Was ist CVSS (Common Vulnerability Scoring System)?

CVSS v4.0 besteht aus vier Metrikgruppen, die die Schwere von Schwachstellen aus verschiedenen Perspektiven bewerten. Diese Gruppen können kombiniert werden, um Bewertungen zu berechnen, die auf spezifische Anwendungsfälle abgestimmt sind.

Die vier Metrikgruppen sind:

• Basis-Metriken – Messen die inhärente Schwere einer Schwachstelle
• Bedrohungsmetriken – Spiegeln die tatsächliche Ausnutzungsaktivität wider
• Umweltmetriken – Passen die Schwere basierend auf dem organisatorischen Kontext an
• Zusatzmetriken – Bieten zusätzlichen kontextbezogenen Informationen zur Reaktion

Jede Gruppe erfüllt einen spezifischen Zweck innerhalb der Schwachstellenbewertung und Reaktionsabläufe.

Basis-Metriken messen die inhärente Schwere einer Schwachstelle, unabhängig von externen Bedingungen. Sie bewerten sowohl die Schwierigkeit der Ausnutzung einer Schwachstelle als auch die potenziellen Auswirkungen, wenn die Ausnutzung erfolgt.

Basis-Metriken werden typischerweise vom Produktanbieter bewertet und bleiben, einmal definiert, über die Zeit stabil. In CVSS v4.0 wurden die Basis-Metriken verfeinert, um Klarheit und Granularität zu verbessern, was präzisere Schwerebewertungen ermöglicht.

Bedrohungsmetriken bewerten, wie aktiv eine Schwachstelle unter realen Bedingungen ausgenutzt wird. Diese Metrikgruppe konzentriert sich darauf, ob Exploit-Code existiert und ob die Ausnutzung in freier Wildbahn beobachtet wurde.

Da sich die Bedrohungsaktivität im Laufe der Zeit ändert, sind Bedrohungsmetriken von Natur aus dynamisch und werden in der Regel von Schwachstellenkonsumenten unter Verwendung von Bedrohungsinformationen und operationellem Kontext bewertet.

Wichtige Überlegungen umfassen:

• Verfügbarkeit von Exploit-Code
• Nachweise für aktive oder weit verbreitete Ausnutzung

Umweltmetriken passen die Schwere von Schwachstellen an die spezifische Umgebung einer Organisation an. Sie berücksichtigen, wie kritisch das betroffene System für Vertraulichkeit, Integrität und Verfügbarkeit innerhalb einer bestimmten Organisation ist.

Daher können sich die Umweltmetriken-Bewertungen zwischen Organisationen erheblich unterscheiden, abhängig von der Rolle des Systems, den geschäftlichen Auswirkungen und den betrieblichen Einschränkungen.

Zusatzmetriken bieten zusätzliche kontextbezogene Informationen zur Unterstützung von Entscheidungen zur Schwachstellenreaktion. Obwohl sie die CVSS-Bewertungen nicht beeinflussen, bieten sie wertvolle Einblicke für die Behebungsplanung.

Beispiele für Faktoren, die von Zusatzmetriken erfasst werden, umfassen:

• Grad der Angriffsautomatisierung
• Komplexität der Wiederherstellung
• Aufwand zur Wiederherstellung betroffener Systeme

Diese Metriken helfen Organisationen, von der Schwerebewertung zur praktischen Reaktionsplanung überzugehen.