Kas yra CVSS ir kaip suprasti jo balus?
Autorius: Domeny.ForSale redakcija Paskelbta
Trumpai: CVSS (Common Vulnerability Scoring System) – atviras tarptautinis standartas, skirtas techniniam pažeidžiamumų, tai yra programinės įrangos ir sistemų saugumo spragų, rimtumui vertinti. Balas nuo 0 iki 10 padeda palyginti pažeidžiamumus, tačiau vien jo nepakanka konkrečios įmonės rizikai nustatyti. Sprendžiant, kurias spragas taisyti pirmiausia, papildomai reikia patikrinti, be kita ko, iš kur pasiekiama pažeidžiama sistema, kokia joje tvarkomų duomenų svarba ir ar yra informacijos apie realų spragos išnaudojimą.
Ką vertina CVSS ir ko jis neparodo?
CVSS apibūdina pažeidžiamumo išnaudojimo sąlygas ir galimus sėkmingos atakos padarinius. Vertinant atsižvelgiama, be kita ko, į tai, kaip galima pasiekti pažeidžiamą komponentą, kokių prieigos teisių reikia ir ar būtinas naudotojo dalyvavimas. Taip pat vertinamas poveikis konfidencialumui, vientisumui ir prieinamumui, kitaip tariant, informacijos apsaugai nuo atskleidimo, neteisėto pakeitimo ir prieigos praradimo.
Standartą plėtoja ir prižiūri FIRST – organizacija, vienijanti reagavimo į saugumo incidentus komandas. Vienodas aprašymo būdas padeda programinės įrangos gamintojams, administratoriams ir analitikams palyginti vertinimus. Tačiau tai nereiškia, kad į kiekvieną vienodą balą gavusią spragą reikia reaguoti taip pat.
Pažeidžiamumo rimtumas nėra tas pats, kas rizika. Techninis vertinimas nusako spragos savybes. Rizika priklauso ir nuo to, ar įmonė naudoja pažeidžiamą funkciją, kas turi prieigą prie jos ir kokių padarinių sukeltų sistemos perėmimas.
Kaip suprasti skalę nuo 0 iki 10?
CVSS v3.1 ir v4.0 taikomi šie kokybinio vertinimo intervalai:
| CVSS balas | Rimtumo lygis |
|---|---|
| 0,0 | Nėra |
| 0,1–3,9 | Žemas |
| 4,0–6,9 | Vidutinis |
| 7,0–8,9 | Aukštas |
| 9,0–10,0 | Kritinis |
9,8 balo reiškia kritinį pažeidžiamumo rimtumą, o ne 98 procentų atakos tikimybę. Šis balas taip pat nenurodo, kiek laiko liko iki įsilaužimo ar kada spraga tikrai bus išnaudota.
Skalės taip pat nereikėtų laikyti paprastu nuostolių daugikliu: 8,0 balo įvertintas pažeidžiamumas nebūtinai sukels dvigubai didesnę žalą nei 4,0 balo gavusi spraga. Skaičius gaunamas pagal standarto skaičiavimo taisykles, o ne įvertinus finansinius padarinius verslui.
Svarbi versija, vektorius ir vertinimo tipas
Prie balo verta ieškoti CVSS versijos numerio ir vektoriaus – tekstinio atskirų metrikų reikšmių įrašo. Pavyzdžiui, priešdėlis CVSS:3.1/ nurodo standarto versiją, o tokio vektoriaus fragmentas AV:N reiškia, kad ataka galima per tinklą. Visas įrašas leidžia patikrinti, kaip gautas galutinis balas.
Bazinis vertinimas apibūdina esmines pažeidžiamumo savybes. Nereikėtų manyti, kad jame atsižvelgta į jūsų infrastruktūros konfigūraciją ar naujausią informaciją apie atakas. Ką apima balas, priklauso nuo naudotų metrikų grupių:
- CVSS v3.1 išskiria bazines, laiko ir aplinkos metrikas. Laiko metrikose atsižvelgiama, be kita ko, į prieinamų spragos išnaudojimo metodų brandą ir į tai, ar yra spragos šalinimo priemonių.
- CVSS v4.0 išskiria bazines, grėsmės, aplinkos ir papildomas metrikas. Grėsmės metrikos apibūdina spragos išnaudojimo brandą, o aplinkos metrikos leidžia atsižvelgti į konkrečios organizacijos sąlygas. Papildomos metrikos suteikia daugiau konteksto, tačiau nekeičia balo.
Pagal skirtingas standarto versijas gautų balų nereikėtų lyginti nepatikrinus vertinimo prielaidų. Gamintojo vertinimas ir pažeidžiamumų duomenų bazėje pateiktas vertinimas gali skirtis ir dėl skirtingo atakos sąlygų aiškinimo. Tokiu atveju naudinga palyginti ne tik skaičius, bet ir vektorius bei vertinimų pagrindimą.
Kaip pasitelkti CVSS sprendžiant, ką taisyti pirmiausia?
Įsivaizduokite du pažeidžiamumus. Pirmasis įvertintas 9,8 balo ir aptiktas izoliuotos bandymų aplinkos komponente. Antrasis gavo 8,1 balo, tačiau yra viešai pasiekiamoje klientų aptarnavimo sistemoje, o patikimi pranešimai patvirtina, kad jis aktyviai išnaudojamas.
Į antrąją spragą gali tekti reaguoti skubiau, nors jos balas mažesnis. Tai nepaneigia CVSS naudos – tik parodo, kad techninis vertinimas yra vienas iš veiksnių priimant sprendimą. Izoliuotos aplinkos taip pat nereikėtų savaime laikyti saugia: būtina patikrinti realius prieigos prie jos kelius.
Vertindami konkretų pranešimą, atlikite šiuos veiksmus:
- Patvirtinkite pažeidžiamumą: patikrinkite produktą, versiją, konfigūraciją ir gamintojo pranešime aprašytas sąlygas.
- Patikrinkite vertinimą: peržiūrėkite CVSS versiją, vektorių ir informaciją, ar balas yra bazinis, ar apskaičiuotas įtraukus papildomas metrikas.
- Įvertinkite pasiekiamumą: nustatykite, ar pažeidžiama funkcija pasiekiama iš interneto, vidinio tinklo, ar tik vietoje.
- Patikrinkite grėsmės kontekstą: ieškokite patvirtinimų apie vykstančias atakas ir prieinamus spragos išnaudojimo metodus.
- Pasirinkite veiksmus: suplanuokite atnaujinimą, o jei jo negalima atlikti iš karto, apsvarstykite gamintojo rekomenduojamus prieigos apribojimus arba pažeidžiamos funkcijos išjungimą.
Naujausią vertinimą ir spragos šalinimo rekomendacijas tikrinkite oficialiame gamintojo pranešime, o metrikų apibrėžtis – FIRST dokumentacijoje. Gavę kitą pranešimą, šalia CVSS balo užrašykite vieną sakinį, paaiškinantį prioritetą jūsų aplinkoje, pavyzdžiui: „Viešai pasiekiama sistema su klientų duomenimis, patvirtintos atakos, būtina skubiai atnaujinti“.
Taip pat skaitykite
