# SOP ưu tiên vá lỗ hổng theo CISA KEV và EPSS

> Quy trình SOP · Vai trò: Quản trị hệ thống · Mức độ: Trung cấp · Thời gian ước tính: 40 phút
> Nguồn: https://news.huecybersec.xyz/cam-nang/sop-uu-tien-va-lo-hong-kev-epss · Cập nhật: 2026-11-13

## 1. Mục tiêu

Quy trình vận hành chuẩn để quyết định vá gì trước: lỗ hổng đang bị khai thác thực tế (KEV) trước, sau đó theo xác suất bị khai thác (EPSS) và mức nghiêm trọng (CVSS), kèm thời hạn xử lý và kiểm soát bù.

## 2. Khi nào áp dụng

Dùng cho vòng vá hằng tuần, hoặc ngay khi có cảnh báo khẩn về lỗ hổng sản phẩm đang dùng (xem mục Tra cứu CVE của HueCA-CYBER).

## 3. Quy trình thực hiện

### 3.1. Chuẩn bị

- [ ] **[BẮT BUỘC]** Duy trì danh mục tài sản, đánh dấu hệ thống công khai ra Internet và hệ thống thiết yếu [4]
- [ ] Thống nhất thời hạn xử lý theo mức ưu tiên (ví dụ: KEV trên tài sản công khai ≤ 72 giờ; EPSS cao ≤ 7 ngày; còn lại theo chu kỳ) [2][4]

### 3.2. Phân loại ưu tiên

- [ ] **[BẮT BUỘC]** Ưu tiên 1: lỗ hổng có trong danh mục CISA KEV (đã bị khai thác thực tế) [1][2]
  ```
  curl -s https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json | jq -r '.vulnerabilities[] | select(.dateAdded >= "2026-11-01") | .cveID + " " + .vendorProject + " " + .product'
  ```
- [ ] Ưu tiên 2: EPSS cao (xác suất bị khai thác trong 30 ngày tới), tra cứu theo mã CVE [3]
  ```
  curl -s 'https://api.first.org/data/v1/epss?cve=CVE-2024-3400' | jq '.data[0]'
  ```
- [ ] Ưu tiên 3: CVSS cao trên tài sản quan trọng nhưng chưa có dấu hiệu khai thác [3][4]

### 3.3. Triển khai

- [ ] Kiểm thử bản vá trên môi trường thử nghiệm hoặc nhóm máy nhỏ trước [4]
- [ ] **[BẮT BUỘC]** Không vá ngay được: áp dụng biện pháp giảm thiểu của hãng (tắt tính năng, chặn cổng, WAF) và ghi nhận ngoại lệ có thời hạn [2][4]
- [ ] Kiểm tra bản cập nhật đã cài (Windows) [4]
  ```
  Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 10
  ```
- [ ] Kiểm tra gói chờ cập nhật (Debian/Ubuntu) [4]
  ```
  apt list --upgradable 2>/dev/null
  ```

### 3.4. Xác minh & báo cáo

- [ ] Quét lại để xác nhận lỗ hổng đã được khắc phục [4]
- [ ] **[BẮT BUỘC]** Với lỗ hổng KEV, rà soát dấu hiệu đã bị khai thác trước khi vá (nhật ký, tệp lạ, tài khoản mới) [2]
- [ ] Báo cáo tỷ lệ tuân thủ thời hạn và danh sách ngoại lệ cho lãnh đạo [4]

## 5. Tài liệu tham khảo

[1] CISA — Known Exploited Vulnerabilities Catalog. https://www.cisa.gov/known-exploited-vulnerabilities-catalog
[2] CISA — BOD 22-01: Reducing the Significant Risk of Known Exploited Vulnerabilities. https://www.cisa.gov/news-events/directives/bod-22-01-reducing-significant-risk-known-exploited-vulnerabilities
[3] FIRST — Exploit Prediction Scoring System (EPSS). https://www.first.org/epss/
[4] NIST — SP 800-40 Rev. 4 — Guide to Enterprise Patch Management Planning. https://csrc.nist.gov/pubs/sp/800/40/r4/final

---
Tài liệu do HueCA-CYBER tổng hợp. Ghi rõ nguồn khi sử dụng lại.