Il CVSS (Common Vulnerability Scoring System) è uno standard internazionale per misurare la gravità delle vulnerabilità di sicurezza nei software e nei sistemi.
Sommario
Il CVSS utilizza criteri neutrali rispetto ai fornitori e una metodologia di punteggio standardizzata per esprimere la gravità delle vulnerabilità in modo coerente e quantitativo.
Basandosi su metriche oggettive anziché su interpretazioni specifiche dei fornitori, il CVSS consente alle organizzazioni di confrontare le vulnerabilità tra prodotti, ambienti e settori utilizzando un linguaggio comune.
Qual è lo scopo del CVSS?
Lo scopo del CVSS è aiutare le organizzazioni a valutare, confrontare e prioritizzare in modo coerente le vulnerabilità in base alla gravità. I punteggi CVSS forniscono un input strutturato nella gestione delle vulnerabilità e nelle decisioni di rimedio basate sul rischio.
A ciascuna vulnerabilità viene assegnato un punteggio numerico che va da 0.0 a 10.0, che è anche mappato a livelli di gravità qualitativi:
- Basso
- Medio
- Alto
- Critico
Grazie al suo approccio standardizzato, il CVSS è ampiamente utilizzato dai team di sicurezza, dai fornitori, dai risponditori agli incidenti e dai database di vulnerabilità come riferimento principale per la prioritizzazione delle rimedizioni.
Chi mantiene il CVSS e come si è evoluto?
Il CVSS è mantenuto dal CVSS Special Interest Group (CVSS-SIG) sotto FIRST (Forum of Incident Response and Security Teams). FIRST è un'organizzazione internazionale di cybersecurity focalizzata sul miglioramento della risposta agli incidenti e del coordinamento delle vulnerabilità a livello globale.
Dalla sua introduzione, il CVSS ha subito diverse revisioni per riflettere i cambiamenti nella tecnologia e nei paesaggi delle minacce. L'aggiornamento principale più recente è stato annunciato a luglio 2023, con il rilascio ufficiale del CVSS v4.0 a novembre 2023, segnando un'evoluzione significativa nel modo in cui viene valutata la gravità delle vulnerabilità.
FIRST descrive il CVSS come un framework progettato per fornire "un approccio standardizzato per valutare la gravità delle vulnerabilità e aiutare le organizzazioni a prioritizzare gli sforzi di risposta."
— FIRST (Forum of Incident Response and Security Teams)
Cos'è il CVSS v4.0 e perché è importante?
Il CVSS v4.0 è l'ultima versione principale del framework CVSS, progettata per affrontare le limitazioni strutturali delle versioni precedenti. Migliora la precisione del punteggio, riduce l'ambiguità e amplia l'applicabilità oltre gli ambienti IT tradizionali.
In particolare, il CVSS v4.0 introduce una separazione più chiara delle metriche, una maggiore granularità del punteggio e un supporto esplicito per la Tecnologia Operativa (OT), i Sistemi di Controllo Industriale (ICS) e gli ambienti IoT, riflettendo il modo in cui le organizzazioni moderne operano effettivamente.
Quali gruppi di metriche compongono il CVSS v4.0?
Il CVSS v4.0 è composto da quattro gruppi di metriche che valutano la gravità delle vulnerabilità da diverse prospettive. Questi gruppi possono essere combinati per calcolare punteggi allineati a casi d'uso specifici.
I quattro gruppi di metriche sono:
- Metriche Base – Misurano la gravità intrinseca di una vulnerabilità
- Metriche di Minaccia – Riflettono l'attività di sfruttamento nel mondo reale
- Metriche Ambientali – Personalizzano la gravità in base al contesto organizzativo
- Metriche Supplementari – Forniscono un contesto aggiuntivo relativo alla risposta
Ogni gruppo svolge uno scopo distinto all'interno dei flussi di lavoro di valutazione e risposta alle vulnerabilità.
Cosa sono le Metriche Base del CVSS?
Le Metriche Base misurano la gravità intrinseca di una vulnerabilità, indipendentemente dalle condizioni esterne. Valutano sia quanto sia difficile sfruttare una vulnerabilità sia l'impatto potenziale se si verifica lo sfruttamento.
Le Metriche Base sono tipicamente valutate dal fornitore del prodotto e, una volta definite, rimangono stabili nel tempo. Nel CVSS v4.0, le Metriche Base sono state perfezionate per migliorare la chiarezza e la granularità, consentendo una valutazione della gravità più precisa.
Cosa sono le Metriche di Minaccia del CVSS?
Le Metriche di Minaccia valutano quanto attivamente una vulnerabilità viene sfruttata in condizioni del mondo reale. Questo gruppo di metriche si concentra sull'esistenza di codice di sfruttamento e sull'osservazione dello sfruttamento in natura.
