Kibernetinio saugumo komandos kiekvieną mėnesį tvarko tūkstančius pažeidžiamumų, todėl prioritetų nustatymas, kuriuos iš jų taisyti pirmiausia, gali būti sudėtingas; būtent čia ir yra... CVSS balas vaidina gyvybiškai svarbų vaidmenį. Bendra pažeidžiamumo vertinimo sistema (CVSS) standardapibrėžia, kaip vertinama rizika, todėl CVSS balas nuoseklus visuose projektuose. Be to, naudojant CVSS skaičiuoklė arba CVSS balų skaičiuoklėSaugumo komandos gali greitai sudėtingus pažeidžiamumų duomenis paversti aiškiais, palyginamais rezultatais, kurie padeda imtis išmanesnių ir greitesnių taisomųjų veiksmų.
Kas yra CVSS balas ir kodėl jis svarbus?
Geriausios CVSS balas yra visame pasaulyje pripažinta standard sukurta FIRST.org įvertinti saugumo pažeidžiamumų rimtumą.
Taškai svyruoja nuo 0 į 10, kur didesni skaičiai rodo kritiškesnius trūkumus:
| CVSS balas | Sunkumas |
|---|---|
| 0.0 | Nėra |
| 0.1-3.9 | žemas |
| 4.0-6.9 | vidutinis |
| 7.0-8.9 | aukštas |
| 9.0-10.0 | kritinis |
„DevSecOps“ komandoms šie skaičiai padeda nustatyti taisomųjų veiksmų prioritetus. Pavyzdžiui, pažeidžiamumas, kurio CVSS įvertinimas yra 9.8, gali reikalauti nedelsiant imtis veiksmų, o pažeidžiamumas, kurio CVSS įvertinimas yra 3.5, gali palaukti kito priežiūros ciklo.
Nors CVSS įvertina galimą žalą, kurią gali padaryti trūkumas, ji nenurodo, ar užpuolikai jį išnaudoja realioje aplinkoje. Šio skirtumo supratimas yra būtinas norint nustatyti realią riziką pagal prioritetus.
Kaip veikia CVSS balai
Praktiškai CVSS vertinimo sistema naudoja tris metrikų grupes, skirtas skirtingiems pažeidžiamumo aspektams įvertinti. Todėl kiekviena grupė apibrėžia, kaip problema elgiasi – nuo jos išnaudojimo galimybių iki galimo poveikio sistemoms ir duomenims. Be to, patikima CVSS vertinimo skaičiuoklė leidžia šį procesą kartoti ir skaidriai nustatyti. Dėl to saugumo specialistai gali aiškiau informuoti apie rizikos rimtumą ir atitinkamai išlaikyti nuoseklų prioritetų nustatymą visose komandose.
Baziniai rodikliai:
Tai apibūdina pažeidžiamumo vidines savybes, kurios išlieka pastovios laikui bėgant ir aplinkoje.
Pavyzdžiai apima:- Atakos vektorius (AV): Ar ataka gali būti vykdoma nuotoliniu būdu, ar tik lokaliai?
- Atakos sudėtingumas (AC): Kaip lengva tuo pasinaudoti?
- Reikalingos teisės (PR): Ar užpuolikui reikia išankstinės prieigos?
- Vartotojo sąveika (UI): Ar vartotojui reikia ką nors spustelėti arba atidaryti?
- Poveikis (CŽV): Kaip tai veikia konfidencialumą, vientisumą ir prieinamumą.
Laiko metrika:
Jie koreguoja balą pagal realias sąlygas, tokias kaip:- Išnaudojimo kodo branda: Ar yra viešai prieinamas išnaudojimo kodas?
- Korekcinis lygis: Ar jau išleistas pataisymas ar pataisymas?
- Ataskaitos patikimumas: Kiek patikima yra pažeidžiamumo ataskaita?
Aplinkosaugos metrika:
Jie pritaiko balą prie konkrečios jūsų organizacijos konfigūracijos, pavyzdžiui, ar pažeidžiama sistema tvarko slaptus duomenis, ar yra už stiprios tinklo apsaugos.
Kiekvienas veiksnys prisideda prie galutinio balo per standardmodifikuota formulė, todėl CVSS tampa nuosekliu atskaitos tašku lyginant pažeidžiamumus skirtinguose produktuose ir ekosistemose.
CVSS skaičiuoklės naudojimas (žingsnis po žingsnio)
Jums nereikia rankiniu būdu atlikti formulių, galite naudoti internetines CVS balų skaičiuokles, pvz. PIRMASIS CVSS v4.0 skaičiuotuvas arba NVD CVSS skaičiuoklėŠie įrankiai supaprastina CVSS vertinimą ir užtikrina, kad jūsų CVSS skaičiuoklė pateiktų nuoseklius, palyginamus rezultatus skirtingose aplinkose.
Štai paprastas žingsnis:
- Pasirinkite CVSS versiją: Daugumoje šiandieninių patarimų naudojama CVSS v3.1 arba v4.0.
- Užpildykite pagrindinius rodiklius: Pasirinkite atakos vektoriaus, sudėtingumo, privilegijų ir poveikio parinktis.
- Pridėti laiko duomenis: Nurodykite, ar yra prieinamų spragų ar pataisymų.
- Koreguokite aplinkos veiksnius: Atsižvelkite į savo infrastruktūros jautrumą ar apšvitą.
- Apskaičiuoti: Įrankis akimirksniu grąžina balą nuo 0.0 iki 10.0.
Pavyzdys: dviejų CVSS balų palyginimas (9.8 ir 5.6)
Norėdami pamatyti, kaip CVSS balų skaičiuoklė veikia realiame gyvenime, palyginkime du pažeidžiamumus naudodami CVSS v3.1 metrikos.
