ما هو CVSS وكيف يحدد شدة الثغرات الأمنية؟
الكاتب: فريق تحرير Domeny.ForSale تاريخ النشر
باختصار: CVSS (Common Vulnerability Scoring System) معيار دولي مفتوح لتقييم الشدة التقنية للثغرات الأمنية في البرمجيات والأنظمة. تساعد الدرجة، التي تتراوح من 0 إلى 10، على مقارنة الثغرات، لكنها لا تحدد وحدها مستوى المخاطر على شركة بعينها. ولترتيب أولويات المعالجة، يجب أيضًا التحقق من أمور منها مدى إمكانية الوصول إلى النظام المعرّض للخطر، وأهمية البيانات التي يعالجها، والمعلومات المتاحة عن الاستغلال الفعلي للثغرة.
ما الذي يقيسه CVSS، وما الذي لا يوضحه؟
يصف CVSS شروط استغلال الثغرة والنتائج المحتملة لنجاح الهجوم. ويأخذ في الحسبان، من بين أمور أخرى، طريقة الوصول إلى المكوّن المصاب بالثغرة، والصلاحيات المطلوبة، وما إذا كان الاستغلال يتطلب تفاعل المستخدم. كما يقيّم الأثر على السرية وسلامة المعلومات وتوافرها، أي حمايتها من الكشف عنها، ومن التعديل غير المصرّح به، ومن فقدان إمكانية الوصول إليها، على الترتيب.
تتولى تطوير المعيار وصيانته منظمة FIRST، التي تضم فرق الاستجابة للحوادث الأمنية. وتسهّل الطريقة الموحدة لوصف الثغرات على مطوّري البرمجيات ومسؤولي الأنظمة والمحللين مقارنة التقييمات. لكن ذلك لا يعني أن كل ثغرة تحمل الدرجة نفسها تتطلب الاستجابة نفسها.
شدة الثغرة ليست هي مستوى المخاطر. فالتقييم التقني يصف خصائص الثغرة، بينما تعتمد المخاطر أيضًا على ما إذا كانت الشركة تستخدم الوظيفة المصابة بالثغرة، ومن يستطيع الوصول إليها، وما قد يترتب على سيطرة مهاجم على النظام.
كيف تقرأ مقياس الدرجات من 0 إلى 10؟
يستخدم CVSS v3.1 وv4.0 نطاقات التصنيف التالية:
| درجة CVSS | مستوى الشدة |
|---|---|
| 0,0 | معدوم |
| 0,1–3,9 | منخفض |
| 4,0–6,9 | متوسط |
| 7,0–8,9 | مرتفع |
| 9,0–10,0 | حرج |
تعني الدرجة 9,8 أن شدة الثغرة حرجة، لا أن احتمال وقوع هجوم يبلغ 98 بالمئة. وهي لا تحدد كذلك الوقت المتبقي حتى حدوث اختراق، ولا موعدًا مؤكدًا لاستغلال الثغرة.
ولا ينبغي التعامل مع المقياس بوصفه مضاعفًا مباشرًا للخسائر: فالثغرة التي تحصل على 8,0 لا تتسبب بالضرورة في أضرار تعادل ضعف أضرار ثغرة درجتها 4,0. فالرقم ناتج عن قواعد الحساب في المعيار، وليس تقديرًا لقيمة العواقب على أعمال الشركة.
أهمية الإصدار ومتجه التقييم ونوعه
من المفيد البحث بجانب الدرجة عن رقم إصدار CVSS وعن متجه التقييم، وهو تمثيل نصي لقيم المقاييس الفردية. فعلى سبيل المثال، تشير البادئة CVSS:3.1/ إلى إصدار المعيار، بينما يعني الجزء AV:N في هذا المتجه أن الهجوم يمكن تنفيذه عبر الشبكة. ويتيح السجل الكامل معرفة كيفية احتساب الدرجة النهائية.
يصف التقييم الأساسي الخصائص الجوهرية للثغرة. ولا ينبغي افتراض أنه يراعي إعدادات بنيتك التحتية أو أحدث المعلومات عن الهجمات. ويتوقف ما تعكسه الدرجة على مجموعات المقاييس المستخدمة:
- CVSS v3.1 يميّز بين المقاييس الأساسية والزمنية والبيئية. وتراعي المقاييس الزمنية، من بين أمور أخرى، مدى نضج وسائل استغلال الثغرة المتاحة وتوافر حل لمعالجتها.
- CVSS v4.0 يميّز بين المقاييس الأساسية ومقاييس التهديد والمقاييس البيئية والتكميلية. وتتعلق مقاييس التهديد بمدى نضج استغلال الثغرة، بينما تتيح المقاييس البيئية مراعاة ظروف المؤسسة المعنية. أما المقاييس التكميلية فتوفّر سياقًا إضافيًا، لكنها لا تغيّر الدرجة.
لا ينبغي مقارنة درجات صادرة عن إصدارات مختلفة من المعيار دون التحقق من الافتراضات التي تستند إليها. وقد تنشأ الفروق بين تقييم الجهة المصنّعة والتقييم المسجل في قاعدة بيانات للثغرات من اختلاف تفسير شروط الهجوم أيضًا. وفي هذه الحالة، تفيد مقارنة متجهات التقييم ومبرراته، لا الأرقام وحدها.
كيف تستخدم CVSS لترتيب أولويات معالجة الثغرات؟
تخيّل وجود ثغرتين. حصلت الأولى على درجة 9,8، وهي تصيب مكوّنًا في بيئة اختبار معزولة. أما الثانية فحصلت على 8,1، لكنها موجودة في نظام متاح للعامة يخدم العملاء، وتؤكد تنبيهات موثوقة أنها تُستغل فعليًا.
قد تتطلب الثغرة الثانية استجابة أسرع رغم درجتها الأقل. وهذا لا ينتقص من CVSS، بل يوضح فقط أن التقييم التقني أحد عناصر القرار. كذلك لا ينبغي افتراض أن البيئة المعزولة آمنة تلقائيًا، بل يجب التحقق من مسارات الوصول الفعلية إليها.
عند تقييم بلاغ محدد، اتبع هذه الخطوات المختصرة:
- تأكد من انطباق الثغرة: تحقّق من المنتج وإصداره وإعداداته والشروط الواردة في تنبيه الجهة المصنّعة.
- راجع التقييم: اطّلع على إصدار CVSS ومتجه التقييم، وتحقّق مما إذا كانت الدرجة أساسية أم تتضمن مقاييس إضافية.
- قيّم مدى الانكشاف: حدّد ما إذا كانت الوظيفة المصابة بالثغرة متاحة عبر الإنترنت أو الشبكة الداخلية أو محليًا فقط.
- تحقّق من سياق التهديد: ابحث عن تأكيدات لهجمات فعلية وعن وسائل استغلال الثغرة المتاحة.
- حدّد الإجراء: خطّط للتحديث، وإن تعذّر تنفيذه فورًا، فانظر في تقييد الوصول أو تعطيل الوظيفة المصابة بالثغرة وفق توصيات الجهة المصنّعة.
تأكّد من أحدث تقييم وتوصيات المعالجة بالرجوع إلى التنبيه الرسمي للجهة المصنّعة، ومن تعريفات المقاييس بالرجوع إلى وثائق FIRST. وعند ورود البلاغ التالي، دوّن بجانب درجة CVSS جملة واحدة تشرح أولوية المعالجة في بيئتك، مثل: «نظام متاح للعامة يحتوي على بيانات العملاء، وهجمات مؤكدة، والتحديث عاجل».
اقرأ أيضًا
