Wanneer beveiligingsteams het hebben over kwetsbaarheden en patchbeheer, duiken twee termen bijna overal op: CVE en CVSS. Ze worden vaak samen gebruikt en spelen beide een unieke rol bij het beoordelen en beheren van kwetsbaarheden.
Een CVE identificeert een publiekelijk bekende cyberbeveiligingskwetsbaarheid, terwijl een CVSS beschrijft hoe ernstig deze is. De ene geeft de kwetsbaarheid een gangbare naam, terwijl de andere teams een gestructureerde manier biedt om de potentiële impact ervan te begrijpen.
In dit artikel onderzoeken we het verschil tussen CVE en CVSS, wat ze allebei doen en waarom het belangrijk is om beide te evalueren bij het dichten van beveiligingslekken.
Wat is een CVE?
Common Vulnerabilities and Exposures (CVE) is een gestandaardiseerd systeem voor het identificeren en catalogiseren van openbaar gemaakte cyberbeveiligingslekken. Elk gepubliceerd CVE-record heeft een unieke CVE-ID, waardoor leveranciers, onderzoekers, beveiligingstools en SecOps-teams op een consistente manier naar hetzelfde lek kunnen verwijzen.
De CVE Numbering Authority (CNA) kent regelmatig CVE-ID's toe en publiceert de bijbehorende CVE-records. Een CVE-ID heeft de volgende indeling: CVE-JJJJ-NNNN. Het jaartal geeft over het algemeen aan wanneer de CVE-ID is toegekend of wanneer de kwetsbaarheid voor het eerst publiekelijk bekend is gemaakt, terwijl het laatste deel een unieke reeks van ten minste vier cijfers is.
Waarom is CVE belangrijk?
De belangrijkste rol van CVE is gestandaardiseerde identificatie. Een CVE-ID biedt leveranciers, onderzoekers, beveiligingstools en verdedigers een gemeenschappelijke referentie om dezelfde kwetsbaarheid te bespreken in specifieke systemen, platforms of technologieën.
Voorbeeld van een CVE:
CVE-2021-44228 (Log4Shell): Een kritieke kwetsbaarheid in getroffen versies van Apache Log4j2. Deze kwetsbaarheid stelde een aanvaller die de gelogde invoer controleerde in staat om op afstand code uit te voeren onder kwetsbare configuraties.
Wat is CVSS?
Het Common Vulnerability Scoring System (CVSS) is een raamwerk voor het classificeren, beoordelen en communiceren van de technische ernst van softwarekwetsbaarheden. Waar CVE de kwetsbaarheid identificeert, evalueert CVSS kenmerken zoals de voorwaarden die nodig zijn voor exploitatie en de potentiële impact op vertrouwelijkheid, integriteit en beschikbaarheid.
CVSS genereert een numerieke score van 0.0 tot 10.0 die kan worden gekoppeld aan kwalitatieve beoordelingen variërend van Geen tot Kritiek. De score geeft een consistent signaal van de ernst van het probleem, maar mag niet worden beschouwd als een volledige maatstaf voor bedrijfsrisico's of de prioriteit van herstelmaatregelen.
| CVSS-score | Geassocieerde ernst |
|---|---|
| 0.0 | Geen |
| 0.1 - 3.9 | Laag |
| 4.0 - 6.9 | Medium |
| 7.0 - 8.9 | Hoge |
| 9.0 - 10.0 | kritisch |
Hogere scores duiden op een grotere technische ernst, maar bij de prioriteitsbepaling voor sanering moet ook rekening worden gehouden met factoren zoals blootstelling, actieve exploitatie, belang van de activa en beschikbare mitigatiemaatregelen.
Waarom is CVSS belangrijk?
CVSS biedt beveiligingsteams een gestandaardiseerde manier om de technische ernst en kenmerken van softwarekwetsbaarheden te vergelijken. Dit maakt het nuttig voor een eerste beoordeling, vooral wanneer teams grote aantallen bevindingen moeten evalueren.
CVSS zou echter slechts één factor moeten zijn bij de prioritering, en niet de enige. Blootstelling van activa, bedrijfsbelang, actieve exploitatie en de beschikbaarheid van oplossingen kunnen bepalen welke kwetsbaarheid als eerste aandacht verdient.