Poiché l'attività delle minacce cambia nel tempo, le Metriche di Minaccia sono intrinsecamente dinamiche e vengono generalmente valutate dai consumatori di vulnerabilità utilizzando l'intelligence delle minacce e il contesto operativo.
Le considerazioni chiave includono:
- Disponibilità di codice di sfruttamento
- Evidenza di sfruttamento attivo o diffuso
Cosa sono le Metriche Ambientali del CVSS?
Le Metriche Ambientali adattano la gravità delle vulnerabilità all'ambiente specifico di un'organizzazione. Tengono conto di quanto sia critico il sistema interessato per la riservatezza, l'integrità e la disponibilità all'interno di una determinata organizzazione.
Di conseguenza, i punteggi delle Metriche Ambientali possono variare significativamente tra le organizzazioni a seconda del ruolo del sistema, dell'impatto sul business e dei vincoli operativi.
Cosa sono le Metriche Supplementari del CVSS?
Le Metriche Supplementari forniscono informazioni contestuali aggiuntive per supportare le decisioni di risposta alle vulnerabilità. Sebbene non influenzino i calcoli dei punteggi CVSS, offrono preziose informazioni per la pianificazione della rimedizione.
Esempi di fattori catturati dalle Metriche Supplementari includono:
- Livello di automazione degli attacchi
- Complessità del recupero
- Sforzo necessario per ripristinare i sistemi interessati
Queste metriche aiutano le organizzazioni a passare dalla valutazione della gravità alla pianificazione pratica della risposta.
Quali tipi di punteggi CVSS esistono nel CVSS v4.0?
Il CVSS v4.0 supporta diversi tipi di punteggi basati su diverse combinazioni di gruppi di metriche. Questo consente alle organizzazioni di valutare la gravità delle vulnerabilità da prospettive di base, ambientali e di minaccia in tempo reale.
I principali tipi di punteggi CVSS includono:
- CVSS-B – Solo punteggio base
- CVSS-BE – Base + Ambientale
- CVSS-BT – Base + Minaccia
- CVSS-BTE – Base + Minaccia + Ambientale
Ad esempio, le organizzazioni che valutano la gravità delle vulnerabilità nel proprio ambiente si affidano tipicamente al CVSS-BE, mentre quelle che incorporano l'intelligence delle minacce attive utilizzano il CVSS-BTE.
Cosa è cambiato nel CVSS v4.0 rispetto al CVSS v3.1?
Il CVSS v4.0 è stato sviluppato per affrontare sfide ben documentate nel CVSS v3.1. Nel tempo, il CVSS v3.1 è diventato sempre più disallineato con i sistemi moderni e le condizioni delle minacce.
FIRST ha identificato diversi problemi chiave, tra cui:
- Eccessiva dipendenza dai punteggi base per l'analisi del rischio
- Influenza limitata delle Metriche Temporali (ora Metriche di Minaccia)
- Rappresentazione insufficiente delle minacce in tempo reale
- Scarsa applicabilità ai sistemi OT, ICS e critici per la sicurezza
- Accumulo eccessivo di punteggi nelle gamme "Alto" e "Critico"
- Granularità limitata del punteggio
- Metodologia di punteggio complessa e poco intuitiva
Sfide del CVSS v3.1 come pubblicato da FIRST, riassunte e tradotte per chiarezza.
Come migliorano questi cambiamenti il CVSS v4.0?
Gli aggiornamenti introdotti nel CVSS v4.0 rendono la valutazione delle vulnerabilità più precisa, azionabile e rilevante. Ogni cambiamento mira direttamente a una limitazione identificata nelle versioni precedenti.
I miglioramenti chiave includono:
- Maggiore granularità nelle Metriche Base
- Rimozione della logica di punteggio a valle ambigua
- Metriche di Minaccia semplificate con maggiore influenza sul punteggio
- Introduzione di Metriche Supplementari per il supporto alla risposta
- Ampliamento dell'applicabilità agli ambienti OT, ICS e IoT
FIRST osserva che il CVSS v4.0 è stato progettato per "riflettere meglio le condizioni di sfruttamento del mondo reale e le architetture di sistemi moderni."
Perché la copertura OT ampliata è il cambiamento più significativo nel CVSS v4.0?
Il miglioramento più significativo del CVSS v4.0 è la sua inclusione esplicita degli ambienti di Tecnologia Operativa (OT). Questa è la prima versione del CVSS che tiene formalmente conto delle vulnerabilità che possono avere implicazioni per la sicurezza fisica.
Man mano che la trasformazione digitale continua a sfumare il confine tra IT e OT, le vulnerabilità nei sistemi industriali possono avere un impatto diretto sulla produzione, sulla sicurezza e sulla vita umana. Il CVSS v4.0 riflette questa realtà incorporando metriche sensibili alla sicurezza e considerazioni di impatto a valle.
