KEV של CISA: הרשימה שעוזרת להבין אילו חולשות צריך לתקן קודם
ארגונים מתמודדים מדי חודש עם מאות ולעיתים אלפי חולשות חדשות. לכל חולשה יש מזהה, דירוג חומרה, מוצר מושפע והמלצת תיקון – אבל בפועל, צוותי IT ואבטחת מידע אינם יכולים לטפל בכל הממצאים באותה מהירות.
השאלה החשובה היא לא רק איזו חולשה חמורה מבחינה טכנית, אלא גם איזו חולשה כבר מנוצלת בפועל על ידי תוקפים.
לשם כך מפעילה CISA, הסוכנות האמריקאית לאבטחת סייבר ותשתיות, את קטלוג Known Exploited Vulnerabilities, או בקיצור: KEV.
מהו קטלוג KEV?
קטלוג KEV הוא מאגר שמתוחזק על ידי CISA וכולל חולשות שקיימות לגביהן ראיות לניצול פעיל בעולם האמיתי. מטרתו לסייע לארגונים ולצוותי הגנה לתעדף את הטיפול בפגיעויות שמייצגות סיכון מעשי, ולא רק סיכון תאורטי.
CISA מציגה את הקטלוג כמקור סמכותי לחולשות שנוצלו בפועל וממליצה לכל ארגון להשתמש בו כקלט לתהליך ניהול הפגיעויות שלו.
כל רשומה בקטלוג כוללת בדרך כלל את מזהה ה-CVE, היצרן והמוצר המושפעים, תיאור קצר של החולשה, מועד הוספתה לקטלוג, פעולת התיקון הנדרשת ומועד יעד לטיפול עבור הגופים שעליהם חלות הנחיות CISA.
למה KEV חשוב יותר מציון CVSS לבדו?
CVSS הוא מדד חשוב להערכת חומרתה הטכנית של חולשה, אך הוא אינו מספר אם תוקפים משתמשים בה בפועל.
חולשה יכולה לקבל ציון גבוה מאוד, אך לא להיות מנוצלת באופן פעיל. מנגד, חולשה בעלת ציון נמוך יותר עלולה להופיע בקמפיינים אמיתיים ולהוות מסלול כניסה נגיש לארגון.
לכן נכון להשתמש ב-CVSS כנקודת פתיחה – לא כבסיס היחיד לתעדוף.
כאשר חולשה מופיעה ב-KEV, המשמעות היא שהדיון כבר אינו רק על אפשרות תאורטית. קיימות ראיות לכך שהפגיעות שימשה בתקיפות, ולכן היא צריכה לקבל תשומת לב מיידית יותר בתהליך ניהול הפגיעויות.
אילו חולשות נכנסות ל-KEV?
CISA מוסיפה חולשה לקטלוג כאשר קיימות ראיות מהימנות לניצול פעיל, ניתן לשייך אותה ל-CVE וקיימת פעולה ברורה שהארגון יכול לבצע כדי לצמצם את הסיכון – כגון התקנת עדכון, יישום הנחיית יצרן או הפסקת שימוש במוצר שאינו נתמך.
העיקרון חשוב: KEV אינו אמור להיות מאגר של כל חולשה שפורסמה. הוא נועד למקד את הארגון באותם ממצאים שכבר הוכיחו את עצמם ככלי תקיפה מעשי.
CISA מעדכנת את הקטלוג באופן שוטף ומפרסמת התראות כאשר מתווספות חולשות חדשות על בסיס ראיות לניצול פעיל.
האם KEV מחייב גם ארגונים פרטיים?
הדרישות המחייבות של CISA מכוונות בעיקר לסוכנויות האזרחיות הפדרליות בארצות הברית. ביוני 2026 נכנסה לתוקף BOD 26-04, שהחליפה את BOD 22-01 וממשיכה את המיקוד בתעדוף עדכוני אבטחה לפי סיכון, לרבות טיפול בחולשות מוכרות ומנוצלות.
ארגונים פרטיים בישראל אינם כפופים אוטומטית להנחיות האלה. עם זאת, קטלוג KEV הוא עדיין מקור תעדוף חשוב, משום שהוא מספק מידע מעשי על התנהגות תוקפים.
כאשר חולשה קיימת במערכת אינטרנטית, במוצר נפוץ או בנכס קריטי בארגון – והחולשה מופיעה גם ב-KEV, קשה להצדיק השארת הטיפול בה בתור משימה רגילה ללא קדימות.
איך משלבים KEV בתהליך ניהול פגיעויות?
