Implementando Pontuação EPSS para Priorização de Vulnerabilidades

Visão Geral

O Exploit Prediction Scoring System (EPSS) é um modelo baseado em dados desenvolvido pelo FIRST (Forum of Incident Response and Security Teams) que estima a probabilidade de uma CVE ser explorada na natureza nos próximos 30 dias. O EPSS produz pontuações de 0,0 a 1,0 (0% a 100%) usando aprendizado de máquina treinado com dados de exploração do mundo real. Diferente do CVSS, que mede a gravidade, o EPSS mede a probabilidade de exploração, tornando-o essencial para a priorização de vulnerabilidades baseada em risco.

Quando Usar

• Ao implantar ou configurar a implementação de pontuação EPSS para capacidades de priorização de vulnerabilidades em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou aprimorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Python 3.9+ com requests, pandas, matplotlib
• Acesso à API EPSS do FIRST (https://api.first.org/data/v1/epss)
• Resultados de varredura de vulnerabilidades com identificadores CVE
• Opcional: Chave de API NVD para enriquecimento CVSS

Uso da API EPSS

Consultar CVE Única

# Get EPSS score for a specific CVE
curl -s "https://api.first.org/data/v1/epss?cve=CVE-2024-3400" | python3 -m json.tool

# Response:
# {
#   "status": "OK",
#   "status-code": 200,
#   "version": "1.0",
#   "total": 1,
#   "data": [
#     {
#       "cve": "CVE-2024-3400",
#       "epss": "0.95732",
#       "percentile": "0.99721",
#       "date": "2024-04-15"
#     }
#   ]
# }

Consultar Múltiplas CVEs

# Batch query up to 100 CVEs
curl -s "https://api.first.org/data/v1/epss?cve=CVE-2024-3400,CVE-2024-21887,CVE-2023-44228" | \
  python3 -c "
import sys, json
data = json.load(sys.stdin)
for item in data['data']:
    pct = float(item['epss']) * 100
    print(f\"{item['cve']}: {pct:.2f}% exploitation probability (percentile: {item['percentile']})\")
"

Baixar Conjunto de Dados EPSS Completo

# Download complete daily EPSS scores (CSV format)
curl -s "https://epss.cyentia.com/epss_scores-current.csv.gz" | gunzip > epss_scores_current.csv

# Check size and preview
wc -l epss_scores_current.csv
head -5 epss_scores_current.csv

Consultar Pontuações Históricas EPSS

# Get EPSS score for a specific date
curl -s "https://api.first.org/data/v1/epss?cve=CVE-2024-3400&date=2024-04-12"

# Get time series data
curl -s "https://api.first.org/data/v1/epss?cve=CVE-2024-3400&scope=time-series"

Estratégia de Priorização

Abordagem Combinada EPSS + CVSS

Limiares de Percentil EPSS

• Top 1% (percentil >= 0.99): Extremamente provável de ser explorado; tratar como Crítico
• Top 5% (percentil >= 0.95): Alta probabilidade de exploração; priorizar a correção
• Top 10% (percentil >= 0.90): Risco elevado; agendar para correção em curto prazo
• Abaixo de 50%: Baixa probabilidade de exploração; tratar no ciclo de patches normal

Implementação

import requests
import pandas as pd
from datetime import datetime

def fetch_epss_scores(cve_list):
    """Busca pontuações EPSS para uma lista de CVEs da API FIRST."""
    scores = {}
    batch_size = 100
    for i in range(0, len(cve_list), batch_size):
        batch = cve_list[i:i + batch_size]
        resp = requests.get(
            "https://api.first.org/data/v1/epss",
            params={"cve": ",".join(batch)},
            timeout=30
        )
        if resp.status_code == 200:
            for entry in resp.json().get("data", []):
                scores[entry["cve"]] = {
                    "epss": float(entry["epss"]),
                    "percentile": float(entry["percentile"]),
                    "date": entry.get("date", ""),
                }
    return scores

def prioritize_vulnerabilities(scan_results_csv, output_csv):
    """Enriquece resultados de varredura com pontuações EPSS e atribui prioridades."""
    df = pd.read_csv(scan_results_csv)
    cve_list = df["cve_id"].dropna().unique().tolist()

    epss_data = fetch_epss_scores(cve_list)


…