EPSS: mitä Exploit Prediction Scoring System kertoo

Mikä EPSS on?

Exploit Prediction Scoring System (EPSS) on dataan perustuva malli, joka arvioi todennäköisyyden sille, että julkaistua CVE:tä hyödynnetään todellisissa hyökkäyksissä seuraavien 30 päivän aikana. Sitä ylläpitää FIRSTin EPSS Special Interest Group, sama foorumi, joka julkaisee CVSS:n. Pisteet tuottaa Empirical Security, ja ne julkaistaan maksutta ilman rekisteröitymistä.

Joka päivä jokainen julkaistu CVE saa kaksi lukua:

• Todennäköisyys välillä 0–1. Arvioitu todennäköisyys hyödyntämistoiminnalle seuraavien 30 päivän aikana. 0.02 tarkoittaa 2 %.
• Persentiili välillä 0–1. Niiden pisteytettyjen CVE:iden osuus, joiden todennäköisyys on sama tai pienempi. Se kertoo, mihin kohtaan CVE sijoittuu, ei sitä, kuinka todennäköisesti sitä hyödynnetään.

Pisteet muuttuvat. CVE voi pysyä lähellä nollaa kuukausia ja hypätä yön aikana, kun hyödyntämiskoodia julkaistaan tai hyökkäyksiä havaitaan, joten lue ne päivittäin äläkä vain kerran triagen (luokittelun ja priorisoinnin) yhteydessä.

Miten EPSS lasketaan

EPSS on koneoppimismalli, joka on koulutettu havaitulla hyödyntämisellä. FIRST kuvaa noin 2 850 syötepiirrettä viidessä ryhmässä:

• Hyödyntämiskoodi ja työkalut: julkiset exploitit, hyödyntämiskehykset, skannerien mallipohjat.
• Keskustelu: maininnat tietoturvatoimittajilta, julkistamisohjelmista ja koostepalveluista.
• Haavoittuvuuden ominaisuudet: yksittäiset CVSS-mittarit ja kuvauksen tunnisteet. Itse CVSS-pistemäärää ei käytetä.
• Ikä ja viitteet: kuinka vanha CVE on ja kuinka monta viitettä sillä on.
• Hyödyntämistoiminta: haittaohjelmatelemetria, hunajapurkit, tunkeutumisen havaitseminen ja uhkatiedustelu datakumppaneilta.

Nykyinen malli on EPSS v5 (v2026.06.15), joka on ollut käytössä 15.6.2026 lähtien. Aiemmat versiot olivat v4 (maaliskuu 2025), v3 (maaliskuu 2023) ja v2 (helmikuu 2022). FIRST kouluttaa mallin uudelleen, kun sen suorituskyky heikkenee, ei kiinteän aikataulun mukaan.

EPSS vs. CVSS

	EPSS	CVSS
Mittaa	Hyödyntämisen todennäköisyyttä seuraavien 30 päivän aikana	Vakavuutta, jos haavoittuvuutta hyödynnetään
Asteikko	Todennäköisyys 0–1 sekä persentiili	0–10 vakavuusluokituksineen
Muuttuu	Päivittäin uhkatietojen muuttuessa	Harvoin; perusarvo on kiinteä CVE:tä kohden
Tuottaja	Havaitulla hyödyntämisellä koulutettu malli	Asiantuntija-arvio määrittelyn mukaan
Nykyinen versio	v5 (2026)	4.0 (2023)

FIRST korostaa, etteivät nämä kaksi ole keskenään vaihtokelpoisia. CVSS-perusarvot mittaavat vakavuutta, eivät riskiä, eikä niitä pidä käyttää yksinään korjausten priorisointiin. EPSS ei ole vakavuuspistemäärä eikä myöskään täydellinen riskipistemäärä. Ja niiden kertominen keskenään ei FIRSTin mukaan ole koskaan hyvä ajatus: toinen on kalibroitu todennäköisyys, toinen järjestysasteikollinen luokitus. Käytä niitä rinnakkain.

EPSS-raja-arvot

EPSS:llä ei ole virallista raja-arvoa. FIRST julkaisee vertailukohtia, jotka auttavat sinua valitsemaan sellaisen:

EPSS-todennäköisyys	Suunnilleen
0.10 (10 %)	95. persentiili. Usein mainittu, mutta EPSS ei anna sille erityisasemaa.
0.04 (4 %)	90. persentiili. Jono, joka on suunnilleen yhtä suuri kuin pelkän CVSS critical -luokan jono.
0.008 (0,8 %)	Noin ylin 48 %. Jono, joka on suunnilleen yhtä suuri kuin CVSS high- ja critical-luokat yhteensä.
0.007 (0,7 %)	Mediaani. Puolet kaikista CVE:istä saa pienemmän pistemäärän.

Lähde liikkeelle kapasiteetista. Jos tiimisi pystyy käsittelemään viisikymmentä kiireellistä löydöstä kuukaudessa, valitse raja-arvo, joka tuottaa toimittamassasi ohjelmistossa noin viisikymmentä.

Näin käytät EPSS:ää priorisointiin

1. Aloita vahvistetusta hyödyntämisestä. CISAn KEV-luettelossa olevaa CVE:tä hyödynnetään jo. FIRST itse sanoo, että tuore vahvistettu hyödyntäminen on jo yksinään vahva signaali pistemäärästä riippumatta.
2. Järjestä loput EPSS:n mukaan, valitsemasi raja-arvon ylittävät ensin.
3. Ratkaise tasatilanteet CVSS:llä ja omalla kontekstillasi: toimitetaanko komponentti, onko se altistettuna ja kuinka tärkeä tuote on.
4. Järjestä uudelleen päivittäin, koska EPSS muuttuu päivittäin.

