Disponibile gratuitamente su GitHub, CVE Prioritizer è uno strumento open source progettato per aiutare a stabilire le priorità di patch delle vulnerabilità. Integra i dati provenienti da CVSS, EPSS e dal catalogo KEV di CISA per offrire informazioni sulla probabilità di sfruttamento e sugli effetti potenziali delle vulnerabilità sui vostri sistemi.

CVE Prioritizer sfrutta la correlazione tra i punteggi CVSS ed EPSS per migliorare gli sforzi nella risoluzione delle vulnerabilità. CVSS fornisce dettagli essenziali sulle caratteristiche di una vulnerabilità, mentre EPSS fornisce informazioni basate sulle minacce basate sui dati, aiutando a stabilire in modo più efficace le priorità delle patch.

“La caratteristica principale di CVE Prioritizer sono le soglie personalizzabili per la prioritizzazione delle vulnerabilità. Questa flessibilità consente ai team di sicurezza di regolare i risultati dello strumento in base alla tolleranza al rischio dell’organizzazione. Consentendo ai team di regolare con precisione le modalità di assegnazione delle priorità, questo tool si adatta a diverse posture di sicurezza e permette ai team di sicurezza di prendere decisioni informate in base ai loro contesti specifici”, ha dichiarato a Help Net Security Mario Rojas, il creatore di CVE Prioritizer.

epss-v-cvss-5-16-thresh_sized

Rojas ha sviluppato CVE Prioritizer per affrontare le difficoltà che i team di sicurezza incontrano nel dare priorità alle patch in modo efficace. Sebbene i punteggi CVSS siano stati tradizionalmente utilizzati in questo processo, Rojas ha riconosciuto i loro limiti nel comprendere appieno l’impatto effettivo di una vulnerabilità nel mondo reale. La comparsa del catalogo delle vulnerabilità sfruttate da CISA ha segnato un progresso, evidenziando le vulnerabilità sfruttate attivamente. Ciononostante, Rojas ha ravvisato la necessità di un approccio più completo.

“Il mio obiettivo è quello di semplificare i flussi di lavoro per la gestione delle vulnerabilità, consentendo a CVE Prioritizer di analizzare i rapporti dai più diffusi scanner di vulnerabilità e di esportare i risultati in formato JSON. Questo faciliterà la perfetta integrazione con altri strumenti e piattaforme di sicurezza, rendendo CVE Prioritizer una risorsa ancora più versatile per i team di sicurezza“, ha concluso Rojas.