CVE versus CVSS: Belangrijkste verschillen
Hoewel CVE en CVSS nauw verwant zijn, zijn ze niet uitwisselbaar. CVE vertelt teams met welke kwetsbaarheid ze te maken hebben. CVSS helpt hen te begrijpen hoe ernstig die kwetsbaarheid kan zijn. Hier volgt een kort overzicht van de verschillen:
| Factor | CVE | CVSS |
|---|---|---|
| Doel | Identificeert en catalogiseert publiekelijk bekende kwetsbaarheden. | Beschrijft en communiceert de ernst van de kwetsbaarheid |
| Functie | Geeft een kwetsbaarheid een unieke ID. | Geeft een kwetsbaarheid een numerieke ernstscore. |
| Belangrijkste gebruikte meetgegevens | Naam van de leverancier, getroffen productversies, beschrijving en publicatiedatums | Aanvalsvector, complexiteit, vereiste privileges, gebruikersinteractie en impact |
| Onderhouden door | MITRE Corporation via het National Cybersecurity Federally Funded Research and Development Center (FFRDC) | Forum van incidentrespons- en beveiligingsteams (FIRST) |
| Gebruik geval | Het traceren, raadplegen, doorzoeken en in kaart brengen van kwetsbaarheden in verschillende tools en adviezen. | Ondersteuning bij het prioriteren van kwetsbaarheden en het vergelijken van de ernst ervan. |
| Focus | Identificatie van kwetsbaarheden | Technische ernst |
| Voorbeeld | CVE-2021-44228 | CVSS 10.0 of CVSS 9.8 |
Beperkingen van CVE en CVSS
CVE en CVSS zijn nuttig, maar geen van beide geeft een volledig beeld van kwetsbaarheidsbeheer.
Een CVE identificeert een kwetsbaarheid, maar vertelt u niet of die kwetsbaarheid uw omgeving treft, of het getroffen systeem openbaar is, of dat aanvallers er actief misbruik van maken.
Een nuttig onderscheid is dat ernst niet hetzelfde is als risico. CVSS beschrijft de technische kenmerken van een kwetsbaarheid. De daadwerkelijke prioriteit voor herstel hangt ook af van of uw organisatie getroffen is, hoe kwetsbaar het systeem is, of er sprake is van misbruik en hoe belangrijk het getroffen systeem is.
Een kritieke kwetsbaarheid op een geïsoleerd testsysteem verdient bijvoorbeeld mogelijk minder onmiddellijke aandacht dan een minder ernstige kwetsbaarheid die een blootgesteld, bedrijfskritisch systeem treft.
CVE beantwoordt dus de vraag: "Om welke kwetsbaarheid gaat het?" CVSS beantwoordt de vraag: "Hoe ernstig is de technische aard ervan?" Effectieve prioritering vereist dat deze signalen worden gecombineerd met de context van uw omgeving.
Om het af te ronden
CVE en CVSS beantwoorden verschillende vragen. CVE geeft beveiligingsteams een gemeenschappelijke identificatiecode voor een kwetsbaarheid, terwijl CVSS een gestandaardiseerde manier biedt om de technische ernst ervan te beschrijven. Wanneer ze samen worden gebruikt, en gecombineerd met de blootstelling van bedrijfsmiddelen, het zakelijke belang en de dreigingscontext, bieden ze een sterkere basis voor het prioriteren van kwetsbaarheden dan elk signaal afzonderlijk.
Veltar software voor kwetsbaarheidsbeheer Het systeem gebruikt CVE- en CVSS-informatie, samen met aanvullende parameters zoals Known Exploited Vulnerabilities (KEV) en Exploit Prediction Scoring System (EPSS), als input voor het scoren van apparaatrisico's. Dit helpt IT- en beveiligingsteams bij het identificeren van kwetsbare endpoints en het prioriteren van herstelmaatregelen op basis van ernst en apparaatcontext. Kwetsbaarheidsgegevens kunnen eenvoudig worden gekoppeld aan de endpoints die aandacht vereisen, in plaats van elke CVE als een gelijke operationele prioriteit te behandelen.
