Co to jest CVSS?
Autor: Redakcja Domeny.ForSale Opublikowano
W skrócie: CVSS (Common Vulnerability Scoring System) to otwarty, międzynarodowy standard oceny technicznej wagi podatności, czyli luk bezpieczeństwa w oprogramowaniu i systemach. Wynik od 0 do 10 pomaga porównywać podatności, ale sam nie określa ryzyka dla konkretnej firmy. Przy ustalaniu kolejności napraw trzeba dodatkowo sprawdzić m.in. dostępność zagrożonego systemu, znaczenie przetwarzanych danych i informacje o rzeczywistym wykorzystywaniu luki.
Co mierzy CVSS, a czego nie pokazuje?
CVSS opisuje warunki wykorzystania podatności oraz możliwe skutki udanego ataku. Uwzględnia między innymi sposób dotarcia do podatnego komponentu, wymagane uprawnienia i konieczność udziału użytkownika. Ocenia też wpływ na poufność, integralność i dostępność, czyli odpowiednio ochronę informacji przed ujawnieniem, nieuprawnioną zmianą oraz utratą dostępu.
Standard rozwija i utrzymuje FIRST, organizacja zrzeszająca zespoły reagowania na incydenty bezpieczeństwa. Ujednolicony sposób opisu ułatwia producentom oprogramowania, administratorom i analitykom porównywanie ocen. Nie oznacza jednak, że każda luka z takim samym wynikiem wymaga identycznej reakcji.
Waga podatności nie jest tym samym co ryzyko. Ocena techniczna mówi o właściwościach luki. Ryzyko zależy także od tego, czy firma używa podatnej funkcji, kto ma do niej dostęp oraz jakie konsekwencje miałoby przejęcie systemu.
Jak odczytywać skalę od 0 do 10?
W CVSS v3.1 i v4.0 stosuje się następujące przedziały jakościowe:
| Wynik CVSS | Poziom wagi |
|---|---|
| 0,0 | Brak |
| 0,1–3,9 | Niski |
| 4,0–6,9 | Średni |
| 7,0–8,9 | Wysoki |
| 9,0–10,0 | Krytyczny |
Wynik 9,8 oznacza krytyczną wagę podatności, a nie 98-procentowe prawdopodobieństwo ataku. Nie określa też czasu pozostałego do włamania ani terminu, w którym na pewno nastąpi wykorzystanie luki.
Nie należy również traktować skali jak prostego mnożnika strat: podatność oceniona na 8,0 nie musi powodować dwukrotnie większych szkód niż luka z wynikiem 4,0. Liczba jest wynikiem reguł obliczeniowych standardu, a nie wyceną konsekwencji biznesowych.
Wersja, wektor i rodzaj oceny mają znaczenie
Przy wyniku warto szukać numeru wersji CVSS oraz wektora, czyli tekstowego zapisu wartości poszczególnych metryk. Przykładowo prefiks CVSS:3.1/ wskazuje wersję standardu, a fragment AV:N w takim wektorze oznacza sieciowy wektor ataku. Pełny zapis pozwala sprawdzić, skąd wzięła się końcowa liczba.
Ocena bazowa opisuje zasadnicze właściwości podatności. Nie należy zakładać, że uwzględnia konfigurację własnej infrastruktury lub najnowsze informacje o atakach. Zakres wyniku zależy od użytych grup metryk:
- CVSS v3.1 rozróżnia metryki bazowe, czasowe i środowiskowe. Metryki czasowe uwzględniają m.in. dojrzałość dostępnych metod wykorzystania luki oraz dostępność rozwiązania naprawczego.
- CVSS v4.0 rozróżnia metryki bazowe, zagrożenia, środowiskowe i uzupełniające. Metryki zagrożenia dotyczą dojrzałości wykorzystania luki, a środowiskowe pozwalają uwzględnić warunki konkretnej organizacji. Metryki uzupełniające dostarczają dodatkowego kontekstu, lecz nie zmieniają wyniku.
Wyników z różnych wersji standardu nie należy porównywać bez sprawdzenia założeń. Rozbieżności między oceną producenta a oceną w bazie podatności mogą wynikać również z innej interpretacji warunków ataku. W takiej sytuacji pomocne jest porównanie wektorów i uzasadnień, nie tylko samych liczb.
Jak wykorzystać CVSS do ustalania kolejności napraw?
Wyobraź sobie dwie podatności. Pierwsza ma wynik 9,8 i dotyczy komponentu w odizolowanym środowisku testowym. Druga otrzymała 8,1, ale występuje w publicznie dostępnym systemie obsługującym klientów, a wiarygodne komunikaty potwierdzają jej aktywne wykorzystywanie.
Druga luka może wymagać pilniejszej reakcji mimo niższego wyniku. To nie podważa CVSS — pokazuje jedynie, że ocena techniczna jest jednym z elementów decyzji. Odizolowanego środowiska także nie należy automatycznie uznawać za bezpieczne: trzeba sprawdzić rzeczywiste ścieżki dostępu.
Przy ocenie konkretnego zgłoszenia zastosuj krótką procedurę:
- Potwierdź podatność: sprawdź produkt, wersję, konfigurację i warunki opisane w komunikacie producenta.
- Zweryfikuj ocenę: odczytaj wersję CVSS, wektor oraz informację, czy wynik jest bazowy czy uwzględnia dodatkowe metryki.
- Oceń ekspozycję: ustal, czy podatna funkcja jest dostępna z internetu, sieci wewnętrznej czy wyłącznie lokalnie.
- Sprawdź kontekst zagrożenia: poszukaj potwierdzeń aktywnych ataków i dostępnych metod wykorzystania luki.
- Wybierz działanie: zaplanuj aktualizację, a jeśli nie jest od razu możliwa — rozważ zalecane przez producenta ograniczenia dostępu lub wyłączenie podatnej funkcji.
Aktualną ocenę i zalecenia naprawcze potwierdzaj w oficjalnym komunikacie producenta, a definicje metryk w dokumentacji FIRST. Przy następnym zgłoszeniu zapisz obok wyniku CVSS jedno zdanie wyjaśniające priorytet w Twoim środowisku — na przykład: „Publiczny system z danymi klientów, potwierdzone ataki, aktualizacja pilna”.
Zobacz też: Co to jest KSEF?
Przeczytaj także
