CVE-Katalog und CVE-Alerts nutzen

Der CVE-Katalog auf dem Tab Vulnerabilities ist in jedem Paket enthalten, auch im kostenlosen Community-Paket. CVE-Alerts auf dem Tab Alerts sind in Plus und Premium enthalten, ebenso die Verknüpfungen einer CVE mit den zugehörigen Indikatoren.

Eine CVE finden

Öffnen Sie das Threat Intelligence Portal und wählen Sie im Menü Vulnerabilities.
Geben Sie auf dem Tab Vulnerabilities eine CVE-ID oder Wörter aus der Beschreibung in Search ein, oder einen Hersteller oder ein Produkt wie fortinet in Vendor / product.
Grenzen Sie die Liste mit den übrigen Filtern ein: Severity (CVSS), EPSS at least, Exploited in the wild, Public exploit sowie die Datumsfelder Published from und Published to.
Sortieren Sie die Ergebnisse mit Sort, zum Beispiel nach Highest CVSS, Highest EPSS oder Newest in KEV.

Unter Show wählen Sie zwischen All CVEs und Only CVEs with linked IOCs. Die zweite Option zeigt nur CVEs, die Q-Feeds im Zusammenhang mit schädlichen Indikatoren gesehen hat.

Die Werte lesen

Jede CVE trägt mehrere Signale. Sie beantworten unterschiedliche Fragen, lesen Sie sie deshalb zusammen.

CVSS ist der Schweregrad von 0 bis 10, den die NVD vergibt. Er sagt, wie schwer eine Lücke wiegen kann, wenn sie jemand ausnutzt, nicht wie wahrscheinlich das ist.
EPSS-Score ist die von FIRST berechnete Wahrscheinlichkeit, dass eine CVE in den nächsten 30 Tagen ausgenutzt wird. Ein Wert von 0,40 bedeutet 40 % Wahrscheinlichkeit. Das Portal zeigt außerdem, wie der Wert im Vergleich zu allen anderen bewerteten CVEs liegt.
CISA KEV ist der Katalog der Known Exploited Vulnerabilities der US-Behörde Cybersecurity and Infrastructure Security Agency. Eine CVE auf dieser Liste wurde bereits aktiv ausgenutzt. Der Eintrag zeigt, wann sie aufgenommen wurde, ob Ransomware-Gruppen sie bekanntermaßen nutzen, die geforderte Maßnahme und die Frist für US-Bundesbehörden.
SSVC ist die Entscheidung, die CISA für einen Teil der CVEs veröffentlicht, unter anderem ob eine aktive Ausnutzung vorliegt.
Public exploit bedeutet, dass ein Exploit-DB-Eintrag, ein Metasploit-Modul oder ein Nuclei-Template auf die CVE verweist. Das Portal zeigt nur Kennungen und Links, niemals Exploit-Code.
Linked IOCs zählt die Indikatoren in den Q-Feeds-Daten, die mit der CVE verknüpft sind.

Was patchen Sie zuerst? Beginnen Sie mit den CVEs auf CISA KEV, denn die nutzen Angreifer bereits. Danach kommen CVEs mit hohem EPSS-Score. Den Rest ordnen Sie nach CVSS.

Eine CVE-Seite öffnen

Klicken Sie auf eine CVE-ID, um ihre Seite zu öffnen. Sie hat einen Abschnitt pro Quelle: den NVD-Eintrag mit CVSS-Wert, CWE und betroffenen Produkten, die SSVC-Entscheidung von CISA, FIRST EPSS, den CISA-KEV-Eintrag und etwaige öffentliche Exploits. Mit Plus oder Premium zeigt die Seite zusätzlich die zuletzt gesehenen verknüpften IOCs, und View all öffnet sie in Browse IOCs.

Geben Sie eine CVE-ID wie CVE-2024-3400 in Threat Lookup ein, um direkt zu ihrer CVE-Seite zu gelangen. Das zählt nicht als Abfrage.
In Browse IOCs zeigt ein Label KEV, Exploited oder EPSS in einer Zeile, dass der Indikator mit einer CVE verknüpft ist. Aktivieren Sie Linked to a known exploited vulnerability (KEV) oder Exploited in the wild (KEV or CISA SSVC), um nur diese Indikatoren anzuzeigen.
Die Detailseite eines Indikators hat eine Karte Vulnerabilities mit den verknüpften CVEs, und der PDF-Export enthält dieselbe Tabelle.

