Wenn Sicherheitsteams über Schwachstellen und Patch-Management sprechen, tauchen fast überall zwei Begriffe auf: CVE und CVSS. Oft werden sie zusammen verwendet und spielen beide eine wichtige Rolle bei der Bewertung und dem Management von Schwachstellen.
Eine CVE kennzeichnet eine öffentlich bekannte Cybersicherheitslücke, während CVSS deren Schweregrad beschreibt. Die eine gibt der Sicherheitslücke einen gebräuchlichen Namen, die andere bietet Teams eine strukturierte Methode, um deren potenzielle Auswirkungen zu verstehen.
In diesem Artikel werden wir den Unterschied zwischen CVE und CVSS untersuchen, ihre jeweilige Funktion erläutern und erklären, warum es wichtig ist, beide bei der Behebung von Sicherheitslücken zu berücksichtigen.
Was ist ein CVE?
Common Vulnerabilities and Exposures (CVE) ist ein standardisiertes System zur Identifizierung und Katalogisierung öffentlich bekannter Cybersicherheitslücken. Jeder veröffentlichte CVE-Eintrag besitzt eine eindeutige CVE-ID, die es Anbietern, Forschern, Sicherheitstools und SecOps-Teams ermöglicht, dieselbe Schwachstelle einheitlich zu benennen.
Die CVE Numbering Authority (CNA) vergibt regelmäßig CVE-IDs und veröffentlicht die entsprechenden CVE-Einträge. Eine CVE-ID hat das Format CVE-JJJJ-NNNN. Das Jahr gibt in der Regel an, wann die CVE-ID vergeben wurde oder wann die Sicherheitslücke erstmals öffentlich bekannt gegeben wurde, während der letzte Teil eine eindeutige, mindestens vierstellige Ziffernfolge ist.
Warum ist CVE wichtig?
Die Hauptfunktion von CVEs ist die standardisierte Identifizierung. Eine CVE-ID bietet Anbietern, Forschern, Sicherheitstools und IT-Sicherheitsexperten eine gemeinsame Referenz, um dieselbe Schwachstelle in verschiedenen Systemen, Plattformen oder Technologien zu besprechen.
Beispiel für eine CVE:
CVE-2021-44228 (Log4Shell): Eine kritische Sicherheitslücke in betroffenen Versionen von Apache Log4j2. Sie ermöglichte es einem Angreifer, der die protokollierten Eingaben kontrollierte, unter anfälligen Konfigurationen die Ausführung von Remote-Code auszulösen.
Was ist CVSS?
Das Common Vulnerability Scoring System (CVSS) ist ein Rahmenwerk zur Klassifizierung, Bewertung und Kommunikation des technischen Schweregrades von Software-Schwachstellen. Während CVE die Schwachstelle identifiziert, bewertet CVSS Merkmale wie die für ihre Ausnutzung erforderlichen Bedingungen und die potenziellen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.
CVSS liefert einen numerischen Wert zwischen 0.0 und 10.0, der qualitativen Bewertungen von „Kein Risiko“ bis „Kritisches Risiko“ zugeordnet werden kann. Der Wert gibt zwar einen konsistenten Hinweis auf den Schweregrad, sollte aber nicht als vollständiges Maß für das Geschäftsrisiko oder die Priorität von Abhilfemaßnahmen betrachtet werden.
| CVSS-Punktzahl | damit verbundene Schwere |
|---|---|
| 0.0 | Keine Präsentation |
| 0.1 – 3.9 | Niedrig |
| 4.0 – 6.9 | Medium |
| 7.0 – 8.9 | Hoch |
| 9.0 – 10.0 | Kritische |
Höhere Punktzahlen weisen auf einen größeren technischen Schweregrad hin, bei der Priorisierung der Sanierungsmaßnahmen sollten jedoch auch Faktoren wie Gefährdungsgrad, aktive Ausnutzung, Bedeutung der Anlage und verfügbare Abhilfemaßnahmen berücksichtigt werden.
Warum ist CVSS wichtig?
CVSS bietet Sicherheitsteams eine standardisierte Methode, um den technischen Schweregrad und die Eigenschaften von Software-Schwachstellen zu vergleichen. Dies macht es besonders nützlich für die erste Sichtung, insbesondere wenn Teams eine große Anzahl von Ergebnissen überprüfen.
