Jak naprawdę priorytetyzować ryzyko: przegląd systemów oceny

BOD 26-04: koniec ery „patchuj wszystko powyżej 7.0”

Dyrektywa CISA z 10 czerwca 2026 r. zastąpiła BOD 19-02 (remediacja według CVSS) oraz BOD 22-01 (katalog KEV). Zamiast liczby wprowadza cztery pytania binarne, na które musisz odpowiedzieć dla każdej podatności:

• Czy zasób jest publicznie wystawiony? (Publicly Exposed)
• Czy CVE znajduje się w katalogu KEV? (ponad 1 300 pozycji, stan na czerwiec 2026)
• Czy eksploatację da się w pełni zautomatyzować? (Automatable)
• Czy atakujący uzyskuje kontrolę częściową czy całkowitą? (Partial / Total control)

Cztery zmienne dają szesnaście kombinacji i pięć poziomów terminów: 3 dni z obowiązkową analizą powłamaniową, 3 dni, 14 dni, 60 dni oraz „napraw przy najbliższej aktualizacji systemu”. Najostrzejszy scenariusz - KEV plus pełne przejęcie zasobu - wymaga nie tylko łatki, ale też sprawdzenia, czy system nie jest już skompromitowany.

Zwróć uwagę na dwie rzeczy. Po pierwsze, terminy są dynamiczne: wyłączenie zasobu z internetu zmienia wartość „Publicly Exposed” i przesuwa deadline. Po drugie, model radykalnie zawęża listę pilnych zadań - w analizie CISA przeprowadzonej w dużej agencji cywilnej tylko 1% instancji podatności trafiło do kategorii trzydniowej, a ponad 60% można było odłożyć do najbliższej aktualizacji.

„To amerykańska dyrektywa” - a jednak dotyczy Ciebie

BOD 26-04 wiąże agencje federalne USA. Ciebie wiąże co innego: nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252), która weszła w życie 3 kwietnia 2026 r. i wdrożyła do polskiego prawa dyrektywę NIS2. Harmonogram jest konkretny:

• 3 października 2026 - wniosek o wpis do wykazu po samoocenie (system S46),
• 3 kwietnia 2027 - wdrożenie systemu zarządzania bezpieczeństwem informacji i obowiązków z rozdziału 3,
• 3 kwietnia 2028 - pierwszy audyt dla podmiotów kluczowych.

Kary sięgają 10 mln EUR lub 2% obrotu, z dwuletnią karencją na ich nakładanie, a odpowiedzialność spada również na osoby zarządzające. Dwa punkty katalogu środków z art. 21 ust. 2 NIS2 uderzają bezpośrednio w temat tego artykułu: „postępowanie w przypadku podatności i ich ujawnianie” oraz procedury oceny skuteczności zastosowanych środków zarządzania ryzykiem - czyli m.in. testy penetracyjne i audyty.

I tu zaczyna się problem, który BOD 26-04 rozwiązuje za darmo. Ani NIS2, ani ustawa o KSC nie mówią, jak masz priorytetyzować. Nie znajdziesz w nich progu CVSS ani listy terminów. Musisz sam zdefiniować, udokumentować i obronić własną metodykę - a to jest dokładnie ten dokument, o który zapyta audytor.

Wyobraź sobie to pytanie: dlaczego ta podatność czekała osiem miesięcy? Odpowiedź „bo miała 5.3 w CVSS” brzmi jak wymówka. Odpowiedź „bo zasób nie był publicznie wystawiony, CVE nie figurowało w KEV, a wpływ był częściowy - zgodnie z naszą polityką priorytetyzacji opartą na modelu CISA BOD 26-04 i SSVC” brzmi jak zarządzanie ryzykiem. Adaptacja amerykańskiej dyrektywy to najtańszy sposób, by nadać własnemu procesowi uznany rodowód - bez czekania, aż ktoś w Warszawie czy Brukseli opublikuje polską wersję.

