Priorizando Vulnerabilidades com o Catálogo KEV

Visão Geral

O catálogo de Vulnerabilidades Exploradas Conhecidas da CISA (KEV - Known Exploited Vulnerabilities), estabelecido pela Diretiva Operacional Vinculante (BOD) 22-01, é uma lista dinâmica de CVEs que foram ativamente exploradas na natureza e representam um risco significativo. No início de 2026, o catálogo continha mais de 1.484 entradas, com um crescimento de 20% apenas em 2025, com 245 novas adições. Esta habilidade abrange a integração do catálogo KEV em fluxos de trabalho de priorização de vulnerabilidades, juntamente com o EPSS (Exploit Prediction Scoring System) e o CVSS, para criar uma abordagem baseada em risco que prioriza vulnerabilidades com atividade de exploração confirmada em detrimento da gravidade teórica isoladamente.

Quando Usar

• Ao realizar avaliações de segurança que envolvam a priorização de CVEs com o catálogo KEV.
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados.
• Ao realizar testes de segurança ou atividades de auditoria agendadas.
• Ao validar controles de segurança por meio de testes práticos.

Pré-requisitos

• Acesso a resultados de varredura de vulnerabilidades (Qualys, Nessus, Rapid7, etc.).
• Familiaridade com identificadores CVE e NVD.
• Compreensão da pontuação CVSS (v3.1 e v4.0).
• Acesso à API dos endpoints CISA KEV, EPSS e NVD.
• Python 3.8+ com as bibliotecas requests e pandas.

Conceitos Principais

Estrutura do Catálogo KEV da CISA

Cada entrada KEV contém:

• ID CVE: O identificador CVE (ex: CVE-2024-3094).
• Fornecedor/Projeto: Fornecedor afetado e nome do produto.
• Nome da Vulnerabilidade: Breve descrição da vulnerabilidade.
• Data de Adição: Quando a CISA adicionou ao catálogo.
• Breve Descrição: Descrição técnica concisa.
• Ação Necessária: Ação de remediação recomendada.
• Data de Vencimento: Prazo para agências federais (FCEB) remediá-la.
• Uso Conhecido em Campanhas de Ransomware: Se grupos de ransomware a exploram.

Prazos de Remediação da BOD 22-01

Modelo de Priorização Múltipla

Matriz de Decisão KEV + EPSS

Fluxo de Trabalho

Etapa 1: Obter e Analisar o Catálogo KEV

import requests
import json
from datetime import datetime

KEV_URL = "https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json"

def fetch_kev_catalog():
    """Download and parse the CISA KEV catalog."""
    response = requests.get(KEV_URL, timeout=30)
    response.raise_for_status()
    data = response.json()

    catalog = {}
    for vuln in data.get("vulnerabilities", []):
        cve_id = vuln["cveID"]
        catalog[cve_id] = {
            "vendor": vuln.get("vendorProject", ""),
            "product": vuln.get("product", ""),
            "name": vuln.get("vulnerabilityName", ""),
            "date_added": vuln.get("dateAdded", ""),
            "description": vuln.get("shortDescription", ""),
            "action": vuln.get("requiredAction", ""),
            "due_date": vuln.get("dueDate", ""),
            "ransomware_use": vuln.get("knownRansomwareCampaignUse", "Unknown"),
        }

    print(f"[+] Loaded {len(catalog)} CVEs from CISA KEV catalog")
    print(f"    Catalog version: {data.get('catalogVersion', 'N/A')}")
    print(f"    Last updated: {data.get('dateReleased', 'N/A')}")
    return catalog

kev = fetch_kev_catalog()

Etapa 2: Enriquecer com Pontuações EPSS

EPSS_API = "https://api.first.org/data/v1/epss"

def get_epss_scores(cve_list):
    """Obtém pontuações EPSS para um lote de CVEs."""
    scores = {}
    batch_size = 100

…