Was ist CISA KEV?

Hacker sind immer da draußen und immer angriffsbereit. Die Cybersecurity & Infrastructure Security Agency (CISA) ist da, um solchen Bedrohungen entgegenzuwirken Im Zentrum der CISA ist die Known Exploited Vulnerabilities (KEV)-Datenbank, die aufgedeckte Software-Schwachstellen zusammenstellt.

Dies ist eine äußerst wichtige Angelegenheit, die insofern in den Zuständigkeitsbereich des Ministeriums Innere Sicherheit fällt. Da der Katalog jedoch öffentlich zugänglich ist, gibt es keinen Grund, warum er nicht auch von anderen verwendet werden kann, die sich Sorgen über Cybersecurity machen.

Identifizierung von Schwachstellen und Anwendung von Schutzmaßnahmen  

CISA KEV ist eine Datenbank von Security-Fehlern in Softwareanwendungen und Schwächen, die von Angreifern aufgedeckt und ausgenutzt wurden. Dieser Katalog ist online unter CISA KEV öffentlich verfügbar.

Der Katalog kann auch von besorgten Unternehmen und sogar von vorsichtigen Privatpersonen verwendet werden. Schwachstellen werden nach Anbietern, Produkten, Datum und einer Beschreibung des Fehlers aufgelistet, und neben jeder Sicherheitslücke werden Maßnahmen aufgeführt, die Benutzer zur Behebung des Exploits ergreifen können. Der vollständige Katalog ist 90 Seiten lang, es gibt jedoch eine Suchfunktion, die das Auffinden eines ausgenutzten Programms erleichtert. Von hier aus können Software-Updates und -Patches angewendet werden, sobald sie veröffentlicht werden, bis die Schwachstelle behoben ist.

Natürlich wäre es besser, wenn Software keine ausnutzbaren Schwachstellen hätte In der realen Welt wird Software jedoch aus komplexen Codeteilen erstellt und ist daher anfällig für Security-Probleme. Hacker, einschließlich derjenigen, die für andere Regierungen arbeiten, sind ständig auf der Suche nach solchen Schwachstellen.

Wie optimiert die CISA den KEV-Katalog?

CISA KEV ist im Wesentlichen eine tabellarische Bestandsaufnahme von nach Anbietern sortierten Softwarefehlern. Diese Fehler wurden in der Realität bereits von Cyberangreifern ausgenutzt. Eine Möglichkeit zur Nutzung der Ressource ist, die Liste einfach nach einem bestimmten Softwarepaket zu durchsuchen. Dies ist jedoch nicht die effizienteste Art, eine so wichtige Ressource zu verwenden.

Um die Funktionalität der Anwendung systematischer zu optimieren, wurden die Informationen in den Formaten CSV und JSON zur Verfügung gestellt, die in Sekundenschnelle heruntergeladen und in eine Computerdatenbank eingespeist werden können.

Mission zur Stärkung der Undurchlässigkeit von CISA und KEV

Bei der Lektüre des CISA-Leitbilds werden einige Punkte deutlich: Die Behörde für Cyberabwehr ist hochgradig involviert in den Schutz amerikanischer Regierungsdaten. Sie schützt Informationen auf die gleiche Weise, wie die US-Streitkräfte die Nation schützen. Zweitens ist CISA KEV eine vertrauenswürdige Liste. Dennoch weist das Programm einige Schwächen auf.

So kommen Cyberangreifer beispielsweise nicht aus denselben Kreisen, die normale Unternehmen bedrohen. Vielmehr stammen sie aus anderen Nationen – aus Ländern, die nichts lieber tun würden, als Sand in das reibungslos funktionierende Getriebe der US-Regierung zu streuen. Das ist ein inakzeptables Risiko.  Ein weiterer Anlass zur Sorge ist, dass CISA KEV zwar vertrauenswürdig, aber nicht vollständig ist. Sie priorisiert in der Tat die schwerwiegendsten Software-Bedrohungen, aber es gibt noch mehr zu tun.

Die Ergänzung um das CISA- und KEV-Anreicherungs-Dashboard als sekundäre Ebene des Datenschutzes kann nur von Vorteil sein. Es ersetzt jedoch nicht zentralisierte Cybersecurity-Maßnahmen zur Verfügung zu haben. Das Dashboard verstärkt den bereits öffentlich verfügbaren Katalog, indem neue Felder zur Datenbank hinzugefügt werden. Dazu gehören Daten wie Angriffstrendindikatoren und Security-Kennzahlen. Schwachstellen mit höherem Risiko können dann schnell behandelt und korrigiert werden, sobald Software-Updates verfügbar sind.

Auch wenn sie nicht perfekt ist, ist die vorhandene CISA KEV eine vertrauenswürdige Quelle für ausgenutzte Software-Schwachstellen. Vielleicht genauso wichtig wie jeder andere Punkt, der hier angesprochen wurde, ist, dass es sich bei dem Katalog um eine Regierungsressource handelt, die allerdings öffentlich zugänglich gemacht wurde, damit andere Organisationen und Unternehmen die Cybersecurity-Ressource nutzen können.