När säkerhetsteam pratar om sårbarheter och patchhantering dyker två termer upp nästan överallt: CVE och CVSS. De används ofta tillsammans och spelar båda unika roller i att bedöma och hantera sårbarheter.
En CVE identifierar en allmänt känd cybersäkerhetssårbarhet, medan CVSS beskriver hur allvarlig den är. Den ena ger sårbarheten ett vanligt namn, medan den andra ger team ett strukturerat sätt att förstå dess potentiella inverkan.
I den här artikeln ska vi utforska skillnaden mellan CVE och CVSS, vad de båda gör och varför det är viktigt att utvärdera båda när det gäller att stänga sårbarheter.
Vad är en CVE?
Vanliga sårbarheter och exposures (CVE) är ett standardiserat system för att identifiera och katalogisera offentligt avslöjade cybersäkerhetssårbarheter. Varje publicerad CVE-post har ett unikt CVE-ID, vilket ger leverantörer, forskare, säkerhetsverktyg och SecOps-team ett konsekvent sätt att referera till samma sårbarhet.
CVE-nummermyndigheten (CNA) tilldelar regelbundet CVE-ID:n och publicerar motsvarande CVE-poster. Ett CVE-ID följer formatet CVE-YYYY-NNNN. Året återspeglar vanligtvis när CVE-ID:t tilldelades eller när sårbarheten först offentliggjordes, medan den sista delen är en unik sekvens som innehåller minst fyra siffror.
Varför är CVE viktigt?
CVE:s primära roll är standardiserad identifiering. Ett CVE-ID ger leverantörer, forskare, säkerhetsverktyg och försvarare en gemensam referens för att diskutera samma sårbarhet över specifika system, plattformar eller tekniker.
Exempel på en CVE:
CVE-2021-44228 (Log4Shell): En kritisk sårbarhet i berörda versioner av Apache Log4j2. Den gjorde det möjligt för en angripare som kontrollerade loggad inmatning att utlösa fjärrkodkörning under sårbara konfigurationer.
Vad är CVSS?
Common Vulnerability Scoring System (CVSS) är ett ramverk för att klassificera, betygsätta och kommunicera den tekniska allvarlighetsgraden av programvarusårbarheter. Medan CVE identifierar sårbarheten, utvärderar CVSS egenskaper som de villkor som krävs för utnyttjande och den potentiella påverkan på konfidentialitet, integritet och tillgänglighet.
CVSS producerar en numerisk poäng från 0.0 till 10.0 som kan mappas till kvalitativa betyg från Ingen till Kritisk. Poängen ger en konsekvent signal om allvarlighetsgrad, men den bör inte behandlas som ett fullständigt mått på affärsrisk eller prioritet för åtgärd.
| CVSS -poäng | Associerad svårighetsgrad |
|---|---|
| 0.0 | Ingen |
| 0.1 - 3.9 | Låg |
| 4.0 - 6.9 | Medium |
| 7.0 - 8.9 | Hög |
| 9.0 - 10.0 | Kritisk |
Högre poäng indikerar större teknisk allvarlighetsgrad, men prioritet för sanering bör också ta hänsyn till faktorer som exponering, aktiv exploatering, tillgångarnas betydelse och tillgängliga riskreducerande åtgärder.
Varför är CVSS viktigt?
CVSS ger säkerhetsteam ett standardiserat sätt att jämföra den tekniska allvarlighetsgraden och egenskaperna hos programvarusårbarheter. Detta gör det användbart för initial bedömning, särskilt när team granskar ett stort antal fynd.
CVSS bör dock vara en input i prioriteringen snarare än den enda. Tillgångsexponering, affärsmässig betydelse, aktiv exploatering och tillgänglighet för åtgärdande kan påverka vilken sårbarhet som förtjänar uppmärksamhet först.
CVE vs CVSS: Viktiga skillnader
Även om CVE och CVSS är nära besläktade är de inte utbytbara. CVE talar om för team vilken sårbarhet de har att göra med. CVSS hjälper dem att förstå hur allvarlig den sårbarheten kan vara. Här är en kort översikt över hur de skiljer sig åt:
| Faktor | CVE | CvSs |
|---|---|---|
| Syfte | Identifierar och katalogiserar allmänt kända sårbarheter | Beskriver och kommunicerar sårbarhetens allvarlighetsgrad |
| Funktion | Ger en sårbarhet ett unikt ID | Ger en sårbarhet en numerisk allvarlighetsgrad |
| Viktiga mätvärden som använts | Leverantörsnamn, berörda produktversioner, beskrivning och publiceringsdatum | Attackvektor, komplexitet, nödvändiga behörigheter, användarinteraktion och påverkan |
| Underhållen av | MITRE Corporation via National Cybersecurity Federally Funded Research and Development Center (FFRDC) | Forum för incidenthanterings- och säkerhetsteam (FIRST) |
| Användningsfall | Spåra, referera till, söka och kartlägga sårbarheter i olika verktyg och rekommendationer | Stödja sårbarhetsbedömning och jämföra allvarlighetsgrader |
| Fokus | Sårbarhetsidentifiering | Teknisk svårighetsgrad |
| Exempelvis | CVE-2021-44228 | CVSS 10.0 eller CVSS 9.8 |
Begränsningar med CVE och CVSS
CVE och CVSS är användbara, men ingen av dem berättar hela historien om sårbarhetshantering.
En CVE identifierar en sårbarhet, men den berättar inte om sårbarheten påverkar din miljö, om det drabbade systemet är exponerat eller om angripare aktivt utnyttjar den.
En användbar skillnad är att allvarlighetsgrad inte är detsamma som risk. CVSS beskriver de tekniska egenskaperna hos en sårbarhet. Faktisk åtgärdsprioritet beror också på om din organisation är påverkad, hur exponerad tillgången är, om utnyttjande sker och hur viktigt det drabbade systemet är.
Till exempel kan en kritisk sårbarhet i ett isolerat testsystem förtjäna mindre omedelbar uppmärksamhet än en sårbarhet med lägre allvarlighetsgrad som påverkar en exponerad, affärskritisk tillgång.
CVE svarar därför: ”Vilken sårbarhet är detta?” CVSS svarar: ”Hur tekniskt allvarlig är den?” Effektiv prioritering kräver att dessa signaler kombineras med kontexten i din miljö.
För att packa upp det
CVE och CVSS besvarar olika frågor. CVE ger säkerhetsteam en gemensam identifierare för en sårbarhet, medan CVSS tillhandahåller ett standardiserat sätt att beskriva dess tekniska allvarlighetsgrad. När de används tillsammans, och i kombination med tillgångsexponering, affärsvikt och hotkontext, ger de en starkare grund för sårbarhetsbedömning än endera signalen var för sig.
Veltar programvara för sårbarhetshantering använder CVE- och CVSS-information tillsammans med ytterligare parametrar som kända utnyttjade sårbarheter (KEV) och Exploit Prediction Scoring System (EPSS) som indata för enhetsriskbedömning. Detta hjälper IT- och säkerhetsteam att identifiera sårbara slutpunkter och prioritera åtgärd med hjälp av allvarlighetsgrad och enhetskontext. Sårbarhetsdata kan enkelt kopplas till de slutpunkter som kräver uppmärksamhet, istället för att behandla varje CVE som en lika operativ prioritet.
