Kiedy zespoły ds. bezpieczeństwa rozmawiają o lukach w zabezpieczeniach i zarządzaniu poprawkami, niemal wszędzie pojawiają się dwa terminy: CVE i CVSS. Często używane razem, oba odgrywają unikalną rolę w ocenie i zarządzaniu lukami w zabezpieczeniach.
CVE identyfikuje publicznie znaną lukę w cyberbezpieczeństwie, natomiast CVSS opisuje jej powagę. Jeden nadaje luce wspólną nazwę, a drugi zapewnia zespołom ustrukturyzowany sposób zrozumienia jej potencjalnego wpływu.
W tym artykule przyjrzymy się różnicom między CVE i CVSS, do czego służą oba protokoły i dlaczego ważne jest, aby ocenić oba pod kątem zamykania luk w zabezpieczeniach.
Czym jest CVE?
Common Vulnerabilities and Exposures (CVE) to ustandaryzowany system identyfikacji i katalogowania publicznie ujawnionych luk w zabezpieczeniach cyberbezpieczeństwa. Każdy opublikowany rekord CVE ma unikalny identyfikator CVE, co zapewnia dostawcom, badaczom, narzędziom bezpieczeństwa i zespołom SecOps spójny sposób odwoływania się do tej samej luki.
Urząd Numeracji CVE (CNA) regularnie przydziela identyfikatory CVE i publikuje odpowiadające im rekordy CVE. Identyfikator CVE ma format CVE-RRRR-NNNN. Rok zazwyczaj odzwierciedla datę nadania identyfikatora CVE lub datę pierwszego publicznego ujawnienia luki w zabezpieczeniach, a ostatnia część to unikatowy ciąg zawierający co najmniej cztery cyfry.
Dlaczego CVE jest ważne?
Podstawową rolą CVE jest standaryzacja identyfikacji. Identyfikator CVE zapewnia dostawcom, badaczom, narzędziom bezpieczeństwa i obrońcom wspólny punkt odniesienia do omawiania tej samej luki w zabezpieczeniach w określonych systemach, platformach lub technologiach.
Przykład CVE:
CVE-2021-44228 (Log4Shell): Krytyczna luka w zabezpieczeniach w wersjach Apache Log4j2, których dotyczy luka. Umożliwiała atakującemu, który kontrolował rejestrowane dane wejściowe, zdalne wykonanie kodu w podatnych konfiguracjach.
Czym jest CVSS?
Common Vulnerability Scoring System (CVSS) to platforma służąca do klasyfikowania, oceniania i informowania o stopniu zagrożenia technicznego luk w zabezpieczeniach oprogramowania. Podczas gdy CVE identyfikuje lukę, CVSS ocenia takie cechy, jak warunki wymagane do jej wykorzystania oraz potencjalny wpływ na poufność, integralność i dostępność.
CVSS generuje wynik liczbowy od 0.0 do 10.0, który można odwzorować na oceny jakościowe od „Brak” do „Krytyczny”. Wynik ten zapewnia spójny sygnał istotności, ale nie należy go traktować jako pełnej miary ryzyka biznesowego ani priorytetu działań naprawczych.
| Wynik CVSS | Powiązana ciężkość |
|---|---|
| 0.0 | żaden |
| 0.1 - 3.9 | Niski |
| 4.0 - 6.9 | Średni |
| 7.0 - 8.9 | Wysoki |
| 9.0 - 10.0 | Krytyczny |
Wyższe wyniki wskazują na większą powagę techniczną, ale priorytet działań naprawczych powinien również uwzględniać takie czynniki, jak narażenie, aktywna eksploatacja, znaczenie aktywów i dostępne środki zaradcze.
Dlaczego CVSS jest ważny?
CVSS oferuje zespołom ds. bezpieczeństwa ujednolicony sposób porównywania stopnia zaawansowania technicznego i charakterystyki luk w zabezpieczeniach oprogramowania. Dzięki temu jest przydatny do wstępnej selekcji, zwłaszcza gdy zespoły analizują dużą liczbę ustaleń.
Jednak CVSS powinien być jednym z czynników branych pod uwagę przy ustalaniu priorytetów, a nie jedynym. Narażenie zasobów, znaczenie biznesowe, aktywne wykorzystanie i dostępność środków zaradczych mogą decydować o tym, która luka w zabezpieczeniach zasługuje na uwagę w pierwszej kolejności.