Koko menetelmä, SSVC:n ja reachability-analyysin paikka mukaan lukien, on sivulla haavoittuvuuksien priorisointi.

EPSS:n rajoitukset

• Se ei tunne ympäristöäsi. Korkea pistemäärä kertoo, että CVE:tä todennäköisesti hyödynnetään jossain, ei sitä, että haavoittuva koodi on tuotteessasi, saavutettavissa tai merkityksellinen.
• Vain julkaistut CVE:t. Haavoittuvuudet ilman CVE:tä ja varatut CVE-tunnisteet eivät saa pistemäärää.
• Se on ennuste. Matala pistemäärä ei ole tae, minkä vuoksi KEV ja muu näyttö hyödyntämisestä tulevat ensin.

Mistä EPSS-pisteet saa

• API: https://api.first.org/data/v1/epss?cve=CVE-2021-44228 palauttaa nykyisen todennäköisyyden ja persentiilin. Lisää &scope=time-series, niin saat historian. API on tarkoitettu yksittäisiin hakuihin, ei massahakuihin.
• Päivittäinen CSV: kaikkien pisteiden täysi luettelo, päivitetään pian klo 13.30 UTC:n jälkeen, arkisto vuoteen 2021 asti.
• Omat työkalusi: monet skannerit ja haavoittuvuuksien hallinta-alustat näyttävät EPSS:n löydöstensä vieressä, muun muassa Grype, Dependency-Track, Tenable ja Qualys.

EPSS tarvitsee tarkan inventaarion

EPSS-pistemäärä asettaa CVE:n järjestykseen. Se ei voi kertoa, toimitatko haavoittuvan paketin. Sen kertoo inventaariosi, ja lukitustiedostoja (lockfile) lukeva skanneri raportoi kehitysriippuvuuksia, joita ei koskaan toimiteta, ja jättää huomaamatta paketit, jotka buildi latasi paketinhallinnan ohi.

CRACI tallentaa paketit, jotka kukin GitHub Actions -jobi todella haki, mukaan lukien transitiiviset riippuvuudet, välimuisteista palautetut paketit ja piilossa olevat riippuvuudet, joita mikään lukitustiedosto ei luettele, ja arvioi valvottuja SBOM:eja jatkuvasti uudelleen. Buildihistoria näyttää, missä aiemmissa buildeissa oli haavoittuva riippuvuus, joten kun CVE:n pistemäärä hyppää, tiedät, mitkä julkaisut sitä sisältävät. Katso haavoittuvuuksien seuranta.

EPSS: usein kysytyt kysymykset

Mikä EPSS on?

EPSS eli Exploit Prediction Scoring System on FIRSTin ylläpitämä koneoppimismalli, joka arvioi todennäköisyyden sille, että julkaistua CVE:tä hyödynnetään todellisissa hyökkäyksissä seuraavien 30 päivän aikana. Pisteet julkaistaan päivittäin jokaiselle CVE:lle maksutta.

Mikä on hyvä EPSS-pistemäärä?

Yleistä raja-arvoa ei ole. FIRSTin mukaan noin 0.04 (4 %) todennäköisyys sijoittuu noin 90. persentiiliin, mikä vastaa suunnilleen sitä osuutta CVE:istä, jonka CVSS luokittelisi kriittisiksi, ja 0.10 (10 %) sijoittuu noin 95. persentiiliin. Keskiarvo on noin 2,8 % ja mediaani noin 0,7 %. Valitse raja-arvo, joka antaa tiimillesi jonon, jonka se pystyy purkamaan.

Mitä eroa on EPSS-todennäköisyydellä ja persentiilillä?

Todennäköisyys on mallin arvio siitä, että CVE:tä hyödynnetään seuraavien 30 päivän aikana. Persentiili asettaa tuon todennäköisyyden järjestykseen kaikkien muiden pisteytettyjen CVE:iden joukossa. Todennäköisyys 0.05 voi olla korkea persentiili, koska useimmat CVE:t saavat paljon pienemmän pistemäärän.

Pitäisikö EPSS kertoa CVSS:llä?

Ei. FIRSTin mukaan näiden kertominen keskenään ei koskaan anna todennäköisyyttä kertaa vakavuus, koska EPSS on kalibroitu todennäköisyys ja CVSS järjestysasteikollinen luokitus. Käytä niitä sen sijaan rinnakkain: EPSS:ää todennäköisyyteen, CVSS:ää vakavuuteen.

Mikä on EPSS:n nykyinen versio?

EPSS v5 (malli v2026.06.15), joka on ollut käytössä 15.6.2026 lähtien. FIRST kouluttaa mallin uudelleen, kun sen suorituskyky heikkenee, mikä on aiemmin tapahtunut noin kerran vuodessa.

Mistä saan EPSS-pisteet?

Tee haku FIRSTin API:in, esimerkiksi https://api.first.org/data/v1/epss?cve=CVE-2021-44228, tai lataa kaikkien pisteiden päivittäinen CSV. Rekisteröitymistä ei tarvita. Monet skannerit, Grype mukaan lukien, näyttävät myös EPSS:n löydöstensä vieressä.