[ blog · tutorial ]10 min read

Einen Agenten für CVE- & Schwachstellen-Intelligence bauen: CISA KEV, NVD, EPSS & MITRE ATT&CK in einer API

Sarah ChoyVeröffentlicht am 16. Juni 202610 Min. Lesezeit

Jedes Security-Team ertrinkt in CVEs. Das Signal ist nicht der Schweregrad — es ist, ob eine Schwachstelle ausgenutzt wird und wie wahrscheinlich das ist. So baust du einen Agenten, der NVD, CISA KEV, EPSS und ATT&CK verschmilzt, um die Frage zu beantworten: 'was patche ich zuerst?'

Auf einen Blick

•Der CVSS-Schweregrad allein zählt zu viel: Die meisten 'kritischen' CVEs werden nie ausgenutzt. Echte Priorisierung braucht CISA KEV (bekanntermaßen ausgenutzt) + EPSS (Ausnutzungswahrscheinlichkeit) obendrauf.
•Die vier Quellen: NVD (CVE-Datensätze + CVSS), CISA KEV (die maßgebliche Liste der in freier Wildbahn ausgenutzten Schwachstellen), EPSS (täglicher 0–1-Exploit-Wahrscheinlichkeits-Score), MITRE ATT&CK (Taktiken/Techniken für den Kontext).
•API Pick Cybersecurity Search bündelt alle vier hinter einem POST-Endpunkt — 10 Credits pro Aufruf, nur bei Erfolg — sodass der Agent verschmolzene Schwachstellen-Intelligence ohne vier Scraper bekommt.
•Das Agentenmuster: die CVE ziehen, KEV-Zugehörigkeit prüfen, den EPSS-Score lesen, auf ATT&CK-Techniken abbilden und dann nach Ausnutzung-zuerst, dann EPSS, dann CVSS ranken.
•Das ist Retrieval, kein Scanner: Es sagt dir, was über eine Schwachstelle bekannt und wahrscheinlich ist, um die menschliche Triage zu priorisieren — nicht, um automatisierte Aktionen zu autorisieren.

Der Schweregrad ist der falsche Sortierschlüssel

Ein Schwachstellen-Programm, das nach CVSS-Score patcht, ist beschäftigt und ineffektiv. Die National Vulnerability Database listet Zehntausende High- und Critical-CVEs; die überwältigende Mehrheit wird nie ausgenutzt. Währenddessen liegt ein "Medium" mit einem funktionierenden Exploit in freier Wildbahn im Backlog. Die Frage, die ein Security-Agent beantworten sollte, ist nicht "wie schlimm könnte das sein" — sondern "was sollte ich heute zuerst patchen."

Das zu beantworten braucht vier verschmolzene Datenquellen. Jede ist kostenlos und öffentlich; jede hat ihr eigenes Format und ihre eigene Update-Kadenz.

Die vier Quellen

NVD — CVE-Datensätze

Die National Vulnerability Database von NIST. Die kanonische CVE-Liste mit CVSS-Vektoren, betroffenen Produkten (CPE) und Referenzen. Die Basis-Ebene "was ist diese Schwachstelle". Stärke: maßgeblich und vollständig. Schwäche: CVSS allein zählt den Schweregrad zu hoch.

CISA KEV

Der Katalog der Known Exploited Vulnerabilities — CISAs maßgebliche Liste von CVEs, die nachweislich in freier Wildbahn ausgenutzt werden, mit Remediation-Fristen für US-Bundesbehörden. Steht eine CVE auf der KEV, überspringt sie die Warteschlange. Stärke: das einzelne aussagekräftigste Signal im Schwachstellenmanagement.

EPSS

Das Exploit Prediction Scoring System von FIRST.org: eine tägliche 0–1-Wahrscheinlichkeit, dass eine CVE in den nächsten 30 Tagen ausgenutzt wird. Verwandelt "könnte ausgenutzt werden" in "wie wahrscheinlich". Stärke: probabilistisches Ranking, das echtes Angreiferverhalten abbildet.

MITRE ATT&CK

Die Wissensbasis der Taktiken und Techniken von Angreifern. Bildet eine Schwachstelle auf ihre Rolle in der Kill Chain ab. Stärke: macht aus einer CVE eine operative Geschichte, die deine Detections und dein Response-Plan nutzen können.

