachstellen, die aktuell das größte Risiko für die Organisation darstellen.

Konkret lassen sich folgende Vorteile durch die Nutzung des EPSS-Scores nennen:

• frühzeitige Identifizierung von Schwachstellen oder Si­cher­heits­lü­cken mit hohem Risiko

• effektiver und gezielter Einsatz der Ressourcen

• Fokussierung auf Schwachstellen mit tatsächlichem Bedrohungsrisiko

• Vermeidung von Ressourcenverschwendung für das Beheben von Schwachstellen oder Si­cher­heits­lü­cken mit geringem Angriffsrisiko

• Vermeidung von "Alarm- oder Patchmüdigkeit"

• effektives Sicherheitsmanagement auf Basis tagesaktueller Werte und realer Bedrohungsszenarien

• Reduzierung des Risikos erfolgreicher Angriffe

• Verbesserung der allgemeinen Sicherheit des IT-Gesamtsystems

Priorisierung von Schwachstellen

Sicherheitslücken nur mit CVSS bewerten reicht nicht!

Wie funktioniert das Exploit Prediction Scoring System und wie wird der EPSS-Score berechnet?

Dem Exploit Prediction Scoring System liegt ein datengestütztes Modell zugrunde. Es greift auf eine Vielzahl verschiedener Daten zurück und verwendet maschinelles Lernen und statistische Methoden, um die Angriffswahrscheinlichkeit für eine bestimmte Schwachstelle oder Si­cher­heits­lü­cke möglichst genau vorherzusagen. Neben der CVE-Datenbank für die Kennungen der Schwachstellen und Si­cher­heits­lü­cken stützt sich EPSS sowohl auf in realen Umgebungen beobachtete Aktivitäten als auch auf historische Daten über bekannte Exploits. Zu den Datenquellen, die zur Berechnung des EPSS-Scores herangezogen werden, zählen zum Beispiel Hersteller- und Lieferanteninformationen, Forschungsveröffentlichungen oder Informationen aus dem Hacker-Umfeld. Das Modell berücksichtigt Faktoren wie die Popularität der betroffenen Software, die Verfügbarkeit von Exploits, die technische Komplexität der Schwachstelle sowie Informationen über aktive Angriffsaktivitäten.

Das maschinelle Lernmodell mit weit über 1000 Variablen wird ständig mit neuen Daten trainiert, kontinuierlich aktualisiert und ermittelt täglich neue EPSS-Scores. Die Werte liegen zwischen 0 (0 Prozent Angriffswahrscheinlichkeit in den nächsten 30 Tagen) und 1 (100 Prozent Angriffswahrscheinlichkeit in den nächsten 30 Tagen).

Neben den aktuellen Echtzeit-Scores sind über das Exploit Prediction Scoring System historische Daten verfügbar, mit denen sich Trends zur Entwicklung der Angriffs­wahr­schein­lich­kei­ten und Bedrohungsszenarien darstellen lassen. Die aktuellen und historischen Daten des EPSS sind über die Webseite https://www.first.org/epss/data_stats für jedermann frei verfügbar.

Definition Common Vulnerability Scoring System | CVSS

Was ist CVSS?

Zusammenspiel des EPSS-Score mit anderen Kennzahlen wie dem Common Vulnerability Scoring System (CVSS)

Das Exploit Prediction Scoring System fokussiert sich auf tatsächliche An­griffs­wahr­schein­lich­kei­ten und kommt im Zusammenspiel mit anderen Kennzahlen und Metriken wie dem Common Vulnerability Scoring System (CVSS) zum Einsatz. Das Common Vulnerability Scoring System existiert schon wesentlich länger als das EPSS. Es bestimmt den Schweregrad einer konkreten Schwachstelle, sagt aber wenig über die reale Bedrohung aus. CVSS basiert auf technischen Kriterien wie Zugänglichkeit einer Schwachstelle, erforderlichen Benutzerrechten für einen Angriff und potenziellen Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit eines Systems und seiner Daten. Es handelt sich dabei um eine eher statische und theoretische Bewertung, ohne dass reale Ausnutzungswahrscheinlichkeiten berücksichtigt werden.

So kann es beispielsweise sein, dass eine Si­cher­heits­lü­cke oder eine Schwachstelle einen hohen CVSS-Score und gleichzeitig einen niedrigen EPSS-Score hat. Das bedeutet, dass ein bestimmter CVE zwar einen hohen potenziellen Schaden anrichten könnte, die Wahrscheinlichkeit, dass Angreifer die Schwachstelle aber tatsächlich ausnutzen, sehr gering ist. Erst durch die Kombination beider Kennzahlen können Sicherheitsteams intelligente, risikoinformierte Entscheidungen treffen, wie die vorhandenen Ressourcen zum Schließen von Si­cher­heits­lü­cken oder Schwachstellen am besten eingesetzt werden sollten, um die wirklich wichtigen und tatsächlich risikobehafteten Probleme zu beheben. Der EPSS-Score ergänzt quasi die Bewertungsperspektive eines CVE um eine datenbasierte Einschätzung des tatsächlichen Bedrohungsrisikos. So entsteht durch das Zusammenspiel von CVSS und EPSS eine ganzheitliche Sicht auf eine Schwachstelle oder Si­cher­heits­lü­cke.

Eine weitere Metrik, die zur Bewertung von Schwachstellen oder Si­cher­heits­lü­cken zusammen mit CVSS und EPSS zum Einsatz kommen kann, ist beispielsweise die Stakeholder-Specific Vulnerability Categorization (SSVC). Sie fokussiert sich auf die spezifischen Auswirkungen einer Schwachstelle auf die verschiedenen Interessengruppen (Stakeholder).

(ID:50539616)