Quando i team di sicurezza parlano di vulnerabilità e gestione delle patch, due termini ricorrono quasi ovunque: CVE e CVSS. Spesso usati insieme, entrambi svolgono ruoli distinti nella valutazione e nella gestione delle vulnerabilità.
Un CVE identifica una vulnerabilità di sicurezza informatica nota pubblicamente, mentre il CVSS ne descrive la gravità. Il primo attribuisce alla vulnerabilità un nome comune, mentre il secondo fornisce ai team un metodo strutturato per comprenderne il potenziale impatto.
In questo articolo, esploreremo la differenza tra CVE e CVSS, cosa fanno entrambi e perché è importante valutarli entrambi quando si tratta di chiudere le vulnerabilità.
Che cosa è un CVE?
Common Vulnerabilities and Exposures (CVE) è un sistema standardizzato per l'identificazione e la catalogazione delle vulnerabilità di sicurezza informatica divulgate pubblicamente. Ogni record CVE pubblicato ha un ID CVE univoco, che offre a fornitori, ricercatori, strumenti di sicurezza e team SecOps un modo coerente per fare riferimento alla stessa vulnerabilità.
L'Autorità di numerazione CVE (CNA) assegna regolarmente ID CVE e pubblica i relativi record CVE. Un ID CVE segue il formato CVE-AAAA-NNNN. L'anno generalmente indica quando è stato assegnato l'ID CVE o quando la vulnerabilità è stata divulgata pubblicamente per la prima volta, mentre la parte finale è una sequenza univoca composta da almeno quattro cifre.
Perché la prevenzione dell'estremismo violento (CVE) è importante?
Il ruolo principale di CVE è l'identificazione standardizzata. Un ID CVE fornisce a fornitori, ricercatori, strumenti di sicurezza e addetti alla difesa un riferimento comune per discutere della stessa vulnerabilità su sistemi, piattaforme o tecnologie specifici.
Esempio di CVE:
CVE-2021-44228 (Log4Shell): Una vulnerabilità critica nelle versioni interessate di Apache Log4j2. Consentiva a un utente malintenzionato che controllava l'input registrato di attivare l'esecuzione di codice remoto in presenza di configurazioni vulnerabili.
Cos'è il CVSS?
Il Common Vulnerability Scoring System (CVSS) è un framework per classificare, valutare e comunicare la gravità tecnica delle vulnerabilità del software. Mentre il CVE identifica la vulnerabilità, il CVSS valuta caratteristiche quali le condizioni necessarie per lo sfruttamento e il potenziale impatto su riservatezza, integrità e disponibilità.
Il CVSS produce un punteggio numerico da 0.0 a 10.0 che può essere mappato a valutazioni qualitative che vanno da Nessuno a Critico. Il punteggio fornisce un segnale di gravità coerente, ma non deve essere considerato una misura completa del rischio aziendale o della priorità di bonifica.
| Punteggio CVSS | Gravità associata |
|---|---|
| 0.0 | Nona |
| 0.1 - 3.9 | Basso |
| 4.0 - 6.9 | Medio |
| 7.0 - 8.9 | Alto |
| 9.0 - 10.0 | critico |
Punteggi più alti indicano una maggiore gravità tecnica, ma la priorità degli interventi di bonifica dovrebbe tenere conto anche di fattori quali l'esposizione, lo sfruttamento attivo, l'importanza del patrimonio e le misure di mitigazione disponibili.
Perché il CVSS è importante?
CVSS offre ai team di sicurezza un metodo standardizzato per confrontare la gravità tecnica e le caratteristiche delle vulnerabilità del software. Questo lo rende utile per la valutazione iniziale, soprattutto quando i team devono esaminare un gran numero di segnalazioni.