Ein Endpunkt, verschmolzene Intelligence

Cybersecurity Search bündelt NVD, CISA KEV, EPSS und MITRE ATT&CK hinter einem POST-Endpunkt — 10 Credits pro Aufruf, nur bei Erfolg. Übergib eine CVE-ID oder eine natürlichsprachige Query; die Ergebnisse kommen verschmolzen und für ein LLM vorgeformt zurück. Kombiniere es mit Web Search für Hersteller-Advisories und Extract, um eine vollständige Advisory-Seite zu ziehen.

import httpx, os
API, HEADERS = "https://api.apipick.com/v1", {"x-api-key": os.environ["APIPICK_KEY"]}

def vuln_intel(query: str):
    r = httpx.post(f"{API}/search/cybersecurity",
                   headers=HEADERS, json={"query": query})
    r.raise_for_status()
    return r.json()["results"]

# "what should I patch first across NVD + KEV + EPSS + ATT&CK?"
records = vuln_intel("actively exploited Apache and VMware vulnerabilities this month")

# Rank: KEV-listed first, then by EPSS, then CVSS. Feed the ranked,
# cited list to your LLM to summarize the worklist for an analyst.

Build vs. Buy

	Selbst verdrahten	API Pick
Quellen	NVD + KEV + EPSS + ATT&CK, separat	Alle vier, verschmolzen
Formate	4 Schemas + EPSS-CSV	1 JSON-Form
Aktualität	Du planst 4 Syncs	Live pro Aufruf
LLM-ready	Du normalisierst jede	Vorgeformt + Quell-URLs
Kosten	Infra + Wartung	10 Credits/Aufruf, nur bei Erfolg

Was du bauen kannst

Über einen Patch-Priorisierungs-Assistenten hinaus: ein tägliches KEV-Watch-Agent, der alarmiert, wenn eine CVE in deinem Stack auf der Ausnutzungsliste landet; ein Triage-Bot, der einen Scanner-Export in eine gerankte, zitierte Arbeitsliste verwandelt; ein Analysten-Copilot, der die ATT&CK-Implikationen einer CVE in Klartext erklärt. Dasselbe Muster — verschmolzenes Retrieval, gerankt nach Ausnutzung-zuerst, synthetisiert mit angehängten Quellen. Schnapp dir einen kostenlosen Key (100 Credits, keine Karte) und richte deinen Agenten darauf aus.

Häufig gestellte Fragen

Warum reicht der CVSS-Schweregrad für die Patch-Priorisierung nicht aus?

Weil der Schweregrad die potenzielle Auswirkung misst, nicht die Wahrscheinlichkeit der Ausnutzung. Zehntausende CVEs sind als High oder Critical eingestuft, aber nur ein kleiner Bruchteil wird je in freier Wildbahn ausgenutzt. Patchst du allein nach CVSS, steckst du Aufwand in Schwachstellen, die Angreifer nie anfassen, während dir die mittel eingestufte entgeht, die gerade aktiv ausgenutzt wird. Der moderne Ansatz legt CISA KEV (ist sie bekanntermaßen ausgenutzt?) und EPSS (wie wahrscheinlich wird sie es sein?) über CVSS, um zu ranken, was wirklich zählt.

Was ist EPSS und wie nutze ich es?

EPSS (Exploit Prediction Scoring System) von FIRST.org gibt jeder CVE einen täglich aktualisierten Score von 0 bis 1, der die Wahrscheinlichkeit schätzt, dass sie in den nächsten 30 Tagen ausgenutzt wird. Eine gängige Policy: alles auf der CISA KEV sofort patchen, dann alles mit EPSS über ~0,1 (oder deiner risiko-justierten Schwelle), dann den Rest nach CVSS triagieren. Da sich EPSS täglich aktualisiert, sollte ein Agent es neu ziehen statt cachen.

Was bringt MITRE ATT&CK zusätzlich?

Kontext. ATT&CK bildet Taktiken und Techniken von Angreifern ab (Initial Access, Privilege Escalation, Exfiltration usw.). Eine CVE mit den Techniken zu verknüpfen, die sie ausnutzen, hilft einem Analysten, die Kill-Chain-Implikation zu verstehen — nicht nur 'das ist ausnutzbar', sondern 'das ermöglicht laterale Bewegung', was verändert, wie du priorisierst und welche Detections du ergänzt.

Kann der Agent automatisch Patches einspielen oder Traffic blockieren?

Nein — und du solltest ihn nicht dafür verdrahten. Das ist eine Intelligence-Retrieval-Ebene: Sie verschmilzt, was über eine Schwachstelle bekannt ist, um die menschliche Triage zu priorisieren. Automatisierte Remediation braucht Change Control, Tests und einen menschlichen Verantwortlichen. Nutze den Agenten, um eine gerankte, zitierte Arbeitsliste zu erstellen; lass deine Patch-/SOAR-Pipeline und einen Ingenieur ausführen.

Wie aktuell sind die Daten?

NVD und CISA KEV aktualisieren sich laufend, sobald CVEs veröffentlicht und Ausnutzungen bestätigt werden; EPSS rechnet täglich neu. Der Endpunkt fragt Live-Quellen ab, sodass ein Agentenlauf den aktuellen Stand widerspiegelt. Für einen Audit-Trail speichere den EPSS-Score und den KEV-Status mit einem Zeitstempel zum Zeitpunkt der Entscheidung.