Co je CVSS a jak hodnotí závažnost chyb?
Autor: Redakce Domeny.ForSale Zveřejněno
Ve zkratce: CVSS (Common Vulnerability Scoring System) je otevřený mezinárodní standard pro hodnocení technické závažnosti zranitelností, tedy bezpečnostních chyb v softwaru a systémech. Skóre od 0 do 10 pomáhá zranitelnosti porovnávat, samo však neurčuje riziko pro konkrétní firmu. Při určování pořadí oprav je nutné navíc ověřit mimo jiné přístupnost ohroženého systému, význam zpracovávaných dat a informace o skutečném zneužívání chyby.
Co CVSS měří a co neukazuje?
CVSS popisuje podmínky zneužití zranitelnosti a možné následky úspěšného útoku. Zohledňuje mimo jiné způsob přístupu ke zranitelné komponentě, potřebná oprávnění a nutnost zapojení uživatele. Hodnotí také dopad na důvěrnost, integritu a dostupnost, tedy ochranu informací před vyzrazením, neoprávněnou změnou a ztrátou přístupu.
Standard rozvíjí a spravuje FIRST, organizace sdružující týmy pro řešení bezpečnostních incidentů. Jednotný způsob popisu usnadňuje výrobcům softwaru, správcům a analytikům porovnávání hodnocení. Neznamená to však, že každá chyba se stejným skóre vyžaduje stejnou reakci.
Závažnost zranitelnosti není totéž co riziko. Technické hodnocení vypovídá o vlastnostech chyby. Riziko závisí také na tom, zda firma zranitelnou funkci používá, kdo k ní má přístup a jaké následky by mělo ovládnutí systému útočníkem.
Jak číst stupnici od 0 do 10?
V CVSS v3.1 a v4.0 se používají následující slovní kategorie:
| Skóre CVSS | Úroveň závažnosti |
|---|---|
| 0,0 | Žádná |
| 0,1–3,9 | Nízká |
| 4,0–6,9 | Střední |
| 7,0–8,9 | Vysoká |
| 9,0–10,0 | Kritická |
Skóre 9,8 znamená kritickou závažnost zranitelnosti, nikoli 98procentní pravděpodobnost útoku. Neurčuje ani dobu zbývající do průniku do systému, ani termín, kdy ke zneužití chyby určitě dojde.
Stupnici nelze chápat ani jako jednoduchý násobitel škod: zranitelnost se skóre 8,0 nemusí způsobit dvojnásobné škody oproti chybě se skóre 4,0. Číslo je výsledkem výpočtových pravidel standardu, nikoli vyčíslením dopadů na podnikání.
Záleží na verzi, vektoru i typu hodnocení
U skóre se vyplatí hledat číslo verze CVSS a vektor, tedy textový zápis hodnot jednotlivých metrik. Například předpona CVSS:3.1/ označuje verzi standardu a část AV:N v takovém vektoru znamená síťový vektor útoku. Úplný zápis umožňuje ověřit, jak výsledné číslo vzniklo.
Základní hodnocení popisuje podstatné vlastnosti zranitelnosti. Nelze předpokládat, že zohledňuje konfiguraci vaší infrastruktury nebo nejnovější informace o útocích. To, co skóre zahrnuje, závisí na použitých skupinách metrik:
- CVSS v3.1 rozlišuje základní, časové a environmentální metriky. Časové metriky zohledňují mimo jiné vyspělost dostupných metod zneužití chyby a dostupnost nápravy.
- CVSS v4.0 rozlišuje základní metriky, metriky hrozeb, environmentální a doplňkové metriky. Metriky hrozeb se týkají vyspělosti metod zneužití chyby, zatímco environmentální metriky umožňují zohlednit podmínky konkrétní organizace. Doplňkové metriky poskytují další kontext, ale skóre nemění.
Skóre z různých verzí standardu nelze porovnávat bez ověření předpokladů, z nichž hodnocení vychází. Rozdíly mezi hodnocením výrobce a hodnocením v databázi zranitelností mohou pramenit také z odlišného výkladu podmínek útoku. V takové situaci pomůže porovnat vektory a zdůvodnění, nejen samotná čísla.
Jak využít CVSS k určení pořadí oprav?
Představte si dvě zranitelnosti. První má skóre 9,8 a týká se komponenty v izolovaném testovacím prostředí. Druhá získala 8,1, ale vyskytuje se ve veřejně přístupném systému pro obsluhu zákazníků a důvěryhodná oznámení potvrzují její aktivní zneužívání.
Druhá chyba může vyžadovat naléhavější reakci i přes nižší skóre. To nezpochybňuje CVSS — pouze to ukazuje, že technické hodnocení je jedním z podkladů pro rozhodnutí. Ani izolované prostředí nelze automaticky považovat za bezpečné: je třeba ověřit skutečné možnosti přístupu.
Při posuzování konkrétního hlášení postupujte podle těchto kroků:
- Potvrďte zranitelnost: ověřte produkt, verzi, konfiguraci a podmínky popsané v oznámení výrobce.
- Ověřte hodnocení: zjistěte verzi CVSS, vektor a to, zda jde o základní skóre, nebo zda zahrnuje další metriky.
- Posuďte vystavení útokům: zjistěte, zda je zranitelná funkce dostupná z internetu, z vnitřní sítě, nebo pouze lokálně.
- Prověřte kontext hrozby: vyhledejte potvrzení aktivních útoků a dostupné metody zneužití chyby.
- Zvolte opatření: naplánujte aktualizaci, a pokud není ihned možná, zvažte výrobcem doporučené omezení přístupu nebo vypnutí zranitelné funkce.
Aktuální hodnocení a doporučená nápravná opatření ověřujte v oficiálním oznámení výrobce, definice metrik pak v dokumentaci FIRST. U příštího hlášení si vedle skóre CVSS zapište jednu větu vysvětlující prioritu ve vašem prostředí — například: „Veřejně přístupný systém s údaji zákazníků, potvrzené útoky, naléhavá aktualizace“.
Přečtěte si také
