Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

EPSS

Для чего

EPSS (Exploit Prediction Scoring System, проект FIRST.org) даёт для каждой CVE вероятность того, что уязвимость будут эксплуатировать в ближайшие 30 дней — число от 0 до 1 и перцентиль относительно всех CVE. Это ответ на вопрос «насколько это реально опасно прямо сейчас», который дополняет статический CVSS: высокий CVSS при низком EPSS часто означает, что фикс не горит, и наоборот.

Как применяют

EPSS отдаёт оценки через публичный JSON-API; обновление — ежедневное. Запрос вероятности для конкретной CVE:

curl -s "https://api.first.org/data/v1/epss?cve=CVE-2022-25883" \
  | jq '.data[0] | {cve, epss, percentile}'

Ответ:

{ "cve": "CVE-2022-25883", "epss": "0.00091", "percentile": "0.39400" }

В триаже EPSS используют как множитель/порог поверх находок VDR: например, правило «эскалировать, если CVSS >= 7.0 И (epss >= 0.10 ИЛИ запись есть в CISA KEV)». Для массовой обработки скачивают суточный CSV-снимок всех оценок и джойнят с CVE из VDR по идентификатору.

Сильные стороны

Динамическая, ежедневно обновляемая оценка реальной угрозы — снижает шум от «страшных по CVSS, но не эксплуатируемых» находок.
Перцентиль даёт понятный относительный порог приоритизации портфеля.
Простой бесплатный API и суточные CSV-дампы для офлайн-джойна.
Хорошо комбинируется с KEV (факт эксплуатации) и CVSS (потенциальный ущерб) в одной политике.

Ограничения

EPSS — вероятностная модель, а не факт: она не утверждает наличие эксплойта, в отличие от KEV.
Оценки «плавают» день ото дня; для воспроизводимости решения нужно фиксировать дату снимка.
Покрывает только CVE с идентификатором; уязвимости без CVE (часть GHSA/OSV) остаются вне модели.
Не учитывает специфику вашего контекста (доступность сервиса, компенсирующие меры) — это вход для триажа, а не вердикт.

Offline / on-premise

Частично. Полный суточный набор оценок публикуется как gzip-CSV (все CVE одной выгрузкой) — его можно зеркалировать в закрытый контур и обновлять по расписанию, после чего джойнить локально без обращения к API. Прямой онлайн-вызов api.first.org из изолированной сети недоступен; в нём работают со снимком на фиксированную дату.

Связанные темы

М06. Поиск уязвимостей и управление VDR/VEX · М14. Политики, исключения и принятие риска

Смежные карточки: CVE · NVD · CISA KEV · CWE · OSV.dev

Практики: П35. VEX triage · П09. VDR и VEX различие факта и решения · П30. Исключения и принятие риска