CVSS sollte jedoch nur ein Faktor bei der Priorisierung sein, nicht der einzige. Die Gefährdung von Assets, die geschäftliche Bedeutung, die aktive Ausnutzung und die Verfügbarkeit von Behebungsmaßnahmen können die Priorität der Schwachstellenentscheidung beeinflussen.
CVE vs. CVSS: Wichtigste Unterschiede
Obwohl CVE und CVSS eng miteinander verwandt sind, sind sie nicht austauschbar. CVE beschreibt die Art der Schwachstelle, mit der Teams konfrontiert sind. CVSS hilft ihnen, den Schweregrad dieser Schwachstelle einzuschätzen. Hier ein kurzer Überblick über die Unterschiede:
| Faktor | CVE | CVSS |
|---|---|---|
| Zweck | Identifiziert und katalogisiert öffentlich bekannte Schwachstellen | Beschreibt und kommuniziert den Schweregrad der Schwachstelle |
| Funktion | Weist einer Schwachstelle eine eindeutige ID zu. | Weist einer Schwachstelle einen numerischen Schweregradwert zu. |
| Wichtige Kennzahlen | Name des Herstellers, betroffene Produktversionen, Beschreibung und Veröffentlichungsdatum | Angriffsvektor, Komplexität, erforderliche Berechtigungen, Benutzerinteraktion und Auswirkungen |
| Instandgehalten von | MITRE Corporation über das Nationale Bundesforschungs- und Entwicklungszentrum für Cybersicherheit (FFRDC) | Forum der Incident Response- und Sicherheitsteams (FIRST) |
| Anwendungsfall | Verfolgung, Referenzierung, Suche und Kartierung von Schwachstellen in Tools und Empfehlungen | Unterstützung der Schwachstellenanalyse und des Vergleichs der Schweregrade |
| Optik | Identifizierung von Schwachstellen | Technischer Schweregrad |
| Beispiel | CVE-2021-44228 | CVSS 10.0 oder CVSS 9.8 |
Einschränkungen von CVE und CVSS
CVE und CVSS sind zwar nützlich, aber keines von beiden vermittelt ein vollständiges Bild des Schwachstellenmanagements.
Eine CVE-Meldung identifiziert eine Sicherheitslücke, sagt aber nichts darüber aus, ob diese Sicherheitslücke Ihre Umgebung betrifft, ob das betroffene System angreifbar ist oder ob Angreifer sie aktiv ausnutzen.
Eine wichtige Unterscheidung ist, dass Schweregrad nicht gleich Risiko ist. CVSS beschreibt die technischen Merkmale einer Schwachstelle. Die tatsächliche Priorität der Behebung hängt auch davon ab, ob Ihr Unternehmen betroffen ist, wie exponiert das System ist, ob eine Ausnutzung stattfindet und wie wichtig das betroffene System ist.
Beispielsweise verdient eine kritische Sicherheitslücke in einem isolierten Testsystem möglicherweise weniger sofortige Aufmerksamkeit als eine Sicherheitslücke mit geringerem Schweregrad, die ein exponiertes, geschäftskritisches System betrifft.
CVE beantwortet daher die Frage: „Um welche Schwachstelle handelt es sich?“ CVSS beantwortet die Frage: „Wie schwerwiegend ist sie technisch?“ Für eine effektive Priorisierung müssen diese Signale mit dem Kontext Ihrer Umgebung kombiniert werden.
Zum Abschluss
CVE und CVSS beantworten unterschiedliche Fragen. CVE bietet Sicherheitsteams eine einheitliche Kennung für Schwachstellen, während CVSS eine standardisierte Methode zur Beschreibung ihres technischen Schweregrades bereitstellt. In Kombination mit der Gefährdung von Assets, der geschäftlichen Bedeutung und dem Bedrohungskontext bilden sie eine solidere Grundlage für die Priorisierung von Schwachstellen als jedes Signal allein.
Veltar Schwachstellen-Management-Software Es nutzt CVE- und CVSS-Informationen sowie zusätzliche Parameter wie bekannte ausgenutzte Schwachstellen (KEV) und das Exploit Prediction Scoring System (EPSS) als Eingangsgrößen für die Risikobewertung von Geräten. Dies unterstützt IT- und Sicherheitsteams bei der Identifizierung anfälliger Endpunkte und der Priorisierung von Behebungsmaßnahmen anhand des Schweregrads und des Gerätekontexts. Schwachstellendaten lassen sich so einfach den Endpunkten zuordnen, die Aufmerksamkeit erfordern, anstatt jede CVE als gleichwertige operative Priorität zu behandeln.
