Schwachstellenpriorisierung: Mehr als nur CVSS-Werte

Warum CVSS allein scheitert

CVSS misst die inhärente Schwere einer Schwachstelle – wie schlimm es im schlimmsten Fall sein könnte. Es misst nicht, wie wahrscheinlich eine Ausnutzung ist, ob ein öffentlicher Exploit existiert, was das betroffene Asset tut oder ob kompensierende Kontrollen das Risiko reduzieren. Eine CVSS 9.8 Schwachstelle ohne öffentlichen Exploit in einem rein internen System ist weniger dringlich als eine CVSS 7.5 Schwachstelle mit einem aktiven Exploit-Kit, das auf internetorientierte Zahlungssysteme abzielt.

EPSS: Exploit Prediction Scoring System

EPSS prognostiziert die Wahrscheinlichkeit, dass eine Schwachstelle innerhalb der nächsten 30 Tage in freier Wildbahn ausgenutzt wird, basierend auf realen Ausnutzungsdaten. Ein EPSS-Score von 0,97 bedeutet eine Wahrscheinlichkeit von 97 % für eine Ausnutzung. In Kombination mit CVSS hilft EPSS, zwischen theoretischer Schwere und praktischem Risiko zu unterscheiden. CVEs mit hohem CVSS, aber niedrigem EPSS können oft herabgestuft werden. CVEs mit moderatem CVSS, aber hohem EPSS sollten beschleunigt werden.

SSVC: Stakeholder-Specific Vulnerability Categorisation

SSVC, entwickelt von CISA und Carnegie Mellon, ersetzt numerische Scores durch Entscheidungsbäume. Es bewertet den Ausnutzungsstatus (kein, PoC, aktiv), die technischen Auswirkungen (partiell, total), die Missionsprävalenz (minimal, unterstützend, essentiell) und erzeugt eine empfohlene Aktion: Track, Track*, Attend oder Act. SSVC erzeugt umsetzbarere Ergebnisse als numerische Scores.

Kontextbezogene Priorisierung

Die effektivste Priorisierung ergänzt Ihren spezifischen Geschäftskontext: Was macht das betroffene System? Welche Daten enthält es? Ist es dem Internet zugewandt oder nur intern? Sind kompensierende Kontrollen vorhanden? Wie groß ist der Gefährdungsbereich im Falle einer Kompromittierung? Diese kontextbezogene Analyse ist der Punkt, an dem die manuelle Expertenprüfung von Penetrify den größten Mehrwert bietet – Tester bewerten die Ergebnisse im Kontext Ihrer spezifischen Umgebung und erstellen Schweregrade, die das tatsächliche Geschäftsrisiko widerspiegeln und nicht nur theoretische Werte.

Ein praktischer Workflow zur Priorisierung

Schritt 1: Filtern nach EPSS > 0,1 (Schwachstellen mit signifikanter Ausnutzungswahrscheinlichkeit). Schritt 2: Rangfolge nach Asset-Kritikalität (Internetverbindung, sensible Daten, umsatzgenerierend). Schritt 3: Prüfen auf kompensierende Kontrollen, die das effektive Risiko reduzieren. Schritt 4: Anwenden des SSVC-Entscheidungsbaums für empfohlene Maßnahmen. Schritt 5: Zuweisen von Behebungsfristen basierend auf der resultierenden Priorität. Dieser Workflow reduziert Ihre 847 Ergebnisse auf die 30–50, die wirklich sofortige Aufmerksamkeit erfordern.