CVSS, EPSS, SSVC: każdy odpowiada na inne pytanie

Trzy skróty, trzy zupełnie różne role. Błąd zaczyna się wtedy, gdy próbujesz zastąpić jeden drugim.

CVSS v4.0 odpowiada: jak groźna jest ta dziura w izolacji? To techniczny baseline. Warto znać zmiany względem v3.1 - grupa Temporal została zastąpiona przez Threat, zniknął Scope na rzecz podziału na Vulnerable System i Subsequent System, a wyniki raportuje się jako CVSS-B, CVSS-BT, CVSS-BE lub CVSS-BTE. Metryki wpływu przyjmują wartości High/Low/None - terminy Total i Partial control pochodzą z SSVC, nie z CVSS.

EPSS v4 (marzec 2025) odpowiada: jakie jest prawdopodobieństwo eksploatacji w ciągu 30 dni? Model uczenia maszynowego karmiony metadanymi CVE i sygnałami threat intelligence z wielu feedów. Liczby robią wrażenie: remediacja przy progu EPSS 0,1 wymaga zajęcia się 2,7% podatności i pokrywa 63,2% tych faktycznie eksploatowanych. Sam FIRST przestrzega jednak, że EPSS nie zna Twojego środowiska i nie może być jedynym kryterium.

SSVC odpowiada: co mam z tym zrobić u siebie? Zamiast liczby dostajesz decyzję: Act (natychmiastowe skoordynowane działanie), Attend (szybciej niż standardowe okno serwisowe), Track* (wzmożony monitoring, naprawa w standardowym oknie), Track (standardowe okno). To właśnie punkty decyzyjne SSVC - Automatable i Technical Impact - stanowią szkielet BOD 26-04.

Systemy komercyjne: wygoda kontra „czarna skrzynka”

Tenable (VPR), Qualys (TruRisk) i Rapid7 (Active Risk) robią to samo, co robiłbyś ręcznie, tylko szybciej: łączą CVSS, EPSS, KEV i dane o aktywności w sieci w jeden wynik. Skuteczność bywa realna - Tenable podaje, że CVSS oznacza jako high/critical około 60% podatności, a nowa generacja VPR zawęża pole do 1,6%.

Cena za tę wygodę to ograniczona przejrzystość. Rzadko dowiesz się, dlaczego wynik skoczył z 4 na 8. Traktuj te narzędzia jak system wczesnego ostrzegania, nie jak wyrocznię.

Perspektywa atakującego: dlaczego „Medium” bywa złotym biletem

Pentester nie szuka jednej krytycznej luki. Szuka ścieżki. Podatności oznaczone jako Medium bywają dla nas najcenniejsze, bo idealnie wpisują się w łańcuch ataku.

Wróćmy do braku podpisywania SMB. Nessus klasyfikuje to jako Medium (plugin 57608, CVSS 5.3) i trudno mieć o to pretensje - sama luka niczego nie ujawnia. Problem w tym, co można na niej zbudować. Tu warto rozdzielić dwa różne ataki, które często wrzuca się do jednego worka:

• NTLM relay - atakujący zatruwa LLMNR/NBT-NS/mDNS, przechwytuje próbę uwierzytelnienia i przekazuje ją dalej na serwer bez podpisywania SMB. Uwierzytelnia się jako ofiara, nie znając i nie łamiąc jej hasła. To technika T1557.001 w MITRE ATT&CK.
• Cracking offline - zamiast przekazywać uwierzytelnienie, zapisujesz hash NetNTLMv2 i łamiesz go lokalnie. Tu hasło faktycznie pada, ale tylko jeśli jest słabe.

Do tego dochodzi wymuszanie uwierzytelnienia narzędziami typu PetitPotam czy Coercer (T1187), które nie wymagają nawet cierpliwego czekania na ruch w sieci.