1. Kritinis pažeidžiamumas: nuotolinis kodo vykdymas (CVSS 9.8)
| metrinis | Reikšmė | Paaiškinimas |
|---|---|---|
| „Attack Vector“ | tinklas | Galima išnaudoti nuotoliniu būdu |
| Atakos sudėtingumas | žemas | Nereikia jokių specialių sąlygų |
| Privalomos privilegijos | Nėra | Užpuolikui nereikia paskyros |
| Vartotojo sąveika | Nėra | Visiškai automatizuotas išnaudojimas |
| Konfidencialumo poveikis | aukštas | Atskleista jautri informacija |
| Vientisumo poveikis | aukštas | Duomenis galima modifikuoti |
| Prieinamumo poveikis | aukštas | Galimi paslaugų sutrikimai |
Šis pavyzdys iliustruoja, kaip CVSS skaičiuoklė kokybinius rodiklius paverčia kiekybiniais rezultatais, sustiprindama tikslaus CVSS vertinimo vertę atliekant saugumo vertinimus.
Apskaičiuotas CVSS balas: 5.6 (vidutinis)
Daugeliu atvejų saugumo komandos tvarkosi su vietinėmis privilegijų eskalavimo klaidomis planinių atnaujinimų metu, nes jos dažniausiai paveikia bendras sistemas ir retai reikalauja skubių taisymų.
Takeaway:
Nors abu trūkumai yra galiojantys CVE, CVSS balas aiškiai išskiria jų skubumą.
Bet atminkite, a 9.8 CVSS su mažas išnaudojamumas (EPSS 0.02) praktiškai gali būti mažiau pavojinga nei 5.6 CVSS tai yra būtis aktyviai eksploatuojami (EPSS 0.85).
Štai kodėl CVSS derinamas su EPSS ir pasiekiamumas užtikrina, kad išspręstumėte tai, kas iš tiesų svarbu.
CVSS balų skaičiuoklė praktikoje
A CVSS skaičiuoklė Tai leidžia rizikos vertinimą kartoti ir skaidriai įvertinti. Tai padeda informuoti netechninius suinteresuotuosius asmenis apie problemų rimtumą ir išlaikyti nuoseklų prioritetų nustatymą visose komandose.
Tačiau statiniai balai gali būti klaidinantys, jei vertinami tiesiogine prasme. Pavyzdžiui:
- Pažeidžiamumas su CVSS balas 9.8 gali turėti jokių aktyvių išnaudojimų laukinėje gamtoje.
- Kitas su CVSS balas 6.2 gali būti aktyviai nukreiptas užpuolikų.
Todėl vien tik skaičiuotuvu pasikliaujant galima sukurti akląsias zonas. Balas yra bazinis rodiklis, o ne realaus laiko rizikos rodiklis.
CVSS ir EPSS palyginimas. Kodėl statinių balų nepakanka?
O CVSS priemonės galimas sunkumas, EPSS (išnaudojimo prognozavimo vertinimo sistema) priemonės realaus pasaulio tikimybė.
EPSS naudoja mašininį mokymąsi ir grėsmių telemetriją, kad numatytų tikimybę, jog pažeidžiamumas bus išnaudotas per 30 dienų.
Sudėjus juos kartu, gaunamas daug aiškesnis vaizdas:
| CVSS balas | EPSS balas | Veikla |
|---|---|---|
| Aukšta (9.8) | Žemas (0.03) | Mažas išnaudojimo potencialas → Stebėti |
| Vidutinis (6.5) | Aukšta (0.85) | Didelis išnaudojimo potencialas → Nedelsiant ištaisykite |
| Kritinis (10.0) | Aukšta (0.9) | Veikite dabar – tiek griežtai, tiek išnaudotai |
Būtent taip šiuolaikinės platformos ir mėgsta Ksigeni sustiprinti pažeidžiamumų valdymą sujungiant CVSS sunkumas, EPSS išnaudojimo galimybėsir pasiekiamumo analizė sutelkti dėmesį į rizikas, kurios yra tiek sunkios, tiek išnaudojamos jūsų aplinkoje.
Daugiau nei skaičiai: išmanesnis rizikos prioritetizavimas
Geriausios CVSS vertinimo sistema išlieka kibernetinio saugumo kertiniu elementu; tačiau, jis niekada nebuvo skirtas veikti vienam. Iš tiesų, Tikrasis saugumo brandumas kyla iš viso konteksto supratimo, žinant, kurie pažeidžiamumai yra pasiekiami, išnaudojami ir iš tiesų svarbūs verslui.
„Xygeni“ tai dar labiau automatizuoja, automatizuodama procesą:
- CVSS duomenų įkėlimas iš jūsų įrankių arba patarimų.
- Praturtinant jį EPSS išnaudojimo galimybės, pasiekiamumas vykdymo metuir turto kritiškumas.
- Visko rodymas vieningoje erdvėje dashboard kad būtų atkreiptas dėmesys į tai, ką iš tikrųjų reikia taisyti.
Todėl šis kontekstu pagrįstas požiūris pažeidžiamumų valdymą iš paprasto skaičių žaidimo paverčia išmanesniu ir dinamiškesniu rizikos žvalgybos procesu.
Baigiamosios mintys
Apibendrinant galima teigti, kad CVSS padeda komandoms suprasti pažeidžiamumo rimtumą, o EPSS ir pasiekiamumas parodo, kurios problemos iš tiesų svarbios. Kartu jie padeda saugumo komandoms veikti užtikrintai ir pirmiausia išspręsti tinkamas problemas. Todėl pažeidžiamumų valdymas tampa greitesnis, lengvesnis ir efektyvesnis.
