CISA, voluit de Cybersecurity and Infrastructure Security Agency, is het Amerikaanse overheidsagentschap dat verantwoordelijk is voor de digitale veiligheid van kritieke infrastructuur in de Verenigde Staten. Een van de bekendste producten van dat agentschap is de Known Exploited Vulnerabilities-catalogus, kortweg KEV, een lijst die inmiddels ook ver buiten de VS wordt geraadpleegd.
CISA begon de catalogus eind 2021, als uitwerking van een bindende opdracht aan Amerikaanse federale instanties om kwetsbaarheden met aantoonbaar misbruik voorrang te geven boven de rest van de patchstapel. Inmiddels telt de lijst duizenden vermeldingen en komen er bijna wekelijks nieuwe bij, los van die Amerikaanse overheidscontext.
Een lijst van bevestigd misbruik, geen theoretisch risico
Het verschil met een gewone CVE-database als de NVD is wezenlijk. De NVD registreert vrijwel elke kwetsbaarheid die wordt gemeld, duizenden per jaar, ongeacht of hij ooit daadwerkelijk wordt aangevallen. De KEV-catalogus doet het tegenovergestelde. Een kwetsbaarheid komt er pas op zodra CISA heeft vastgesteld dat hij al actief wordt misbruikt bij echte aanvallen. Dat maakt de lijst veel kleiner, maar ook veel directer bruikbaar. Staat een kwetsbaarheid in de KEV, dan is de vraag niet meer of hij gevaarlijk kán zijn. Hij is het al.
Waarom opname een concreet signaal is om voorrang te geven
Voor Amerikaanse federale overheidsinstanties geldt een wettelijke verplichting: kwetsbaarheden in de catalogus moeten binnen de vermelde deadline zijn gepatcht, doorgaans twee tot drie weken. Die verplichting geldt niet voor Nederlandse bedrijven. Wat wel overal geldt, is het signaal erachter. Een kwetsbaarheid belandt niet op deze lijst omdat hij er op papier ernstig uitziet, maar omdat er bewijs is van actief misbruik. Dat maakt de KEV-catalogus een van de weinige bronnen waar “staat erop” vrijwel synoniem is met “nu patchen”, los van de CVSS-score die erbij hoort.
Veel vermeldingen betreffen apparatuur die rechtstreeks vanaf het internet bereikbaar is: VPN-gateways, firewalls, e-mailservers en beheerinterfaces van netwerkapparatuur. Dat is geen toeval. Dit soort systemen is voor een aanvaller het makkelijkst te vinden en vormt daardoor vaak de eerste stap bij een inbraak.
Afwezigheid is geen vrijbrief
Een kwetsbaarheid die niet in de KEV-catalogus staat, is niet automatisch veilig om te laten liggen. De lijst bevat alleen wat CISA kan bevestigen, en tussen het moment waarop misbruik in het wild begint en het moment waarop dat aantoonbaar is vastgesteld, zit vaak enige tijd. De catalogus is een aanvulling op een CVSS-score en een leveranciersbulletin, geen vervanging ervan. Wie uitsluitend op de KEV-catalogus vaart, loopt het risico pas te reageren nadat misbruik al wijdverspreid is.
Hoe je de catalogus praktisch gebruikt
Voor een Nederlands bedrijf werkt de catalogus vooral als filter bovenop het eigen patchproces. Check periodiek, bijvoorbeeld wekelijks, of de software en apparatuur die in gebruik zijn ergens in de lijst voorkomen. Veel kwetsbaarheidsscanners kunnen hun bevindingen automatisch tegen de KEV-catalogus afzetten, zodat een kwetsbaarheid die erop staat meteen bovenaan de prioriteitenlijst springt, ongeacht hoeveel andere meldingen er die week binnenkomen. Wie geen scanner heeft, kan volstaan met een vaste gewoonte: bij elk groot kwetsbaarheidsbericht checken of het ook in de KEV-catalogus staat. Dat is het verschil tussen “moet ooit gebeuren” en “moet deze week gebeuren”. Sommige beveiligingsleveranciers sturen inmiddels zelf een melding zodra een product uit hun pakket op de catalogus verschijnt, wat voor een klein IT-team aardig wat handmatig zoekwerk scheelt.
Deze site houdt op /cisa-kev/ een actueel, automatisch bijgewerkt overzicht bij van de nieuwste toevoegingen aan de catalogus, inclusief welke kwetsbaarheden gekoppeld zijn aan ransomware en wat de Amerikaanse deadline is. Dat overzicht is een snelle manier om te zien of een kwetsbaarheid in gebruikte software recent is opgenomen, zonder zelf de volledige Amerikaanse catalogus te hoeven doorspitten.
Wat betekent dit voor jouw bedrijf?
Zet een vaste controle op: check minstens wekelijks via /cisa-kev/ of een scanner die hierop filtert of software die je gebruikt in de KEV-catalogus staat, en geef die kwetsbaarheden voorrang boven de reguliere patchcyclus, ook zonder dat de Amerikaanse deadline voor jouw organisatie geldt.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.