Tuttavia, il CVSS dovrebbe essere uno degli elementi da considerare per la definizione delle priorità, non l'unico. L'esposizione degli asset, l'importanza aziendale, lo sfruttamento attivo delle vulnerabilità e la disponibilità di soluzioni possono influenzare l'ordine di priorità per la valutazione delle vulnerabilità.
CVE vs CVSS: differenze principali
Sebbene CVE e CVSS siano strettamente correlati, non sono intercambiabili. CVE indica ai team di quale vulnerabilità si tratta, mentre CVSS li aiuta a comprenderne la gravità. Ecco una breve panoramica delle differenze:
| Fattore | CVE | CVSS |
|---|---|---|
| Missione | Identifica e cataloga le vulnerabilità note pubblicamente | Descrive e comunica la gravità della vulnerabilità |
| Funzione | Assegna un ID univoco a una vulnerabilità | Assegna a una vulnerabilità un punteggio numerico di gravità |
| Metriche chiave utilizzate | Nome del fornitore, versioni del prodotto interessate, descrizione e date di pubblicazione | Vettore di attacco, complessità, privilegi richiesti, interazione con l'utente e impatto |
| Mantenuto da | MITRE Corporation tramite il National Cybersecurity Federally Funded Research and Development Center (FFRDC) | Forum dei team di risposta agli incidenti e di sicurezza (FIRST) |
| Caso d'uso | Tracciamento, riferimento, ricerca e mappatura delle vulnerabilità tra strumenti e avvisi | Supporto alla valutazione della vulnerabilità e confronto della gravità |
| Focus | Identificazione della vulnerabilità | Severità tecnica |
| Esempio | CVE-2021-44228 | CVSS 10.0 o CVSS 9.8 |
Limitazioni di CVE e CVSS
CVE e CVSS sono utili, ma nessuno dei due fornisce un quadro completo della gestione delle vulnerabilità.
Un CVE identifica una vulnerabilità, ma non indica se tale vulnerabilità interessa il tuo ambiente, se il sistema interessato è esposto o se gli aggressori la stanno sfruttando attivamente.
È utile distinguere che la gravità non è sinonimo di rischio. Il CVSS descrive le caratteristiche tecniche di una vulnerabilità. La priorità di risoluzione effettiva dipende anche dal fatto che la vostra organizzazione sia o meno interessata, dal grado di esposizione della risorsa, dalla presenza o meno di attività di sfruttamento e dall'importanza del sistema interessato.
Ad esempio, una vulnerabilità critica su un sistema di test isolato potrebbe richiedere un'attenzione meno immediata rispetto a una vulnerabilità di minore gravità che interessa una risorsa aziendale esposta e di importanza cruciale.
Il CVE risponde quindi alla domanda: "Di quale vulnerabilità si tratta?", mentre il CVSS risponde: "Quanto è tecnicamente grave?". Una prioritizzazione efficace richiede che questi segnali vengano combinati con il contesto del proprio ambiente.
Per concludere
CVE e CVSS rispondono a domande diverse. CVE fornisce ai team di sicurezza un identificatore comune per una vulnerabilità, mentre CVSS offre un metodo standardizzato per descriverne la gravità tecnica. Se utilizzati insieme, e combinati con l'esposizione delle risorse, l'importanza aziendale e il contesto della minaccia, forniscono una base più solida per la valutazione delle vulnerabilità rispetto a ciascun segnale preso singolarmente.
Veloce software di gestione delle vulnerabilità Utilizza le informazioni CVE e CVSS insieme a parametri aggiuntivi come le vulnerabilità sfruttate note (KEV) e il sistema di punteggio di previsione degli exploit (EPSS) come input per la valutazione del rischio dei dispositivi. Questo aiuta i team IT e di sicurezza a identificare gli endpoint vulnerabili e a dare priorità alle attività di correzione in base alla gravità e al contesto del dispositivo. I dati sulle vulnerabilità possono essere facilmente collegati agli endpoint che richiedono attenzione, invece di trattare ogni CVE come se avesse la stessa priorità operativa.
