Elke CVE arriveert gescoord, met eigenaar, en op een klok.

Het is het proces waarbij de exacte softwareversies op een device worden vergeleken met een database van bekende kwetsbaarheden (CVE's), zodat u in plaats van een generieke advisory-feed een precieze lijst krijgt van welke devices daadwerkelijk door welke kwetsbaarheid getroffen zijn. Secuno doet dit automatisch voor elk beheerd device, meerdere keren per dag.

Elke gecorreleerde CVE wordt gescoord op EPSS-exploitatiekans, gemarkeerd als CISA die als actief misbruikt vermeldt (KEV), en gecontroleerd op publieke exploit-beschikbaarheid. Daarbovenop bepaalt Secuno of een aanvaller het getroffen pad op dat specifieke apparaat werkelijk kan bereiken, en of uw bestaande maatregelen dat pad blokkeren. Een kritieke CVE in een dienst die alleen op loopback luistert is niet dezelfde bevinding als diezelfde CVE op een host aan het internet, en de wachtrij laat dat zien.

Nee. Scoring draait op SECAI, Secuno's eigen inference-engine, op onze infrastructuur in Nederland. Geen CVE-data, device-inventarisatie of risico-informatie wordt naar een externe modelprovider gestuurd.

Nieuwe CVE's komen elk uur binnen via CVE.org, en de CISA KEV- en NVD-feeds synchroniseren vier keer per dag. Een CVE die nieuw op de KEV-lijst komt wacht niet op de volgende ronde: hij start direct een gerichte correlatie, getroffen klanten krijgen een kritieke melding en een e-mail, en elk getroffen risico escaleert met gereset SLA-klok.

Elke correlatiebevinding wordt beoordeeld op hoe zeker de match is, en de grenzen zijn geijkt op een volledige productieset aan bevindingen in plaats van op gevoel gekozen. Zekere matches worden automatisch geaccepteerd, twijfelgevallen worden getoond en gemarkeerd voor een menselijk oordeel, en matches die we niet geloven zakken naar informatief en blijven uit de standaardwachtrij. Ze worden niet verwijderd en blijven opvraagbaar. Een versie die de engine niet met zekerheid kan lezen, zoals een packaging-tag die aan een versienummer vastzit, beëindigt de vergelijking en houdt de CVE buiten de resultaten in plaats van een match te beweren. Eén bewuste uitzondering: een CVE die actief wordt misbruikt of een hoge EPSS-score heeft, wordt nooit verborgen en komt hooguit in de reviewwachtrij. Een onderdrukte false positive kost een analist niets; een onderdrukte actief misbruikte CVE is de enige fout die niet te herstellen is.

Ja. De klassieke false positive op Linux ontstaat doordat distributies een beveiligingsfix terugporteren zonder het upstream versienummer te veranderen, zodat een pakket dat tegen NVD wordt gematcht kwetsbaar lijkt op een volledig gepatchte host. Secuno matcht Linux-pakketten niet tegen NVD. Het leest de eigen advisories van de distributies via OSV (Ubuntu, Debian, Alpine, Rocky Linux, AlmaLinux en openSUSE) voor de pakketten die uw vloot werkelijk draait, en vergelijkt versies zoals de pakketbeheerder van die distributie dat doet. Een host die één update achterloopt matcht; dezelfde host na de update niet.

Ja, via apparaatgroepen. Een groep kan bijstellingen dragen uit een vaste lijst redenen: niet bereikbaar via het netwerk, op een geïsoleerd of testsegment, geen gevoelige gegevens, wordt uitgefaseerd, aan het internet, gevoelige of gereguleerde gegevens, bedrijfskritisch, verouderd of niet te patchen, gedeeld of kioskapparaat, of een reden in uw eigen woorden. Elke bijstelling is begrensd, een reden telt één keer, hoeveel groepen hem ook noemen, en de regel dat context een bevinding hooguit één ernstband kan verschuiven gaat altijd voor. Een groep kan bevindingen dus herschikken, maar nooit een informatieve melding kritiek maken. De risicopagina toont deze bijstellingen apart van de gemeten maatregelen, omdat ze een verklaring van een beheerder zijn en geen meting. Een groep kan ook vastleggen dat lidmaatschap op zichzelf een bevinding is, bijvoorbeeld voor apparaten met een niet meer ondersteund besturingssysteem.

Ja, en dat is recent veranderd. Bevindingen uit eigen regels, Microsoft 365-postuur, agentwijzigingen en handmatige invoer vormen het merendeel van wat een operator daadwerkelijk opent, en die kwamen voorheen binnen zonder score en zonder toelichting, omdat beide een CVE vereisten. De bron geeft nu een ernstband op, de scoring rangschikt binnen die band, en hetzelfde uitlegpaneel wordt ook voor hen gevuld. Bevindingen van vóór deze wijziging worden alsnog aangevuld in plaats van leeg te blijven.