Zero-day voorspellingsmodellen: kan machine learning het volgende kritieke lek voorspellen?

De droom is simpel: weten welke pas gemelde bug uitgroeit tot een incident op bestuursniveau voordat aanvallers hem misbruiken. De realiteit is rommeliger. Modellen helpen alleen als ze de juiste signalen krijgen en streng worden gevalideerd.

Wat sterke modellen echt gebruiken

• Patchleeftijd alleen zegt weinig. Goede modellen combineren exploitsignalen, internetblootstelling, installed base, beschikbare PoC en de vraag of mitigatie snel haalbaar is.
• Het sterkste signaal is vaak externe druk. Verschijnen exploitkits, KEV-achtige lijsten, botnetscans of red-team-nabootsing vroeg, dan stijgt de kans op echt misbruik hard.
• Bedrijfscontext blijft belangrijk. Een middelhoge CVSS in een sterk blootgesteld identity-platform kan zwaarder wegen dan een hogere score in een geïsoleerd beheertooltje.

Waar machine learning nog faalt

• Modellen zijn zwak in nieuwigheid. Een vreemde chain, verborgen auth bypass of supply-chain-pivot blijft vaak onzichtbaar tot een analist de puzzel legt.
• Datakwaliteit is de tweede killer. Vendoradviezen zijn inconsistent, exploitrapportage zit vol ruis en assetinventarissen kloppen vaak niet.
• Teams die de score als waarheid behandelen missen meestal de uitzondering die telt. Het model moet aandacht rangschikken, niet oordeel vervangen.

Hoe verdedigers voorspellingen moeten gebruiken

• Gebruik het model om te sorteren en beoordeel de bovenste tien procent handmatig.
• Meet missers elke week. Een systeem dat nooit fouten toegeeft verbergt er waarschijnlijk één.
• Voer echte exploitbewijzen, interne blootstelling en patchvertraging terug zodat het model jouw omgeving leert.