Schwachstellenbewertung Was Sie unbedingt über CVSS wissen sollten!

Anbieter zum Thema

Fsas Technologies GmbH

Das Common Vulnerability Scoring System (CVSS) ermöglicht es, Schwachstellen standardisiert zu bewerten und zu priorisieren. Ein Fokus auf die kritischsten Schwachstellen reduziert das Gesamtrisiko des Unternehmens. Die neue Version CVSS v4.0 soll vieles besser machen – wir zeigen wieso!

Das anwendungs- und herstellerneutrale CVSS-Framework wurde zur Bewertung von Sicherheitslücken in Softwareprodukten wie beispielsweise Betriebssystemen und Datenbanken bis hin zu Webanwendungen entwickelt. Mithilfe eines standardisierten Bewertungsrahmens lassen sich nicht nur Sicherheitstests priorisieren, sondern auch bekannte Schwachstellen während der Software-Entwicklung beseitigen.

Funktionen des CVSS

Das CVSS-Bewertungssystem umfasst drei Metrik-Gruppen: Basis, Zeit und Umgebung. Diese Komponenten spielen eine wesentliche Rolle bei der Beurteilung des Schweregrads einer Schwachstelle und ihrer potenziellen Auswirkungen auf eine Organisation.

Basis-Metriken

Damit soll der Anwender die Art der Schwachstelle - unabhängig von zeitlichen Faktoren oder Umgebungsfaktoren - erkennen. Basismetriken bestehen aus zwei Untergruppen:

• Exploit-Metriken konzentrieren sich auf die Leichtigkeit, mit der ein Hacker eine Schwachstelle kompromittieren kann. Dazu gehören die Kriterien Angriffsvektor (AV), Angriffskomplexität (AC), erforderliche Berechtigungen (PR) und Benutzerinteraktion (UI).

• Impact-Metriken bewerten die möglichen Folgen eines erfolgreichen Exploits. Dazu gehören die Kriterien Vertraulichkeitsauswirkungen (C), Integritätsauswirkungen (I) und Verfügbarkeitsauswirkungen (A).

Zeit-Metriken

Hierzu werden Faktoren berücksichtigt, die sich im Laufe der Zeit ändern können, wie beispielsweise Patches. Dazu gehören die Kriterien Exploit Code Maturity (E), Remediation Level (RL) und Report Confidence (RC).

Umgebungsmetriken

Diese Metriken lassen sich auf die spezifische Umgebung einer Organisation und die potenziellen Auswirkungen auf deren Systeme anpassen. Dazu zählen modifizierte Basis-Metriken und das Kollateralschadenspotenzial (CDP).

Berechnung der CVSS-Scores

Um einen CVSS-Score zu berechnen, werden die Basis-, Zeit- und Umgebungsmetriken mithilfe einer bestimmten Formel kombiniert. Das Ergebnis ist ein numerischer Wert zwischen 0 und 10, wobei die höheren Werte auf schwerwiegendere Schwachstellen hinweisen. Die CVSS-Scores werden im Allgemeinen in vier Schweregrade eingeteilt:

• Niedrig (0 – 3,9)

• Mittel (4 - 6,9)

• Hoch (7 – 8,9)

• Kritisch (9 - 10)

Das CVSS-Bewertungssystem ist für CISOs und sein Team von entscheidender Bedeutung, da es eine konsistente Methode zur Priorisierung von Schwachstellen und zur Zuweisung von Ressourcen für die Lösung der dringendsten Probleme bietet.

Kritische Beurteilung des CVSS

Trotz seiner breiten Akzeptanz wurde die CVSS-Methode von IT-Security-Experten kritisiert, was die Notwendigkeit einer Überarbeitung deutlich machte. Zu den häufigsten Kritikpunkten von CVSS gehören:

Überbetonung von Schwachstellen

CVSS konzentriert sich auf die Kompromittierung von Schwachstellen. Dies kann zu einem Missverhältnis zwischen der theoretischen Problematik einer Schwachstelle und dem tatsächlichen Risiko, das sie darstellt, führen. Beispielsweise kann eine Schwachstelle aufgrund ihrer potenziellen Auswirkung zwar einen hohen CVSS-Score bestimmen, jedoch aufgrund bestimmter Bedingungen ist es dagegen unwahrscheinlich, dass sie auch tatsächlich ausgenutzt wird. Dieses Missverhältnis kann dazu führen, dass Ressourcen auf weniger kritische Schwachstellen umgeleitet werden.

Unzureichende Identifikation des realen Risikos

Den CVSS-Scores fehlt oft ein umfassender Überblick über den Kontext der Schwachstellen. Sie berücksichtigen keine entscheidenden Faktoren wie den gefährdeten Wert eines Assets oder die Motivationen und Fähigkeiten potenzieller Angreifer. Dies kann dazu führen, dass das reale Risiko unter- oder überschätzt wird, wodurch der wahrgenommene Schweregrad und die Priorität einer Schwachstelle im Hinblick auf die spezifische Bedrohungslandschaft des Unternehmens sich verzerrt darstellen.

Begrenzter Rahmen

Die bisherige Version des CVSS-Bewertungssystems konzentrierte sich hauptsächlich auf einzelne Schwachstellen. Beispielsweise berücksichtigt CVSS in der Regel nicht die bestehenden Sicherheitskontrollen, die eine Schwachstelle abschwächen könnten, oder das Potenzial für verkettete Exploits, bei denen mehrere Schwachstellen zum Eintritt in ein System genutzt werden. Dieser Mangel an Kontext kann zu einer ungenauen Einschätzung des tatsächlichen Schweregrads einer Schwachstelle führen.

Optimierungen durch CVSS V4.0

Die aktualisierte Version zielt darauf ab, eine realistischere Darstellung von Risiken zu bieten, frühere Einschränkungen zu reduzieren und Organisationen dabei zu helfen, Schwachstellen zu priorisieren und Ressourcen zur Problemlösung effektiver zuzuweisen. CVSS v4.0 ist nun auch besser für die Bewältigung der Komplexität von IoT/OT/ICS-Umgebungen gerüstet, die zunehmend Ziel von Hacker-Angriffen sind.

Genauere Bewertung von Schwachstellen

Die Konzepte „Angriffskomplexität“ und „Angriffsanforderungen“ wurden verfeinert, um den Bewertungsprozess zu präzisieren.

Größere Flexibilität und Anpassungsfähigkeit

Durch die Einführung detaillierterer Metriken und eines modularen Ansatzes ermöglicht es CVSS v4.0, das Bewertungssystem noch besser an die individuellen Bedürfnisse und Umgebungen anzupassen. Daraus resultiert eine genauere Risikodarstellung der Schwachstellen für eine bestimmte Organisation. Das neue Framework umfasst betriebliche Technologie- und Sicherheitsmetriken und unterscheidet zwischen aktiver und passiver Interaktion der Anwender.

Verbesserte Darstellung der tatsächlichen Risiken

Dies wird erreicht, indem zusätzliche Kriterien wie die Wahrscheinlichkeit einer Kompromittierung und die möglichen Folgen eines erfolgreichen Angriffs berücksichtigt werden.

Die neue Version CVSS v4.0 legt den Schwerpunkt auf die Einbeziehung von Informationen über die einzelnen Bedrohungen und Umgebungsmetriken in die Bewertung, um eine realistischere Risikobewertung zu ermöglichen.

(ID:49913851)