Що таке CVSS і як оцінювати вразливості
Автор: Редакція Domeny.ForSale Опубліковано
Коротко: CVSS (Common Vulnerability Scoring System) — відкритий міжнародний стандарт оцінювання технічної серйозності вразливостей, тобто прогалин у безпеці програмного забезпечення та систем. Оцінка від 0 до 10 допомагає порівнювати вразливості, але сама по собі не визначає ризик для конкретної компанії. Щоб установити черговість виправлень, потрібно додатково перевірити, зокрема, доступність уразливої системи, важливість оброблюваних даних та відомості про фактичне використання вразливості для атак.
Що вимірює CVSS, а чого не показує?
CVSS описує умови використання вразливості та можливі наслідки успішної атаки. Зокрема, враховує спосіб доступу до вразливого компонента, необхідні права доступу та потребу в участі користувача. Також оцінює вплив на конфіденційність, цілісність і доступність — тобто захист інформації від розголошення, несанкціонованих змін і втрати доступу відповідно.
Стандарт розвиває та підтримує FIRST — організація, що об’єднує команди реагування на інциденти безпеки. Уніфікований спосіб опису дає змогу розробникам програмного забезпечення, адміністраторам та аналітикам легше порівнювати оцінки. Проте це не означає, що кожна вразливість з однаковою оцінкою потребує однакової реакції.
Серйозність вразливості — не те саме, що ризик. Технічна оцінка характеризує саму вразливість. Ризик також залежить від того, чи використовує компанія вразливу функцію, хто має до неї доступ і якими були б наслідки захоплення контролю над системою.
Як читати шкалу від 0 до 10?
У CVSS v3.1 і v4.0 застосовують такі якісні діапазони:
| Оцінка CVSS | Рівень серйозності |
|---|---|
| 0,0 | Відсутній |
| 0,1–3,9 | Низький |
| 4,0–6,9 | Середній |
| 7,0–8,9 | Високий |
| 9,0–10,0 | Критичний |
Оцінка 9,8 означає критичну серйозність вразливості, а не 98-відсоткову ймовірність атаки. Вона також не визначає, скільки часу залишилося до зламу або коли вразливість неодмінно буде використано.
Не варто також сприймати шкалу як простий множник збитків: вразливість з оцінкою 8,0 не обов’язково завдасть удвічі більшої шкоди, ніж вразливість з оцінкою 4,0. Це число отримують за правилами розрахунку стандарту, а не шляхом оцінювання фінансових наслідків для бізнесу.
Версія, вектор і тип оцінки мають значення
Поруч з оцінкою варто шукати номер версії CVSS та вектор — текстовий запис значень окремих метрик. Наприклад, префікс CVSS:3.1/ указує версію стандарту, а фрагмент AV:N у такому векторі означає мережевий вектор атаки. Повний запис дає змогу перевірити, як отримано підсумкове число.
Базова оцінка описує основні властивості вразливості. Не слід припускати, що вона враховує конфігурацію вашої інфраструктури чи найновіші відомості про атаки. Те, що саме враховано в оцінці, залежить від використаних груп метрик:
- CVSS v3.1 розрізняє базові, часові метрики та метрики середовища. Часові метрики враховують, зокрема, зрілість доступних методів використання вразливості та наявність засобу її усунення.
- CVSS v4.0 розрізняє базові метрики, метрики загроз, середовища та додаткові метрики. Метрики загроз стосуються зрілості використання вразливості, а метрики середовища дають змогу врахувати умови конкретної організації. Додаткові метрики надають більше контексту, але не змінюють оцінку.
Не слід порівнювати оцінки з різних версій стандарту, не перевіривши припущення, на яких вони ґрунтуються. Розбіжності між оцінкою виробника та оцінкою в базі вразливостей також можуть бути наслідком різного тлумачення умов атаки. У такій ситуації корисно порівнювати вектори й обґрунтування, а не лише числа.
Як використовувати CVSS для визначення черговості виправлень?
Уявіть дві вразливості. Перша має оцінку 9,8 і стосується компонента в ізольованому тестовому середовищі. Друга отримала 8,1, але наявна в загальнодоступній системі обслуговування клієнтів, а достовірні повідомлення підтверджують її активне використання для атак.
Друга вразливість може потребувати терміновішої реакції, попри нижчу оцінку. Це не ставить під сумнів CVSS — лише показує, що технічна оцінка є одним зі складників рішення. Ізольоване середовище теж не слід автоматично вважати безпечним: потрібно перевірити реальні шляхи доступу.
Оцінюючи конкретне повідомлення про вразливість, скористайтеся короткою процедурою:
- Підтвердьте наявність вразливості: перевірте продукт, версію, конфігурацію та умови, описані в повідомленні виробника.
- Перевірте оцінку: з’ясуйте версію CVSS, вектор, а також те, чи оцінка базова, чи враховує додаткові метрики.
- Оцініть доступність для атаки: установіть, чи вразлива функція доступна з інтернету, внутрішньої мережі або лише локально.
- Перевірте контекст загрози: пошукайте підтвердження активних атак і відомості про доступні методи використання вразливості.
- Виберіть дію: заплануйте оновлення, а якщо воно неможливе одразу — розгляньте рекомендовані виробником обмеження доступу або вимкнення вразливої функції.
Перевіряйте актуальну оцінку та рекомендації щодо виправлення в офіційному повідомленні виробника, а визначення метрик — у документації FIRST. Опрацьовуючи наступне повідомлення, запишіть поруч з оцінкою CVSS одне речення, яке пояснює пріоритет у вашому середовищі, наприклад: «Загальнодоступна система з даними клієнтів, підтверджені атаки, потрібне термінове оновлення».
Дивіться також: Що таке KSEF?
Читайте також
