Was ist CVSS (Common Vulnerability Scoring System)?

CVSS v4.0 besteht aus vier Metrikgruppen, die den Schweregrad der Schwachstellen aus verschiedenen Perspektiven bewerten. Diese Gruppen lassen sich kombinieren, damit Ergebnisse für bestimmte Anwendungsfälle berechnet werden können.

Die vier Metrikgruppen sind:

• Basismetriken – Messung der intrinsischen Schwere einer Schwachstelle
• Bedrohungsmetriken – Spiegelung realer Ausbeutungsaktivitäten
• Umweltmetriken – Anpassung der Schweregradbewertung an den jeweiligen Unternehmenskontext
• Ergänzende Metriken – Bereitstellung zusätzlicher kontextbezogener Informationen zu den Antworten

Jede Gruppe erfüllt einen bestimmten Zweck innerhalb der Workflows zur Bewertung und Behebung von Schwachstellen.

Basismetriken messen den inhärenten Schweregrad einer Schwachstelle, unabhängig von externen Bedingungen. Sie bewerten einerseits, wie schwierig es ist, eine Schwachstelle auszunutzen, und andererseits die potenziellen Auswirkungen, wenn eine Ausnutzung erfolgt.

Basismetriken werden in der Regel vom Produkthersteller festgelegt und bleiben nach ihrer Definition über einen längeren Zeitraum stabil. In CVSS v4.0 wurden die Basismetriken verfeinert, um die Klarheit und Granularität zu verbessern und eine präzisere Bewertung des Schweregrads zu ermöglichen.

Bedrohungsmetriken bewerten, wie aktiv eine Schwachstelle unter realen Bedingungen ausgenutzt wird. Diese Metrikgruppe konzentriert sich darauf, ob Exploit-Code vorhanden ist und ob Exploits in der Praxis beobachtet wurden.

Da sich Bedrohungsaktivitäten im Lauf der Zeit ändern, sind Bedrohungsmetriken von Natur aus dynamisch. Sie werden in der Regel von Anwendern anhand von Threat Intelligence und betrieblichem Kontext ermittelt.

Zu den wichtigsten Überlegungen gehören:

• Verfügbarkeit von Exploit-Code
• Anzeichen für aktive oder weit verbreitete Ausbeutung

Umweltmetriken stimmen den Schweregrad der Anfälligkeit auf die spezifische Umgebung eines Unternehmens ab. Sie berücksichtigen, wie kritisch das betroffene System für die Vertraulichkeit, Integrität und Verfügbarkeit innerhalb eines bestimmten Unternehmens ist.

Folglich können die Umweltkennzahlen zwischen verschiedenen Unternehmen erheblich variieren, abhängig von der Systemrolle, den geschäftlichen Auswirkungen und den betrieblichen Einschränkungen.

Ergänzende Metriken liefern zusätzliche Kontextinformationen, um Entscheidungen bezüglich der Reaktion auf Schwachstellen zu unterstützen. Obwohl sie die Berechnung des CVSS-Wertes nicht beeinflussen, bieten sie wertvolle Erkenntnisse für die Planung von Abhilfemaßnahmen.

Beispiele für Faktoren, die von ergänzenden Metriken erfasst werden, sind:

• Grad der Angriffsautomatisierung
• Komplexität der Wiederherstellung
• Aufwand für die Wiederherstellung der betroffenen Systeme

Anhand dieser Kennzahlen können Unternehmen von der Schweregradbewertung zur praktischen Reaktionsplanung übergehen.