Was ist CVSS? Schwachstellen richtig bewerten
Autor: Redaktion Domeny.ForSale Veröffentlicht
Kurz erklärt: CVSS (Common Vulnerability Scoring System) ist ein offener, internationaler Standard zur Bewertung des technischen Schweregrads von Schwachstellen, also Sicherheitslücken in Software und Systemen. Ein Wert von 0 bis 10 hilft, Schwachstellen miteinander zu vergleichen, bestimmt aber für sich genommen nicht das Risiko für ein konkretes Unternehmen. Um die Reihenfolge der Behebung festzulegen, müssen zusätzlich unter anderem die Erreichbarkeit des betroffenen Systems, die Bedeutung der verarbeiteten Daten und Hinweise auf eine tatsächliche Ausnutzung der Lücke geprüft werden.
Was misst CVSS und was zeigt es nicht?
CVSS beschreibt die Voraussetzungen für die Ausnutzung einer Schwachstelle und die möglichen Folgen eines erfolgreichen Angriffs. Berücksichtigt werden unter anderem der Zugangsweg zur verwundbaren Komponente, die erforderlichen Berechtigungen und die Frage, ob eine Mitwirkung des Nutzers nötig ist. Bewertet werden auch die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Gemeint ist damit der Schutz von Informationen vor Offenlegung, unbefugter Veränderung beziehungsweise dem Verlust des Zugriffs.
Entwickelt und gepflegt wird der Standard von FIRST, einer Organisation, in der Teams zur Reaktion auf Sicherheitsvorfälle zusammengeschlossen sind. Die einheitliche Beschreibung erleichtert Softwareherstellern, Administratoren und Analysten den Vergleich von Bewertungen. Das bedeutet jedoch nicht, dass jede Lücke mit demselben Wert dieselbe Reaktion erfordert.
Der Schweregrad einer Schwachstelle ist nicht dasselbe wie das Risiko. Die technische Bewertung beschreibt die Eigenschaften der Lücke. Das Risiko hängt auch davon ab, ob das Unternehmen die verwundbare Funktion nutzt, wer darauf zugreifen kann und welche Folgen eine Übernahme des Systems hätte.
Wie ist die Skala von 0 bis 10 zu lesen?
In CVSS v3.1 und v4.0 gelten folgende qualitative Einstufungen:
| CVSS-Wert | Schweregrad |
|---|---|
| 0,0 | Keiner |
| 0,1–3,9 | Niedrig |
| 4,0–6,9 | Mittel |
| 7,0–8,9 | Hoch |
| 9,0–10,0 | Kritisch |
Ein Wert von 9,8 steht für einen kritischen Schweregrad, nicht für eine Angriffswahrscheinlichkeit von 98 Prozent. Er sagt auch nicht aus, wie viel Zeit bis zu einem Einbruch bleibt oder wann die Lücke mit Sicherheit ausgenutzt wird.
Ebenso wenig lässt sich die Skala als einfacher Multiplikator für Schäden verstehen: Eine mit 8,0 bewertete Schwachstelle muss nicht doppelt so große Schäden verursachen wie eine Lücke mit dem Wert 4,0. Die Zahl ergibt sich aus den Berechnungsregeln des Standards und ist keine Bezifferung der geschäftlichen Folgen.
Version, Vektor und Bewertungsart sind wichtig
Achten Sie neben dem Wert auch auf die CVSS-Versionsnummer und den Vektor, also die textuelle Darstellung der einzelnen Metrikwerte. Beispielsweise gibt das Präfix CVSS:3.1/ die Version des Standards an, während der Bestandteil AV:N in einem solchen Vektor für einen Angriff über das Netzwerk steht. Anhand der vollständigen Darstellung lässt sich nachvollziehen, wie der endgültige Zahlenwert zustande kommt.