Come dovrebbero prepararsi le organizzazioni per utilizzare efficacemente il CVSS v4.0?
Per utilizzare efficacemente il CVSS v4.0, le organizzazioni devono adattare le pratiche di gestione delle vulnerabilità per tenere conto delle realtà sia IT che OT. Sebbene il CVSS v4.0 migliori la visibilità, le sfide di risposta rimangono, in particolare negli ambienti OT.
Le differenze chiave includono:
- I sistemi OT prioritizzano la disponibilità e la sicurezza rispetto all'applicazione di patch
- Gli ambienti di distribuzione sono spesso chiusi e gestiti dai fornitori
- L'applicazione di patch può essere impraticabile o esplicitamente evitata
Senza personale che comprenda sia i contesti IT che OT, le organizzazioni possono avere difficoltà ad agire da sole sulle intuizioni delle vulnerabilità.
Perché la visibilità degli asset OT e la prevenzione degli exploit sono critiche?
La visibilità degli asset OT e la prevenzione degli exploit sono essenziali quando l'applicazione di patch tradizionali non è pratica. Le organizzazioni devono prima comprendere quali asset OT possiedono prima di poter gestire le vulnerabilità associate.
La riduzione efficace del rischio di vulnerabilità OT generalmente implica:
- Scoperta completa degli asset OT
- Monitoraggio continuo del traffico di rete
- Sensori e strumenti di visibilità specifici per OT
- Applicazione di patch virtuali tramite sistemi di prevenzione delle intrusioni (IPS) focalizzati su OT
Questi controlli aiutano a prevenire lo sfruttamento e a ridurre il rischio anche quando le vulnerabilità non possono essere risolte tramite patch.
Dove posso ottenere aiuto con il CVSS e la prioritizzazione del rischio di vulnerabilità?
Trend Vision One™ offre una soluzione di Gestione dell'Esposizione al Rischio Informatico (CREM) che va oltre la semplice valutazione del CVSS per aiutare le organizzazioni a comprendere, prioritizzare e ridurre il rischio su tutta la loro superficie di attacco. Combina la valutazione della gravità delle vulnerabilità con l'intelligence delle minacce in tempo reale e l'analisi contestuale del rischio, consentendo ai team di sicurezza di prendere decisioni più rapide e intelligenti.
Questo approccio integra capacità chiave come la Gestione della Superficie di Attacco, la Gestione delle Vulnerabilità e la Valutazione della Postura di Sicurezza negli ambienti IT, OT, cloud e ibridi. Non si tratta solo di identificare le vulnerabilità, ma di trasformare le intuizioni in passi azionabili che rafforzano la resilienza e minimizzano l'esposizione.
Con la Gestione dell'Esposizione al Rischio Informatico, puoi:
- Ottenere visibilità sui tuoi asset e vulnerabilità più critici
- Prioritizzare la rimedizione in base al rischio reale, non solo ai punteggi teorici
- Ridurre la probabilità di sfruttamento attraverso strategie proattive di riduzione del rischio
Domande frequenti (FAQ)
Cosa significa CVSS nel campo della cybersecurity?
CVSS significa Common Vulnerability Scoring System. È un framework standardizzato utilizzato per misurare la gravità delle vulnerabilità di sicurezza nei software e nei sistemi. Il CVSS fornisce punteggi numerici che aiutano le organizzazioni a confrontare le vulnerabilità in modo coerente e a prioritizzare gli sforzi di rimedio.
Cos'è un punteggio CVSS?
Un punteggio CVSS è un valore numerico che rappresenta la gravità di una vulnerabilità. I punteggi vanno da 0.0 a 10.0, con punteggi più alti che indicano un rischio maggiore. Questi punteggi sono comunemente categorizzati come Basso, Medio, Alto o Critico.
Chi utilizza i punteggi CVSS?
I punteggi CVSS sono utilizzati dai team di sicurezza, dai fornitori e dai database di vulnerabilità in tutto il mondo. Le organizzazioni si affidano a essi per prioritizzare l'applicazione delle patch, guidare la risposta agli incidenti e supportare le decisioni di gestione delle vulnerabilità basate sul rischio in ambienti diversi.
Qual è la differenza tra CVSS v3.1 e CVSS v4.0?
Il CVSS v4.0 migliora la precisione e l'applicabilità rispetto al CVSS v3.1. Introduce una maggiore granularità del punteggio, semplifica la valutazione delle minacce e amplia la copertura agli ambienti OT, ICS e IoT, riducendo al contempo l'ambiguità del punteggio.
Quali sono i gruppi di metriche nel CVSS v4.0?
Il CVSS v4.0 include quattro gruppi di metriche che valutano la gravità delle vulnerabilità da diverse prospettive. Questi sono Metriche Base, Metriche di Minaccia, Metriche Ambientali e Metriche Supplementari, che insieme supportano una valutazione della gravità più consapevole del contesto.