Când echipele de securitate vorbesc despre vulnerabilități și gestionarea patch-urilor, doi termeni apar aproape peste tot: CVE și CVSS. Adesea folosiți împreună, ambii joacă roluri unice în evaluarea și gestionarea vulnerabilităților.
Un CVE identifică o vulnerabilitate de securitate cibernetică cunoscută publicului, în timp ce CVSS descrie cât de gravă este. Unul oferă vulnerabilității un nume comun, în timp ce celălalt oferă echipelor o modalitate structurată de a înțelege impactul său potențial.
În acest articol, vom explora diferența dintre CVE și CVSS, ce fac ambele și de ce este important să le evaluăm pe amândouă atunci când vine vorba de închiderea vulnerabilităților.
Ce este un CVE?
Vulnerabilități și expuneri comune (CVE) este un sistem standardizat pentru identificarea și catalogarea vulnerabilităților de securitate cibernetică dezvăluite public. Fiecare înregistrare CVE publicată are un ID CVE unic, oferind furnizorilor, cercetătorilor, instrumentelor de securitate și echipelor SecOps o modalitate consistentă de a face referire la aceeași vulnerabilitate.
Autoritatea de Numerotare CVE (CNA) atribuie în mod regulat ID-uri CVE și publică înregistrările CVE corespunzătoare. Un ID CVE urmează formatul CVE-AAAA-NNNN. Anul reflectă, în general, momentul atribuirii ID-ului CVE sau momentul dezvăluirii publice a vulnerabilității, în timp ce porțiunea finală este o secvență unică care conține cel puțin patru cifre.
De ce este importantă CVE?
Rolul principal al CVE este identificarea standardizată. Un ID CVE oferă furnizorilor, cercetătorilor, instrumentelor de securitate și apărătorilor o referință comună pentru discutarea aceleiași vulnerabilități pe anumite sisteme, platforme sau tehnologii.
Exemplu de CVE:
CVE-2021-44228 (Log4Shell): O vulnerabilitate critică în versiunile afectate de Apache Log4j2. Aceasta permitea unui atacator care controla datele de intrare înregistrate în jurnal să declanșeze executarea de cod la distanță în configurații vulnerabile.
Ce este CVSS?
Sistemul comun de scorare a vulnerabilităților (CVSS) este un cadru pentru clasificarea, evaluarea și comunicarea severității tehnice a vulnerabilităților software. În timp ce CVE identifică vulnerabilitatea, CVSS evaluează caracteristici precum condițiile necesare pentru exploatare și impactul potențial asupra confidențialității, integrității și disponibilității.
CVSS produce un scor numeric de la 0.0 la 10.0, care poate fi asociat cu evaluări calitative, de la Niciunul la Critic. Scorul oferă un semnal de severitate consistent, dar nu ar trebui tratat ca o măsură completă a riscului de afaceri sau a priorității de remediere.
| Scor CVSS | Severitatea asociată |
|---|---|
| 0.0 | Nici unul |
| 0.1 - 3.9 | Scăzut |
| 4.0 - 6.9 | Mediu |
| 7.0 - 8.9 | Înalt |
| 9.0 - 10.0 | Critic |
Scorurile mai mari indică o severitate tehnică mai mare, dar prioritatea de remediere ar trebui să ia în considerare și factori precum expunerea, exploatarea activă, importanța activelor și măsurile de atenuare disponibile.
De ce este important CVSS?
CVSS oferă echipelor de securitate o modalitate standardizată de a compara severitatea tehnică și caracteristicile vulnerabilităților software. Acest lucru îl face util pentru triajul inițial, în special atunci când echipele analizează un număr mare de constatări.
Totuși, CVSS ar trebui să fie o singură contribuție la prioritizare, nu singura. Expunerea activelor, importanța afacerii, exploatarea activă și disponibilitatea remedierilor pot schimba vulnerabilitatea care merită atenție prima.
