EPSS Shows Strong Performance in Predicting Exploits, Says Study from Cyentia and FIRST

Tenable hat eine Studie von Cyentia und FIRST gesponsert, die zu dem Ergebnis kommt, dass die Ausnutzung von Schwachstellen zwar sehr unterschiedlich ist, EPSS aber immer besser in seiner Fähigkeit wird, eine Ausnutzung vorherzusagen.

Die Zahl der jährlich veröffentlichten CVEs steigt stetig an, sodass es immer entscheidender wird, vorherzusagen, welche davon die Aufmerksamkeit der Schwachstellen-Management-Teams erfordern. Eine neue Studie vom Cyentia Institute und dem Forum of Incident Response and Security Teams (FIRST) kommt zu dem Ergebnis, dass das Exploit Prediction Scoring System (EPSS) einen nützlichen Beitrag liefert, damit Teams fundiertere Entscheidungen über die Priorisierung von Schwachstellen treffen können.

The extensive research set out to explore the timing, prevalence, and volume of exploitation activity, and also collect and analyze feedback on the performance of EPSS. The result of this effort is the inaugural report, A Visual Exploration of Exploitation in the Wild. The report provides data points and analysis that will benefit the large and growing community of enterprise users and security products that leverage EPSS. In this two-part blog series, we’ll explore some of the key findings and insights from the research. Part one will answer the following questions:

• Wie hoch ist der Anteil der Schwachstellen, die ausgenutzt wurden?
• Was ist das typische Muster bei Ausnutzungsaktivitäten?
• Wie weit verbreitet ist Ausnutzung in Unternehmen?
• How does EPSS perform in its ability to predict exploitations? 

Wie hoch ist der Anteil der Schwachstellen, die ausgenutzt wurden?

Believe it or not, we’re nearing a quarter million published CVEs. And this number has grown at a rate of 16% over the last seven years. No one has the time or resources to address all of these vulnerabilities, which makes identifying and prioritizing the ones that matter most so important. One critical step in prioritization efforts is to track and predict how many vulnerabilities are exploited. 

In Figure 1, you can see the cumulation of 13,807 CVEs with exploitation activity over time on the left plot, which tells you that the number of known-exploited vulnerabilities is steadily approaching 15,000. On the right plot, you can see the count as a percentage of published CVEs over time, which tells you that about 6% of all published CVEs have been exploited, and that rate is holding steady. 

Figure 1: Vulnerabilities with Exploitation Activity 

Was ist das typische Muster bei Ausnutzungsaktivitäten?

Werfen wir jetzt einen Blick auf das typische Muster der Ausbeutungsaktivitäten ... und siehe da, es gibt gar keins! 

Abbildung 2 zeigt die Ausnutzungsaktivitäten von fünf verschiedenen CVEs im Jahr 2023. Jede von diesen Schwachstellen hat ihre eigenen Ausnutzungsaktivitäten:

• The top CVE experienced exploitation that was short-lived and very sparse
• The second CVE experienced fairly regular weekday activity 
• The third CVE experienced daily to weekly exploit attempts, with a spike in mid-December 
• The fourth CVE showed sustained daily exploitation that was particularly high in Q1-Q2 
• And the final CVE experienced an extremely high, consistent rate of exploitation activity 

Was also bedeutet das alles? Nun, Ausnutzung findet in unterschiedlicher Intensität und Dauer statt. Es ist ratsam, „ausgenutzt“ nicht als binäre Variable zu behandeln, sondern stattdessen weitere Variablen wie die Intensität und die Dauer zu untersuchen, um eine Priorisierung vorzunehmen.

Abbildung 2: Ungleichheit der beobachteten Ausnutzungsaktivität 

Wie weit verbreitet ist Ausnutzung in Unternehmen?

Apropos „ausgenutzt“ nicht als binäre Variable behandeln: Schauen wir uns einmal die Häufigkeit der Ausnutzung in einer großen Grundgesamtheit von über 100.000 Unternehmen auf der ganzen Welt an. Eine erstaunliche Beobachtung ist, dass nicht viele Unternehmen Exploit-Versuche verzeichnen, die auf eine bestimmte Schwachstelle abzielen. Exploits, von denen mehr als 1 von 10 Unternehmen betroffen ist, sind selten (es sind weniger als 5 %!).. Wenn Schwachstellen als „in freier Wildbahn“ ausgenutzt gemeldet werden, geht man im Allgemeinen davon aus, dass sie überall ausgenutzt werden. Dies ist jedoch nicht der Fall und zeigt, dass wir nicht alle Meldungen einer Ausnutzung gleich behandeln sollten.

Abbildung 3:Die Verbreitung von Ausnutzungsaktivitäten 

Wie gut ist EPSS in der Lage, die Ausnutzung von Schwachstellen vorherzusagen?

According to FIRST, EPSS is a “data-driven effort for estimating the likelihood (probability) that a software vulnerability will be exploited in the wild.” EPSS takes a daily estimate over the next 30 days of all known CVEs and provides a probability score ranging from 0 to 1 (or 0 to 100%), indicating the likelihood of exploitation. 

As noted in Figure 4, each version of EPSS has shown stronger performance in its ability to predict exploitation. Three metrics measure performance: 

1. Abdeckung: Misst die Vollständigkeit bei der Priorisierung der Exploit-Aktivitäten (% aller bekannten ausgenutzten Schwachstellen, die korrekt priorisiert wurden) 
2. Effizienz: Misst die Genauigkeit der Priorisierung (% der Schwachstellen, die zur Behebung priorisiert wurden und tatsächlich ausgenutzt wurden) 
3. Aufwand: Misst die Gesamt-Arbeitsbelastung, die durch die Priorisierungsstrategie entstanden ist (% der priorisierten Schwachstellen im Verhältnis zu allen Schwachstellen)

Based on Figure 4, you can see that remediating vulnerabilities with an EPSS score of 0.6+ achieves coverage of ~60% with 80% efficiency, whereas remediating vulnerabilities with an EPSS score of 0.1+ changes to 80% coverage and 50% efficiency. Each organization will vary in its risk tolerance, which impacts prioritization strategies. Understanding coverage, efficiency, and effort metrics can help organizations make more informed decisions on the specific strategies they use for their vulnerability management programs. 

Figure 4: The Performance of the Exploit Prediction Scoring System (EPSS)

Diese Forschungsarbeit ist echt cool. Und nun?

For more insights, download the full report. Leverage EPSS Support in Nessus 10.8.0 with a free trial or purchase a license. Stay tuned for part two of this blog series!