הדרך הנכונה היא לא לבדוק את הקטלוג ידנית פעם בחודש, אלא לשלב אותו בתהליך הקיים.
כאשר מופיעה חולשה חדשה ב-KEV, מומלץ לבדוק מיד:
- האם המוצר או הגרסה קיימים בארגון?
- אילו נכסים מושפעים?
- האם הם חשופים לאינטרנט?
- מהי הקריטיות העסקית שלהם?
- האם קיים עדכון או Mitigation רשמי?
- מי אחראי לטיפול?
- מהו זמן הטיפול הנדרש?
- כיצד מאמתים שהחשיפה נסגרה?
לצד KEV, עדיין חשוב לשלב מידע נוסף: קריטיות הנכס, סוג המידע, חשיפה חיצונית, בקרות קיימות והשפעה עסקית. KEV מספק אינדיקציה חזקה לניצול פעיל – אך הוא אינו מכיר את סביבת הארגון שלכם.
KEV תלוי במלאי נכסים אמין
קטלוג עדכני אינו מועיל אם הארגון אינו יודע אילו מוצרים וגרסאות מותקנים אצלו.
CISA מדגישה כי נראות לנכסים וזיהוי שוטף של חולשות הם תנאי בסיס לניהול סיכוני סייבר. בהנחיית BOD 23-01 היא קשרה בין Asset Discovery, מיפוי פגיעויות ויכולת לצמצם סיכון בצורה אפקטיבית.
לכן תהליך KEV אפקטיבי צריך להישען על:
מלאי נכסים עדכני, סריקות פגיעויות, מיפוי גרסאות, Owner לכל מערכת ותהליך Patch Management שמסוגל לפעול במהירות.
ארגון שאינו יודע שהמערכת הפגיעה קיימת לא יוכל לתעדף אותה, גם אם CISA כבר התריעה עליה.
KEV אינו תחליף לניהול פגיעויות
חשוב לא להפוך את KEV לרשימת החולשות היחידה שהארגון מטפל בה.
חולשה שאינה מופיעה בקטלוג עדיין יכולה להיות מסוכנת מאוד בסביבה מסוימת. ייתכן שהיא חשופה לאינטרנט, מחוברת למערכת קריטית או ניתנת לניצול בדרך שטרם זוהתה באופן רחב.
לכן KEV צריך להיות שכבת תעדוף בתוך תוכנית ניהול פגיעויות מלאה, ולא תחליף לסריקות, Patch Management, סקרי סיכונים או בחינת תצורות.
מה המשמעות עבור הארגון?
KEV מאפשר לצוותי אבטחה לעבור משיחה המבוססת רק על ציוני חומרה לשיחה המבוססת על סיכון מעשי.
במקום לומר:
“יש לנו מאות חולשות קריטיות”,
אפשר לומר:
“מתוך כלל הממצאים, מספר חולשות כבר מנוצלות בפועל ונמצאות במערכות הרלוונטיות לארגון. אלה יקבלו קדימות מיידית.”
זהו הבדל מהותי בניהול סדרי עדיפויות.
KEV אינו אומר לארגון לתקן רק את מה שמופיע בקטלוג. הוא אומר לו היכן לא כדאי לדחות את הטיפול.
איך אינפוגארד יכולה לסייע לארגון שלכם?
באינפוגארד אנחנו מסייעים לארגונים לבחון ולשפר את תהליך ניהול הפגיעויות, לרבות מיפוי נכסים, תעדוף ממצאים, בחינת Patch Management, ניהול חריגים, הגדרת זמני טיפול ואימות התיקון.
המטרה היא לחבר בין מידע כמו CVSS, קטלוג KEV, חשיפה חיצונית וקריטיות עסקית ולבנות תוכנית טיפול ברורה שמפחיתה את הסיכון בפועל.
סריקת חולשות מספרת מה קיים. KEV עוזר להבין במה צריך לטפל קודם.סיכון בצורה המשמעותית ביותר.
המידע המוצג במאמר זה נועד למטרות מידע והעשרה בלבד ואינו מהווה ייעוץ מקצועי, רגולטורי, משפטי או טכנולוגי. כל ארגון נדרש לבחון את צרכיו, הסיכונים והדרישות החלות עליו באמצעות אנשי מקצוע מתאימים.
המאמר נכתב בשיתוף מומחי אבטחת המידע והסייבר של Infoguard מקבוצת IDOR, ונערך על ידי ROY KISCH, חובב אבטחת מידע, סייבר ומנהל השיווק של קבוצת חברות עידור (Messagent, Infoguard, Idornext).