# 1. Wytypowanie hostów bez wymuszonego podpisywania SMB
nxc smb 10.10.0.0/24 --gen-relay-list unsigned_hosts.txt

# 2. Tryb relay: NAJPIERW w Responder.conf ustaw SMB = Off oraz HTTP = Off,
#    inaczej Responder zajmie porty potrzebne ntlmrelayx
sudo responder -I eth0 -v

# 3. W drugim terminalu - przekazanie uwierzytelnienia (bez znajomości hasła)
sudo ntlmrelayx.py -tf unsigned_hosts.txt -smb2support -i

# 4. Ścieżka alternatywna: łamanie przechwyconego hasha NetNTLMv2 offline
hashcat -m 5600 hashes.txt rockyou.txt

Uczciwie: Windows 11 24H2 wymaga podpisywania SMB w obie strony, a Windows Server 2025 wymusza je po stronie klienta. Jeśli masz jednorodne, świeże środowisko, ten konkretny wektor się zawęża. Rzecz w tym, że prawie nikt takiego środowiska nie ma - zostają NAS-y, Samba na Linuksie, urządzenia OT, systemy legacy i relay na LDAP, którego samo podpisywanie SMB nie zatrzyma.

Wpływ na biznes: dlaczego okno reakcji się zamknęło

Dane rynkowe tłumaczą, skąd u CISA taki pośpiech. Według Verizon DBIR 2025 eksploatacja podatności odpowiada za 20% naruszeń (wzrost o 34% rok do roku), a udział urządzeń brzegowych i VPN skoczył z 3% do 22%. Mediana remediacji takich urządzeń to 32 dni - przy medianie czasu od ujawnienia do masowej eksploatacji wynoszącej zero dni.

Google Threat Intelligence Group naliczył 90 zero-dayów eksploatowanych in the wild w 2025 roku, z rekordowym udziałem technologii enterprise. Średni time-to-exploit spadł z 63 dni w 2018 roku do wartości ujemnej - eksploatacja wyprzedza dziś publikację łatki. Kwartalny cykl patchowania w tej rzeczywistości po prostu nie działa.

Rekomendacje: jak praktycznie zarządzać remediacją

Nie naprawisz wszystkiego i nie powinieneś próbować. Skup się na tym:

• Przenieś model BOD 26-04 do siebie. Cztery pytania (ekspozycja, KEV, automatyzowalność, zakres przejęcia) to gotowy, darmowy framework decyzyjny. Wdrożenie w agencjach USA ma być pełne od grudnia 2026 - masz czas, by wyprzedzić rynek.
• Spisz to jako politykę, nie jako zwyczaj. Jeśli jesteś podmiotem kluczowym lub ważnym, do 3 kwietnia 2027 potrzebujesz udokumentowanej procedury obsługi podatności. Metodyka oparta na KEV, ekspozycji i wpływie technicznym jest łatwiejsza do obrony przed audytorem niż tabelka progów CVSS.
• Otaguj zasoby, zanim zaczniesz tagować podatności. Model rozpada się bez wiarygodnej informacji, co jest wystawione na świat i co jest krytyczne dla biznesu. To zwykle najtrudniejszy i najbardziej opłacalny etap.
• Użyj EPSS jako filtra, nie jako wyroku. Próg 0,1 odsiewa gros szumu przy niewielkim wysiłku, ale EPSS nie wie, że Twoja drukarka ma zapisane poświadczenia administratora domeny.
• Wymuś podpisywanie SMB i ogranicz NTLM. Set-SmbServerConfiguration -RequireSecuritySignature $true, a docelowo migracja w stronę Kerberos i wyłączanie NTLM tam, gdzie to możliwe.
• Zmapuj łańcuchy ataku, nie tylko luki. Testy penetracyjne pokazują, które „Medium” w Twojej konkretnej sieci są de facto krytyczne - żaden skaner tego nie policzy.

Twarde dane (KEV, EPSS, CVSS) powiedzą Ci, co jest groźne na świecie. Co jest groźne u Ciebie, wie tylko ktoś, kto zna Twoją architekturę - Ty albo doświadczony pentester.