CVE kontra CVSS: kluczowe różnice
Chociaż CVE i CVSS są ze sobą ściśle powiązane, nie można ich stosować zamiennie. CVE informuje zespoły, z jaką luką mają do czynienia. CVSS pomaga im zrozumieć, jak poważna może być ta luka. Oto krótki przegląd różnic:
| Czynnik | CVE | CVSS |
|---|---|---|
| Cel | Identyfikuje i kataloguje publicznie znane luki w zabezpieczeniach | Opisuje i komunikuje stopień zagrożenia podatnością |
| Funkcjonować | Nadaje podatności unikalny identyfikator | Nadaje podatności liczbowy wynik ważności |
| Kluczowe wskaźniki użyte | Nazwa dostawcy, wersje produktu, których dotyczy problem, opis i daty publikacji | Wektor ataku, złożoność, wymagane uprawnienia, interakcja użytkownika i wpływ |
| Utrzymywane przez | MITRE Corporation za pośrednictwem Narodowego Centrum Badań i Rozwoju w Dziedzinie Cyberbezpieczeństwa Finansowanego Federalnie (FFRDC) | Forum Zespołów Reagowania na Incydenty i Bezpieczeństwa (FIRST) |
| Przypadek użycia | Śledzenie, odwoływanie się, wyszukiwanie i mapowanie luk w zabezpieczeniach w różnych narzędziach i poradach | Wspieranie triażu podatności i porównywanie stopnia zagrożenia |
| Skupiać | Identyfikacja podatności | Surowość techniczna |
| Przykład | CVE-2021-44228 | CVSS 10.0 lub CVSS 9.8 |
Ograniczenia CVE i CVSS
CVE i CVSS są przydatne, ale żadne z nich nie przedstawia pełnego obrazu zarządzania lukami w zabezpieczeniach.
CVE identyfikuje lukę w zabezpieczeniach, ale nie informuje, czy luka ta dotyczy danego środowiska, czy system, którego dotyczy luka, jest narażony na atak, ani czy atakujący aktywnie ją wykorzystują.
Przydatnym rozróżnieniem jest to, że dotkliwość nie jest tym samym, co ryzyko. CVSS opisuje techniczne cechy podatności. Rzeczywisty priorytet działań naprawczych zależy również od tego, czy dana organizacja jest narażona na atak, jak bardzo dany zasób jest narażony, czy dochodzi do eksploatacji zasobów oraz jak ważny jest system, którego dotyczy problem.
Na przykład krytyczna luka w zabezpieczeniach odizolowanego systemu testowego może wymagać mniej natychmiastowej uwagi niż luka o mniejszym znaczeniu, która dotyczy narażonego, krytycznego dla przedsiębiorstwa zasobu.
CVE odpowiada zatem na pytanie: „Jaka to luka?”. CVSS natomiast na pytanie: „Jak poważna ona jest pod względem technicznym?”. Skuteczne ustalanie priorytetów wymaga, aby sygnały te były powiązane z kontekstem danego środowiska.
Podsumowując
CVE i CVSS odpowiadają na różne pytania. CVE zapewnia zespołom ds. bezpieczeństwa wspólny identyfikator luki w zabezpieczeniach, podczas gdy CVSS oferuje ustandaryzowany sposób opisywania jej istotności technicznej. Używane razem, w połączeniu z ekspozycją zasobów, znaczeniem biznesowym i kontekstem zagrożenia, stanowią solidniejszą podstawę do selekcji luk w zabezpieczeniach niż każdy z tych sygnałów osobno.
Weltar oprogramowanie do zarządzania lukami w zabezpieczeniach Wykorzystuje informacje CVE i CVSS wraz z dodatkowymi parametrami, takimi jak znane luki w zabezpieczeniach (KEV) i system oceny przewidywanych luk (EPSS), jako dane wejściowe do oceny ryzyka urządzenia. Pomaga to zespołom IT i bezpieczeństwa identyfikować podatne punkty końcowe i ustalać priorytety działań naprawczych na podstawie wagi i kontekstu urządzenia. Dane o lukach można łatwo powiązać z punktami końcowymi wymagającymi uwagi, zamiast traktować każdy CVE jako równorzędny priorytet operacyjny.
