Vulnerability intelligence en CVE alerts

Een CVE zoeken

1. Open de Threat Intelligence Portal en ga in het menu naar Vulnerabilities.
2. Typ op het tabblad Vulnerabilities een CVE-id of woorden uit de beschrijving in Search, of een leverancier of product zoals fortinet in Vendor / product.
3. Verfijn de lijst met de andere filters: Severity (CVSS), EPSS at least, Exploited in the wild, Public exploit en de datums Published from en Published to.
4. Sorteer de resultaten met Sort, bijvoorbeeld op Highest CVSS, Highest EPSS of Newest in KEV.

Bij Show kiest u tussen All CVEs en Only CVEs with linked IOCs. Met de tweede optie houdt u de CVE's over die Q-Feeds in verband heeft gezien met kwaadaardige indicatoren.

De scores lezen

Elke CVE heeft meerdere signalen. Ze beantwoorden verschillende vragen, dus lees ze samen.

• CVSS is de ernstscore van 0 tot 10 die NVD toekent. Die zegt hoe erg een lek kan zijn als iemand het misbruikt, niet hoe waarschijnlijk dat is.
• EPSS-score is de kans, berekend door FIRST, dat een CVE in de komende 30 dagen wordt misbruikt. Een score van 0,40 betekent 40% kans. De portal laat ook zien hoe de score zich verhoudt tot alle andere CVE's met een score.
• CISA KEV is de Known Exploited Vulnerabilities-catalogus van de Amerikaanse Cybersecurity and Infrastructure Security Agency. Een CVE op die lijst is in het wild misbruikt. De vermelding toont wanneer hij is toegevoegd, of ransomwaregroepen hem gebruiken, de vereiste actie en de deadline voor Amerikaanse overheidsinstanties.
• SSVC is het besluit dat CISA voor een deel van de CVE's publiceert, onder meer of er actief misbruik is.
• Public exploit betekent dat een Exploit-DB-vermelding, een Metasploit-module of een Nuclei-template naar de CVE verwijst. De portal toont alleen id's en links, nooit exploitcode.
• Linked IOCs telt de indicatoren in de Q-Feeds-data die aan de CVE gekoppeld zijn.

Wilt u bepalen wat u eerst patcht? Begin met de CVE's op CISA KEV, want die gebruiken aanvallers al. Pak daarna de CVE's met een hoge EPSS-score. Gebruik CVSS om de rest te ordenen.

Een CVE-pagina openen

Klik op een CVE-id om de pagina te openen. Daarop staat per bron een onderdeel: het NVD-record met de CVSS-score, CWE en getroffen producten, het SSVC-besluit van CISA, FIRST EPSS, de CISA KEV-vermelding en eventuele publieke exploits. Met Plus of Premium toont de pagina ook de laatst geziene gekoppelde IOC's, en View all opent ze in Browse IOCs.

• Typ een CVE-id zoals CVE-2024-3400 in Threat Lookup om direct naar de CVE-pagina te gaan. Dat telt niet als lookup.
• In Browse IOCs ziet u aan een label KEV, Exploited of EPSS op een regel dat de indicator aan een CVE gekoppeld is. Zet Linked to a known exploited vulnerability (KEV) of Exploited in the wild (KEV or CISA SSVC) aan om alleen die indicatoren te tonen.
• De detailpagina van een indicator heeft een kaart Vulnerabilities met de gekoppelde CVE's, en de PDF-export bevat dezelfde tabel.

CVE alerts instellen

1. Open op de pagina Vulnerabilities het tabblad Alerts.
2. Typ onder Your software een leverancier of product in Add a product, bijvoorbeeld fortios of confluence. Bij elk resultaat ziet u hoeveel CVE's het heeft.
3. Vink de producten aan die u gebruikt, of vink Select all aan, en klik op Add selected. Ze worden in één keer toegevoegd.
4. Wilt u alles van één leverancier volgen? Kies dan Watch everything matching bovenaan de resultaten. Dat voegt één regel toe die elke productnaam met dat woord matcht, ook namen die er later bij komen.
5. Kies onder When to alert de minimale score bij New CVEs with a CVSS score of at least: Any score, 4.0 (medium and up), 7.0 (high and up), 9.0 (critical only) of Custom.
6. Vink Also alert on new CVEs that have no CVSS score yet aan als u CVE's al wilt zien voordat NVD ze een score geeft.
7. Laat Alert when one of these CVEs is added to CISA KEV aan staan. Dan hoort u ook van een oudere CVE of een CVE met een lagere score voor uw software zodra die in het wild wordt misbruikt.
8. Kies onder Digest voor Daily of Weekly, en stel de dag, het uur en uw tijdzone in.
9. Vink onder Send to de collega's aan die het overzicht moeten krijgen en klik op Save settings.

Software verwijdert u door die in de lijst aan te vinken, of het vakje in de kop voor alles, en op Remove te klikken. Met de schakelaar Alerts on zet u het overzicht op pauze en blijft uw lijst bewaard. Iedereen in uw organisatie kan de lijst en de instellingen aanpassen.

Wat er in het overzicht staat

• Maximaal 50 CVE's per e-mail. CVE's die net aan CISA KEV zijn toegevoegd staan bovenaan, de rest volgt op CVSS-score, en een laatste regel telt de CVE's die er niet meer bij pasten.
• Per CVE: de CVSS- en EPSS-score, de software op uw lijst die matchte, waarom de CVE erin staat (New of Added to KEV) en de beschrijving.
• Elke CVE wordt één keer verstuurd. Hij komt alleen terug als CISA hem later aan KEV toevoegt.
• Als er niets nieuws matcht, wordt er geen e-mail verstuurd.
• Het eerste overzicht nadat u software toevoegt, bevat de CVE's van de afgelopen 30 dagen, zodat u recente problemen meteen ziet.

Klik onder Preview op Show what would be sent now om het volgende overzicht te zien zonder het te versturen. Het voorbeeld laat ook zien hoeveel CVE's zijn tegengehouden door uw CVSS-drempel, de instelling voor CVE's zonder score of een eerder overzicht. Sla eerst uw instellingen op als u iets hebt gewijzigd.

Waar de gegevens vandaan komen

CVE-records komen van het CVE Program en NVD. EPSS-scores komen van FIRST, de misbruikstatus en SSVC-besluiten van CISA, en verwijzingen naar publieke exploits van Exploit-DB, Metasploit en Nuclei. Nieuwe CVE's komen één keer per dag in de catalogus.

This product uses the NVD API but is not endorsed or certified by the NVD.

Wat nu

Wilt u CVE alerts voor uw eigen software? Bekijk wat ze bieden en in welke pakketten ze zitten.

Over CVE alerts