Kwetsbaarheden, CISA KEV en adviezen
Hoe Obsolens bekende kwetsbaarheden (CVE's) aan apparaten koppelt, wat de kolom CVE's en het filter Kwetsbaar tonen en hoe je CISA KEV en beveiligingsadviezen leest.
Naast de supportstatus laat Obsolens per apparaat zien welke bekende kwetsbaarheden (CVE's) er voor het model bestaan, of de firmware daardoor getroffen is en of een lek actief wordt misbruikt. Zo zie je welke apparaten nu een update nodig hebben, ook als ze nog support hebben.
Hoe een apparaat aan CVE's gekoppeld wordt
- De scan herkent merk, model en zo mogelijk de firmwareversie. Dat laatste lukt het best via SNMP.
- Bij de dagelijkse synchronisatie zoekt het platform het model op in NVD en CVE.org. Alleen een exacte overeenkomst met het model wordt automatisch gekoppeld; een bijna-gelijk model is een ander apparaat en wordt niet gegokt.
- Het platform vergelijkt de firmwareversie met de getroffen versies van elke CVE.
- De CVE's worden aangevuld met CISA KEV, CISA Vulnrichment, EPSS, het EUVD-nummer en de adviezen van het NCSC en fabrikanten.
Naar deze bronnen gaan alleen merk- en modelnamen en CVE-nummers, nooit klanten, locaties of IP-adressen. Welke bronnen er zijn, lees je in Bronnen voor kwetsbaarheden kiezen.
De kolom CVE's
In de apparatenlijst op de klantpagina staat de kolom CVE's:
- –: het model is nog niet gekoppeld. Er zijn merk en model nodig en het koppelen gebeurt bij de dagelijkse synchronisatie.
- geen: er is geen CVE die op deze firmware van toepassing is of kan zijn.
- een aantal met een score, bijvoorbeeld "4 · 9.8": het aantal CVE's dat op de firmware van toepassing is (of kan zijn) met de hoogste CVSS-score. De kleur volgt de score; een actief misbruikt lek kleurt altijd als kritiek.
Met het filter Kwetsbaar zie je alleen apparaten met zulke CVE's.
De kwetsbaarheden van een apparaat
Open een apparaat en klap Kwetsbaarheden open. De kop zegt hoeveel CVE's relevant zijn en hoeveel actief worden misbruikt. De tabel heeft deze kolommen:
| Kolom | Betekenis |
|---|---|
| CVE | Het nummer met een link naar NVD, het EUVD-nummer en de bronnen die de CVE noemen. |
| Op deze firmware | Getroffen: de versie valt zeker in een getroffen reeks. Niet getroffen: de versie valt zeker buiten alle reeksen. Mogelijk: de firmwareversie is onbekend of niet eenduidig te vergelijken. |
| CVSS | De ernst volgens de CVSS-score. |
| EPSS | De kans dat de CVE in de komende 30 dagen wordt misbruikt. |
| Misbruik | CISA KEV als het lek actief wordt misbruikt, "ransomware" als ransomware het gebruikt en de SSVC-inschatting van CISA. |
| Omschrijving | De beschrijving, het advies van CISA en adviezen die de CVE noemen. |
Standaard zie je maximaal 25 CVE's en geen niet-getroffen CVE's. Kies Toon alle … CVE's (ook niet-getroffen) voor de hele lijst.
Bij twijfel zegt Obsolens nooit "niet getroffen". Staat er veel op Mogelijk, dan kent het platform de firmwareversie niet. Zet SNMP aan op het apparaat, zie SNMP instellen voor betere herkenning.
Staan er geen CVE's, dan legt het apparaatvenster uit waarom: het model is nog niet gekoppeld, of merk en model ontbreken. Vul ze dan aan, zie Merk, model of datums ontbreken.
Actief misbruikt (CISA KEV)
CISA houdt een lijst bij van lekken die aantoonbaar actief worden misbruikt. Heeft een apparaat zo'n CVE die de firmwareversie niet uitsluit, dan:
- staat er actief misbruikt bij de status in de lijst;
- telt het mee bij Actief misbruikt op de klantpagina en het overzicht;
- komt er een melding Actief misbruikte kwetsbaarheid (Hoog).
Soms zegt CISA dat het product end-of-life is en dat je het moet loskoppelen. Dan staat er "CISA: EOL" in de lijst en een rode waarschuwing met de tekst van CISA in het apparaatvenster. Er komt dan geen oplossing meer: plan vervanging en koppel het apparaat los.
Wat je doet bij een actief misbruikt lek: installeer de nieuwste firmware van de fabrikant. Komt er geen update meer, plan dan vervanging en beperk de toegang tot het apparaat.
Beveiligingsadviezen van het NCSC en fabrikanten
Het NCSC en een aantal fabrikanten publiceren adviezen. Noemt een advies het model zelf, dan staat het in het apparaatvenster onder Beveiligingsadviezen voor dit model, met de inschatting van kans en schade.
Is het advies jonger dan 30 dagen, dan volgt een melding Beveiligingsadvies (NCSC of fabrikant). Die is Hoog bij kans of schade "hoog", bij een kritiek advies of als de fabrikant geen oplossing plant. Anders is hij Middel. Staat er "De fabrikant plant geen oplossing voor dit model", plan dan vervanging.
Firmware zonder support
Voor een aantal firmwarelijnen (zoals FortiOS, PAN-OS, Cisco IOS XE en RouterOS) weet Obsolens tot wanneer een reeks updates krijgt. Het apparaatvenster toont dan Firmware zonder support of Firmware ondersteund, met de reeks en de nieuwste versie in die reeks. Heeft de hardware nog support maar de firmware niet, dan volgt per locatie een melding van de soort Apparaat gaat uit support.