CVE vs CVSS: Diferențe cheie
Deși CVE și CVSS sunt strâns legate, acestea nu sunt interschimbabile. CVE le spune echipelor cu ce vulnerabilitate se confruntă. CVSS le ajută să înțeleagă cât de gravă poate fi acea vulnerabilitate. Iată o scurtă prezentare generală a modului în care diferă:
| Factor | CVE | CVSS |
|---|---|---|
| Scop | Identifică și cataloghează vulnerabilitățile cunoscute public | Descrie și comunică severitatea vulnerabilității |
| Funcţie | Oferă unei vulnerabilități un ID unic | Acordă unei vulnerabilități un scor numeric de severitate |
| Indicatori cheie utilizați | Numele furnizorului, versiunile produsului afectate, descrierea și datele de publicare | Vectorul de atac, complexitatea, privilegiile necesare, interacțiunea utilizatorului și impactul |
| Întreținută de | Corporația MITRE prin intermediul Centrului Național de Cercetare și Dezvoltare pentru Securitate Cibernetică, finanțat de guvernul federal (FFRDC) | Forumul Echipelor de Răspuns la Incidente și Securitate (FIRST) |
| Exemple | Urmărirea, referențierea, căutarea și maparea vulnerabilităților în cadrul instrumentelor și avizelor | Sprijinirea triajului vulnerabilităților și compararea severităților |
| Focus | Identificarea vulnerabilităților | Severitate tehnică |
| Exemplu | CVE-2021-44228 | CVSS 10.0 sau CVSS 9.8 |
Limitări ale CVE și CVSS
CVE și CVSS sunt utile, dar niciuna nu prezintă întreaga poveste a gestionării vulnerabilităților.
Un CVE identifică o vulnerabilitate, dar nu vă spune dacă acea vulnerabilitate afectează mediul dvs., dacă sistemul afectat este expus sau dacă atacatorii o exploatează în mod activ.
O distincție utilă este că severitatea nu este același lucru cu riscul. CVSS descrie caracteristicile tehnice ale unei vulnerabilități. Prioritatea reală de remediere depinde, de asemenea, de dacă organizația dumneavoastră este afectată, de cât de expus este activul, dacă există exploatare și de cât de important este sistemul afectat.
De exemplu, o vulnerabilitate critică pe un sistem de testare izolat poate necesita mai puțină atenție imediată decât o vulnerabilitate de severitate mai mică care afectează un activ expus, critic pentru afacere.
Prin urmare, CVE răspunde la întrebarea „Ce vulnerabilitate este aceasta?”. CVSS răspunde la întrebarea „Cât de gravă din punct de vedere tehnic este?”. O prioritizare eficientă necesită ca aceste semnale să fie combinate cu contextul mediului dumneavoastră.
Pentru a-l încheia
CVE și CVSS răspund la întrebări diferite. CVE oferă echipelor de securitate un identificator comun pentru o vulnerabilitate, în timp ce CVSS oferă o modalitate standardizată de a descrie severitatea tehnică a acesteia. Atunci când sunt utilizate împreună și combinate cu expunerea activelor, importanța afacerii și contextul amenințărilor, acestea oferă o bază mai solidă pentru trierea vulnerabilităților decât oricare dintre semnale separat.
Veltar software de gestionare a vulnerabilităților utilizează informații CVE și CVSS împreună cu parametri suplimentari, cum ar fi vulnerabilitățile exploatate cunoscute (KEV) și sistemul de scorare a predicției exploatărilor (EPSS) ca date de intrare pentru scorarea riscurilor dispozitivelor. Acest lucru ajută echipele IT și de securitate să identifice punctele de terminare vulnerabile și să prioritizeze remedierea folosind severitatea și contextul dispozitivului. Datele despre vulnerabilități pot fi conectate cu ușurință la punctele de terminare care necesită atenție, în loc să se trateze fiecare CVE ca o prioritate operațională egală.
