Wat is CVSS en wat zegt de score precies?
Auteur: Redactie Domeny.ForSale Gepubliceerd
In het kort: CVSS (Common Vulnerability Scoring System) is een open, internationale standaard om de technische ernst van kwetsbaarheden te beoordelen: beveiligingslekken in software en systemen. Een score van 0 tot 10 helpt om kwetsbaarheden te vergelijken, maar bepaalt op zichzelf niet het risico voor een specifiek bedrijf. Om te bepalen welke kwetsbaarheden als eerste moeten worden verholpen, moet je ook nagaan hoe bereikbaar het getroffen systeem is, hoe belangrijk de verwerkte gegevens zijn en of het lek daadwerkelijk wordt misbruikt.
Wat meet CVSS en wat laat het niet zien?
CVSS beschrijft onder welke omstandigheden een kwetsbaarheid kan worden misbruikt en wat de mogelijke gevolgen van een geslaagde aanval zijn. De standaard houdt onder meer rekening met de manier waarop een kwetsbaar onderdeel bereikbaar is, de benodigde rechten en de vraag of medewerking van een gebruiker nodig is. Ook beoordeelt CVSS de gevolgen voor vertrouwelijkheid, integriteit en beschikbaarheid: respectievelijk de bescherming van informatie tegen openbaarmaking, onbevoegde wijziging en verlies van toegang.
De standaard wordt ontwikkeld en onderhouden door FIRST, een organisatie waarin teams voor de afhandeling van beveiligingsincidenten zijn verenigd. De uniforme beschrijving maakt het voor softwareleveranciers, beheerders en analisten eenvoudiger om beoordelingen te vergelijken. Dat betekent echter niet dat elk lek met dezelfde score om dezelfde reactie vraagt.
De ernst van een kwetsbaarheid is niet hetzelfde als het risico. De technische beoordeling beschrijft de eigenschappen van het lek. Het risico hangt ook af van de vraag of het bedrijf de kwetsbare functie gebruikt, wie er toegang toe heeft en wat de gevolgen zouden zijn als het systeem wordt overgenomen.
Hoe lees je de schaal van 0 tot 10?
CVSS v3.1 en v4.0 gebruiken de volgende kwalitatieve categorieën:
| CVSS-score | Ernst |
|---|---|
| 0,0 | Geen |
| 0,1–3,9 | Laag |
| 4,0–6,9 | Gemiddeld |
| 7,0–8,9 | Hoog |
| 9,0–10,0 | Kritiek |
Een score van 9,8 betekent dat de kwetsbaarheid kritiek is, niet dat er 98 procent kans op een aanval is. De score geeft evenmin aan hoeveel tijd er nog rest tot een inbraak of wanneer het lek zeker zal worden misbruikt.
Je moet de schaal ook niet zien als een eenvoudige vermenigvuldigingsfactor voor schade: een kwetsbaarheid met een score van 8,0 hoeft niet twee keer zoveel schade te veroorzaken als een lek met een score van 4,0. Het getal volgt uit de rekenregels van de standaard en is geen raming van de gevolgen voor het bedrijf.
Versie, vector en soort beoordeling zijn van belang
Zoek bij een score ook naar het versienummer van CVSS en de vector: een tekstuele weergave van de waarden van de afzonderlijke meetcriteria. Het voorvoegsel CVSS:3.1/ geeft bijvoorbeeld de versie van de standaard aan. Het fragment AV:N in zo’n vector betekent dat een aanval via het netwerk mogelijk is. Met de volledige vector kun je nagaan hoe de uiteindelijke score tot stand is gekomen.
De basisbeoordeling beschrijft de wezenlijke eigenschappen van een kwetsbaarheid. Ga er niet van uit dat deze rekening houdt met de configuratie van je eigen infrastructuur of met de meest recente informatie over aanvallen. Wat de score omvat, hangt af van de gebruikte groepen meetcriteria:
- CVSS v3.1 onderscheidt basiscriteria, tijdgebonden criteria en omgevingscriteria. Tijdgebonden criteria houden onder meer rekening met de mate waarin beschikbare methoden om het lek te misbruiken zijn ontwikkeld en met de beschikbaarheid van een oplossing.
- CVSS v4.0 onderscheidt basiscriteria, dreigingscriteria, omgevingscriteria en aanvullende criteria. Dreigingscriteria gaan over de mate waarin het misbruik van het lek is ontwikkeld. Omgevingscriteria maken het mogelijk om de omstandigheden van een specifieke organisatie mee te wegen. Aanvullende criteria bieden extra context, maar veranderen de score niet.
Vergelijk scores uit verschillende versies van de standaard niet zonder de uitgangspunten te controleren. Verschillen tussen de beoordeling van de leverancier en die in een kwetsbaarhedendatabase kunnen ook voortkomen uit een andere interpretatie van de omstandigheden waaronder een aanval mogelijk is. In dat geval helpt het om de vectoren en onderbouwingen te vergelijken, niet alleen de getallen.
Hoe gebruik je CVSS om herstel te prioriteren?
Stel je twee kwetsbaarheden voor. De eerste heeft een score van 9,8 en betreft een onderdeel in een geïsoleerde testomgeving. De tweede heeft een score van 8,1, maar zit in een publiek toegankelijk systeem voor de dienstverlening aan klanten. Betrouwbare meldingen bevestigen bovendien dat dit lek actief wordt misbruikt.
Ondanks de lagere score kan de tweede kwetsbaarheid een snellere reactie vereisen. Dat doet niets af aan CVSS: het laat alleen zien dat de technische beoordeling één onderdeel van de beslissing is. Ook een geïsoleerde omgeving mag je niet automatisch als veilig beschouwen: je moet controleren via welke routes deze daadwerkelijk bereikbaar is.
Gebruik bij de beoordeling van een concrete melding deze korte procedure:
- Bevestig de kwetsbaarheid: controleer het product, de versie, de configuratie en de voorwaarden die in het bericht van de leverancier staan.
- Controleer de beoordeling: bekijk de CVSS-versie, de vector en de vermelding of het om een basisscore gaat of om een score waarin aanvullende criteria zijn verwerkt.
- Beoordeel de blootstelling: ga na of de kwetsbare functie bereikbaar is via internet, via het interne netwerk of uitsluitend lokaal.
- Controleer de dreigingscontext: zoek naar bevestigingen van actieve aanvallen en naar beschikbare methoden om het lek te misbruiken.
- Kies een maatregel: plan een update. Is die niet meteen mogelijk, overweeg dan de door de leverancier aanbevolen toegangsbeperkingen of het uitschakelen van de kwetsbare functie.
Controleer de actuele beoordeling en hersteladviezen in het officiële bericht van de leverancier. Raadpleeg voor de definities van de meetcriteria de documentatie van FIRST. Noteer bij de volgende melding naast de CVSS-score één zin die de prioriteit binnen jouw omgeving uitlegt, bijvoorbeeld: ‘Publiek toegankelijk systeem met klantgegevens, bevestigde aanvallen, update dringend nodig’.
Zie ook: Wat is KSEF?
Lees ook