CVE-Alerts einrichten

Öffnen Sie auf der Seite Vulnerabilities den Tab Alerts.
Geben Sie unter Your software einen Hersteller oder ein Produkt in Add a product ein, zum Beispiel fortios oder confluence. Bei jedem Treffer sehen Sie, wie viele CVEs er hat.
Haken Sie die Produkte ab, die Sie einsetzen, oder wählen Sie Select all, und klicken Sie auf Add selected. Sie werden in einem Schritt hinzugefügt.
Um alles von einem Hersteller zu verfolgen, wählen Sie Watch everything matching oben in den Ergebnissen. Das legt einen Eintrag an, der jeden Produktnamen mit diesem Wort trifft, auch Namen, die später hinzukommen.
Wählen Sie unter When to alert den Mindestwert bei New CVEs with a CVSS score of at least: Any score, 4.0 (medium and up), 7.0 (high and up), 9.0 (critical only) oder Custom.
Aktivieren Sie Also alert on new CVEs that have no CVSS score yet, wenn Sie CVEs schon sehen möchten, bevor die NVD sie bewertet.
Lassen Sie Alert when one of these CVEs is added to CISA KEV eingeschaltet. Dann erfahren Sie auch von einer älteren oder niedriger bewerteten CVE für Ihre Software, sobald sie aktiv ausgenutzt wird.
Wählen Sie unter Digest Daily oder Weekly sowie Tag, Uhrzeit und Ihre Zeitzone.
Haken Sie unter Send to die Kollegen ab, die die Übersicht erhalten sollen, und klicken Sie auf Save settings.

Die Zuordnung erfolgt über Hersteller- und Produktnamen, so wie NVD und CISA sie schreiben, nicht über Versionen. Gleichen Sie Ihre installierte Version mit dem Advisory ab, bevor Sie handeln. Ein Produkt kann unter mehreren Namen vorkommen, zum Beispiel Fortinet FortiOS und FortiOS. Fügen Sie dann beide hinzu oder nutzen Sie ein Stichwort. Die Liste fasst bis zu 100 Einträge.

Um Software zu entfernen, haken Sie sie in der Liste ab, oder das Kästchen in der Kopfzeile für alle, und klicken Sie auf Remove. Der Schalter Alerts on pausiert die Übersicht, Ihre Liste bleibt erhalten. Alle Nutzer Ihres Unternehmens können Liste und Einstellungen ändern.

Was die Übersicht enthält

Bis zu 50 CVEs pro E-Mail. CVEs, die gerade in CISA KEV aufgenommen wurden, stehen oben, der Rest folgt nach CVSS-Wert, und eine letzte Zeile zählt die CVEs, die nicht mehr hineinpassten.
Zu jeder CVE: CVSS- und EPSS-Wert, die Software auf Ihrer Liste, die getroffen wurde, der Grund für die Aufnahme (New oder Added to KEV) und die Beschreibung.
Jede CVE wird einmal verschickt. Sie kommt nur wieder, wenn CISA sie später in KEV aufnimmt.
Gibt es keine neuen Treffer, wird keine E-Mail verschickt.
Die erste Übersicht, nachdem Sie Software hinzugefügt haben, umfasst die CVEs der letzten 30 Tage. So sehen Sie aktuelle Probleme sofort.

Klicken Sie unter Preview auf Show what would be sent now, um die nächste Übersicht zu sehen, ohne sie zu verschicken. Die Vorschau zeigt auch, wie viele CVEs Ihr CVSS-Mindestwert, die Einstellung für unbewertete CVEs oder eine frühere Übersicht zurückgehalten haben. Speichern Sie geänderte Einstellungen vorher.

Woher die Daten stammen

CVE-Einträge stammen vom CVE Program und aus der NVD. EPSS-Werte kommen von FIRST, Ausnutzungsstatus und SSVC-Entscheidungen von CISA, Verweise auf öffentliche Exploits von Exploit-DB, Metasploit und Nuclei. Neue CVEs kommen einmal am Tag in den Katalog.

This product uses the NVD API but is not endorsed or certified by the NVD.

Wie geht es weiter

Sie möchten CVE-Alerts für Ihre eigene Software? Sehen Sie, was sie leisten und in welchen Paketen sie enthalten sind.

Mehr über CVE-Alerts