Когда команды специалистов по безопасности говорят об уязвимостях и управлении обновлениями, почти повсеместно встречаются два термина: CVE и CVSS. Часто используемые вместе, оба они играют уникальную роль в оценке и управлении уязвимостями.
CVE обозначает общеизвестную уязвимость в сфере кибербезопасности, а CVSS описывает степень её серьёзности. Один присваивает уязвимости общепринятое название, а другой предоставляет командам структурированный способ понять её потенциальное влияние.
В этой статье мы рассмотрим разницу между CVE и CVSS, что делают обе системы и почему важно оценивать обе при устранении уязвимостей.
Что такое CVE?
Common Vulnerabilities and Exposures (CVE) — это стандартизированная система для идентификации и каталогизации публично раскрытых уязвимостей в сфере кибербезопасности. Каждая опубликованная запись CVE имеет уникальный идентификатор CVE, что позволяет поставщикам, исследователям, инструментам безопасности и группам SecOps использовать единый способ для обозначения одной и той же уязвимости.
Управление по присвоению номеров CVE (CNA) регулярно присваивает идентификаторы CVE и публикует соответствующие записи CVE. Идентификатор CVE имеет формат CVE-YYYY-NNNN. Год обычно указывает на дату присвоения идентификатора CVE или на дату первого публичного раскрытия уязвимости, а последняя часть представляет собой уникальную последовательность, содержащую не менее четырех цифр.
Почему CVE важно?
Основная роль CVE заключается в стандартизированной идентификации. Идентификатор CVE предоставляет поставщикам, исследователям, инструментам безопасности и специалистам по защите общий ориентир для обсуждения одной и той же уязвимости в конкретных системах, платформах или технологиях.
Пример уязвимости CVE:
CVE-2021-44228 (Log4Shell): критическая уязвимость в затронутых версиях Apache Log4j2. Она позволяла злоумышленнику, контролирующему регистрируемый ввод, запускать удаленное выполнение кода в уязвимых конфигурациях.
Что такое ЦВСС?
Система оценки уязвимостей Common Vulnerability Scoring System (CVSS) — это система классификации, оценки и передачи информации о технической серьезности уязвимостей программного обеспечения. В то время как CVE идентифицирует уязвимость, CVSS оценивает такие характеристики, как условия, необходимые для эксплуатации, и потенциальное влияние на конфиденциальность, целостность и доступность.
Система CVSS выдает числовой балл от 0.0 до 10.0, который можно сопоставить с качественными оценками, варьирующимися от «Нет» до «Критический». Этот балл обеспечивает последовательный сигнал серьезности, но его не следует рассматривать как полную меру бизнес-риска или приоритета устранения проблемы.
| CVSS оценка | Соответствующая тяжесть |
|---|---|
| 0.0 | Ничто |
| 0.1 – 3.9 | Низкий |
| 4.0 – 6.9 | Средний |
| 7.0 – 8.9 | Высокий |
| 9.0 – 10.0 | критический |
Более высокие баллы указывают на большую техническую серьезность, но при определении приоритетов в устранении загрязнения следует также учитывать такие факторы, как степень воздействия, активная эксплуатация, важность актива и доступные меры по смягчению последствий.
Почему CVSS важен?
CVSS предоставляет группам специалистов по безопасности стандартизированный способ сравнения технической серьезности и характеристик уязвимостей программного обеспечения. Это делает его полезным для первоначальной оценки, особенно когда группы анализируют большое количество обнаруженных уязвимостей.
Однако CVSS следует рассматривать лишь как один из факторов при определении приоритетов, а не как единственный. Степень уязвимости, важность для бизнеса, активное использование уязвимости и доступность средств ее устранения могут повлиять на то, какая уязвимость заслуживает первоочередного внимания.
CVE против CVSS: ключевые различия
Хотя CVE и CVSS тесно связаны, они не взаимозаменяемы. CVE указывает командам, с какой уязвимостью они имеют дело. CVSS помогает им понять, насколько серьезной может быть эта уязвимость. Вот краткий обзор их различий:
| фактор | CVE | CVSS |
|---|---|---|
| Цель | Выявляет и каталогизирует общеизвестные уязвимости. | Описывает и сообщает о степени серьезности уязвимости. |
| Функция | Присваивает уязвимости уникальный идентификатор. | Присваивает уязвимости числовой балл серьезности. |
| Используемые ключевые показатели | Название поставщика, затронутые версии продукта, описание и даты публикации. | Вектор атаки, сложность, необходимые привилегии, взаимодействие с пользователем и последствия. |
| Поддерживается | Корпорация MITRE через Национальный федеральный научно-исследовательский центр по кибербезопасности (FFRDC) | Форум групп реагирования на инциденты и обеспечения безопасности (FIRST) |
| Примеры использования | Отслеживание, сопоставление, поиск и отображение уязвимостей в различных инструментах и рекомендациях. | Поддержка сортировки уязвимостей и сравнения уровней серьезности. |
| Фокус | Идентификация уязвимостей | Техническая серьезность |
| Пример | CVE-2021-44228 | CVSS 10.0 или CVSS 9.8 |
Ограничения CVE и CVSS
CVE и CVSS полезны, но ни один из них не дает полного представления об управлении уязвимостями.
Уязвимость, обозначенная как CVE, указывает на наличие уязвимости, но не сообщает, затрагивает ли эта уязвимость вашу среду, является ли затронутая система уязвимой или активно ли злоумышленники её используют.
Важно понимать, что серьезность уязвимости не тождественна риску. CVSS описывает технические характеристики уязвимости. Фактический приоритет устранения также зависит от того, затронута ли ваша организация, насколько уязвим актив, происходит ли эксплуатация уязвимости и насколько важна затронутая система.
Например, критическая уязвимость в изолированной тестовой системе может требовать меньшего внимания, чем уязвимость меньшей степени серьезности, затрагивающая открытый, критически важный для бизнеса актив.
Таким образом, CVE отвечает на вопрос: «Что это за уязвимость?», а CVSS — «Насколько она серьезна с технической точки зрения?». Эффективная приоритизация требует сочетания этих сигналов с контекстом вашей среды.
Чтобы обернуть это
CVE и CVSS отвечают на разные вопросы. CVE предоставляет группам безопасности общий идентификатор уязвимости, в то время как CVSS обеспечивает стандартизированный способ описания ее технической серьезности. При совместном использовании, а также с учетом степени уязвимости, важности для бизнеса и контекста угрозы, они обеспечивают более надежную основу для оценки уязвимостей, чем любой из этих сигналов по отдельности.
Велтар программное обеспечение для управления уязвимостями Используется информация CVE и CVSS, а также дополнительные параметры, такие как известные эксплуатируемые уязвимости (KEV) и система оценки прогнозирования эксплойтов (EPSS), в качестве входных данных для оценки риска устройства. Это помогает ИТ-специалистам и командам безопасности выявлять уязвимые конечные точки и определять приоритеты устранения уязвимостей, используя данные о степени серьезности и контексте устройства. Данные об уязвимостях легко связать с конечными точками, требующими внимания, вместо того, чтобы рассматривать каждую CVE как одинаковую операционную приоритетную задачу.
