EPSS (Exploit Prediction Scoring System)
O EPSS (Exploit Prediction Scoring System) transforma inteligência de ameaças em informação acionável ao estimar a probabilidade de uma vulnerabilidade ser explorada nos próximos 30 dias. Utilizando machine learning e dados reais de exploração, o modelo identifica quais vulnerabilidades têm maior chance de serem alvo de ataques, permitindo que a priorização seja baseada no comportamento observado das ameaças, e não apenas na severidade técnica. Dessa forma, o EPSS auxilia as organizações a direcionarem seus esforços para as vulnerabilidades com maior probabilidade de exploração, tornando a gestão de vulnerabilidades mais eficiente e orientada por evidências.
Uma vulnerabilidade com CVSS 9.8 pode ter EPSS de apenas 0,2%, indicando que, embora tecnicamente grave, há pouca evidência de que seja explorada no momento. Por outro lado, uma vulnerabilidade CVSS 6.5 pode apresentar EPSS de 85%, tornando-se muito mais urgente do ponto de vista operacional..
O EPSS (Exploit Prediction Scoring System) é, essencialmente, uma ponte entre vulnerabilidades e inteligência de ameaças, transformando sinais do mundo real em uma métrica objetiva de probabilidade de exploração, e é isso que dá a ele tanto valor.
EPSS como inteligência de ameaças aplicada
O EPSS não é só uma “nota” de vulnerabilidade: ele é um modelo que consome e integra inteligência de ameaças em escala. Entre suas principais fontes estão:
Telemetria de exploração observada (honeypots, IDS/IPS, EDR, sandboxes de malware).
Evidências de exploit e prova de conceito em Metasploit, Exploit-DB, GitHub e ferramentas de offensive security.
Metadados de CVE/NVD (descrições, vetores CVSS, CWE, CPE, tempo desde a publicação, referências).
Esses dados, que tradicionalmente vivem em feeds de threat intel, relatórios de vendors e bases públicas, são sintetizados em um único valor probabilístico por CVE, estimando a chance de exploração in-the-wild nos próximos 30 dias.
Relação com inteligência de ameaças
O EPSS pode ser visto como um “destilado” de threat intelligence voltado para vulnerabilidades:
Ele traduz sinais dispersos (exploit publicado, scanners ativos, novas campanhas observadas, interesse de grupos específicos) em um score operacional simples.
Dá contexto dinâmico: se a inteligência de ameaças detecta aumento de exploração ou novas ferramentas para uma CVE, o EPSS tende a subir, refletindo a mudança no cenário.
Funciona lado a lado com bases como CISA KEV: O KEV mostra o que já é “known exploited”; EPSS antecipa o que é provável entrar nessa categoria em breve, com base em sinais de inteligência.
Com isso, o EPSS operacionaliza a inteligência de ameaças, levando-a diretamente para o processo de priorização de patches, em vez de deixá-la restrita a relatórios ou dashboards difíceis de acionar.
EPSS como componente da estratégia de risco
Por fim, o EPSS ganha valor máximo quando combinado com outras peças:
CVSS para medir impacto técnico.
KEV e outros feeds de threat intel para exploração comprovada e contexto de campanhas.
Controles de exposição (inventário de ativos, surface management) para saber onde cada CVE realmente importa.
Nesse ecossistema, o EPSS passa a ser o eixo de probabilidade de ataque, permitindo que a organização saia do modelo estático “corrigir tudo que é crítico” e adote um modelo dinâmico “corrigir primeiro o que tem maior chance de ser explorado aqui e agora”, guiado por inteligência de ameaças, permitindo maior preditividade.
Autor: João Paulo Mendes de Carvalho
Comentários