Die Basisbewertung beschreibt die grundlegenden Eigenschaften einer Schwachstelle. Sie sollten nicht davon ausgehen, dass darin die Konfiguration Ihrer eigenen Infrastruktur oder die neuesten Informationen über Angriffe berücksichtigt sind. Welche Aspekte in den Wert einfließen, hängt von den verwendeten Metrikgruppen ab:
- CVSS v3.1 unterscheidet Basis-, zeitabhängige und umgebungsbezogene Metriken. Die zeitabhängigen Metriken berücksichtigen unter anderem den Reifegrad verfügbarer Methoden zur Ausnutzung der Lücke und die Verfügbarkeit einer Lösung zur Behebung.
- CVSS v4.0 unterscheidet Basis-, Bedrohungs-, umgebungsbezogene und ergänzende Metriken. Die Bedrohungsmetriken betreffen den Reifegrad der Ausnutzung einer Lücke. Umgebungsbezogene Metriken ermöglichen es, die Bedingungen einer konkreten Organisation zu berücksichtigen. Ergänzende Metriken liefern zusätzlichen Kontext, verändern den Wert jedoch nicht.
Werte aus unterschiedlichen Versionen des Standards sollten nicht verglichen werden, ohne die zugrunde liegenden Annahmen zu prüfen. Abweichungen zwischen der Bewertung des Herstellers und der Bewertung in einer Schwachstellendatenbank können auch auf einer unterschiedlichen Interpretation der Angriffsbedingungen beruhen. In diesem Fall hilft es, die Vektoren und Begründungen zu vergleichen, nicht nur die Zahlen.
Wie hilft CVSS, die Reihenfolge der Behebung festzulegen?
Stellen Sie sich zwei Schwachstellen vor. Die erste hat einen Wert von 9,8 und betrifft eine Komponente in einer isolierten Testumgebung. Die zweite wurde mit 8,1 bewertet, befindet sich aber in einem öffentlich zugänglichen System für die Kundenbetreuung. Zudem bestätigen verlässliche Meldungen, dass sie aktiv ausgenutzt wird.
Die zweite Lücke kann trotz des niedrigeren Werts eine dringendere Reaktion erfordern. Das stellt CVSS nicht infrage, sondern zeigt lediglich, dass die technische Bewertung ein Bestandteil der Entscheidung ist. Auch eine isolierte Umgebung darf nicht automatisch als sicher gelten: Die tatsächlichen Zugangswege müssen geprüft werden.
Gehen Sie bei der Bewertung einer konkreten Meldung nach diesem kurzen Verfahren vor:
- Schwachstelle bestätigen: Prüfen Sie Produkt, Version, Konfiguration und die in der Herstellermeldung beschriebenen Bedingungen.
- Bewertung überprüfen: Lesen Sie die CVSS-Version und den Vektor ab und prüfen Sie, ob es sich um einen Basiswert handelt oder ob zusätzliche Metriken berücksichtigt wurden.
- Erreichbarkeit bewerten: Stellen Sie fest, ob die verwundbare Funktion aus dem Internet, aus dem internen Netzwerk oder ausschließlich lokal erreichbar ist.
- Bedrohungslage prüfen: Suchen Sie nach Bestätigungen aktiver Angriffe und nach verfügbaren Methoden zur Ausnutzung der Lücke.
- Maßnahme auswählen: Planen Sie ein Update. Falls es nicht sofort möglich ist, ziehen Sie die vom Hersteller empfohlenen Zugriffsbeschränkungen oder die Deaktivierung der verwundbaren Funktion in Betracht.
Gleichen Sie die aktuelle Bewertung und die Empfehlungen zur Behebung mit der offiziellen Herstellermeldung ab. Prüfen Sie die Definitionen der Metriken in der Dokumentation von FIRST. Notieren Sie bei der nächsten Meldung neben dem CVSS-Wert einen Satz, der die Priorität in Ihrer Umgebung erklärt, zum Beispiel: „Öffentlich zugängliches System mit Kundendaten, bestätigte Angriffe, Update dringend erforderlich“.
Siehe auch: Was ist KSEF?
Lesen Sie auch
