CVSS (Common Vulnerability Scoring System) — это международный стандарт для измерения серьезности уязвимостей в программном обеспечении и системах.
Содержание
CVSS использует критерии, не зависящие от поставщика, и стандартизированную методологию оценки для количественного выражения серьезности уязвимости.
Опираясь на объективные показатели, а не интерпретацию конкретных поставщиков, CVSS позволяет организациям сравнивать уязвимости в разных продуктах, средах и отраслях, используя стандартные формулировки.
Какова цель CVSS?
Цель CVSS — помочь организациям последовательно оценивать, сравнивать и приоритизировать уязвимости в зависимости от степени серьезности. Оценки CVSS — это структурированный показатель, который можно использовать для управления уязвимостями и принятия решений по устранению рисков.
Каждой уязвимости присваивается балл от 0,0 до 10,0, который сопоставляется с уровнями серьезности:
- Низкий
- Средний
- Высокий
- Критический
Благодаря стандартизированному подходу CVSS широко используется специалистами по безопасности, вендорами, службами реагирования на инциденты и базами данных уязвимостей в качестве основного источника информации для приоритизации исправлений.
Кто поддерживает CVSS и как он развивался?
CVSS поддерживается рабочей группой CVSS Special Interest Group (CVSS-SIG) в рамках проекта Forum of Incident Response and Security Teams (FIRST). FIRST — это международная организация кибербезопасности, которая занимается улучшением реагирования на инциденты и координацией уязвимостей по всему миру.
С момента своего внедрения стандарт CVSS претерпел несколько редакций, отражающих изменения в технологиях и ландшафтах угроз. Последнее крупное обновление было объявлено в июле 2023 года, а стандарт CVSS v4.0 официально вышел в ноябре 2023, ознаменовав значительное изменение в оценке серьезности уязвимостей.
FIRST описывает CVSS как систему, разработанную для обеспечения «стандартизированного подхода к оценке серьезности уязвимостей и помощи организациям в приоритизации усилий по реагированию».
— FIRST (Forum of Incident Response and Security Teams)
Что такое CVSS v4.0 и почему он важен?
CVSS v4.0 — это последняя основная версия стандарта CVSS, в которой устранены структурные ограничения более ранних версий. Он обеспечивает более точную и недвусмысленную оценку и может применяться не только в традиционных ИТ-средах.
Что особенно важно, CVSS v4.0 обеспечивает более четкое разделение метрик, большую детализацию оценки и явную поддержку операционных технологий, промышленных систем управления и Интернета вещей, которые широко применяются современными организациями.
Какие группы метрик составляют CVSS v4.0?
Стандарт CVSS v4.0 состоит из четырех групп метрик, которые оценивают серьезность уязвимостей с разных точек зрения. Эти группы можно объединять для расчета баллов в конкретных сценариях использования.
Четыре группы метрик:
- Базовые метрики — измерение степени серьезности уязвимости.
- Метрики угроз — отражение текущего состояния эксплуатации уязвимостей.
- Контекстные метрики — оценка степени серьезности в зависимости от организационного контекста.
- Дополнительные метрики — предоставление дополнительного контекста, связанного с реагированием.
Каждая группа служит конкретной цели в оценке уязвимостей и рабочих процессах реагирования.
Что такое базовые метрики CVSS?
Базовые метрики измеряют степень серьезности уязвимости независимо от внешних условий. Они оценивают как сложность эксплуатации уязвимости, так и потенциальное воздействие эксплуатации.
Базовые метрики обычно оцениваются поставщиком продукта и не меняются с течением времени. В редакции CVSS v4.0 базовые метрики были уточнены для внесения ясности и повышения детализации, что позволяет получить более точную оценку степени серьезности.
Что такое метрики угроз CVSS?
Метрики угроз оценивают, насколько активно уязвимость используется в реальных условиях. Эта группа фокусируется на том, существует ли код эксплойта и наблюдается ли эксплойт в реальных условиях.
Поскольку активность угроз со временем меняется, метрики угроз по своей природе динамичны и, как правило, оцениваются потребителями на основе аналитики угроз и операционного контекста.
Ключевые факторы:
- Доступность кода эксплойта.
- Признаки активной или широко распространенной эксплуатации.
Что такое контекстные метрики CVSS?
Контекстные метрики адаптируют серьезность уязвимостей к конкретной среде организации. Они учитывают, насколько важна затронутая система для обеспечения конфиденциальности, целостности и доступности в конкретной организации.
Оценки в этой группе во многом зависят от роли системы, влияния на бизнес и операционных ограничений.
Что такое дополнительные метрики CVSS?
Дополнительные метрики предоставляют дополнительную контекстную информацию для поддержки решений по реагированию на уязвимости. Хотя они не влияют на расчеты баллов CVSS, они предоставляют ценную информацию для планирования устранения последствий.
Примеры факторов, охватываемых дополнительными метриками:
- Уровень автоматизации атак.
- Сложность восстановления.
- Усилия, необходимые для восстановления затронутых систем.
Эти показатели помогают организациям перейти от оценки серьезности к практическому планированию реагирования.
Какие типы оценок CVSS существуют в CVSS v4.0?
CVSS v4.0 поддерживает несколько типов оценок на основе различных комбинаций групп метрик. Это позволяет организациям оценивать степень серьезности уязвимостей с точки зрения базового уровня, контекста и угроз в реальном времени.
Основные типы оценок CVSS:
- CVSS-B — только базовая оценка
- CVSS-BE — база + контекст.
- CVSS-BT — база + угроза.
- CVSS-BTE — база + угроза + контекст.
Например, организации, оценивающие серьезность уязвимостей в собственной среде, обычно полагаются на CVSS-BE, а организации, использующие активные аналитические данные об угрозах, применяют CVSS-BTE.
Что изменилось в CVSS v4.0 по сравнению с редакцией 3.1?
Стандарт CVSS v4.0 был разработан для решения хорошо задокументированных проблем в CVSS v3.1. Со временем стандарт CVSS v3.1 перестал соответствовать современным системам и угрозам.
Организация FIRST выявила несколько ключевых проблем, в том числе:
- Чрезмерная зависимость от баллов за базовые метрики при анализе рисков.
- Ограниченное влияние временных метрик (теперь это метрики угроз).
- Недостаточное представление угроз в реальном времени.
- Плохая применимость к средам ОТ, промышленным системам управления и критически важным системам безопасности.
- Слишком много оценок уровня «Высокий» и «Критический».
- Ограниченная детализация оценки.
- Сложная и неинтуитивная методология оценки.
Проблемы со стандартом CVSS v3.1, опубликованные FIRST, обобщены и переведены для ясности.
Как изменения улучшили CVSS v4.0?
Корректировки, внесенные в версии CVSS v4.0, позволили повысить точность, применимость и актуальность оценки уязвимости. Каждое изменение направлено на ограничение, выявленное в предыдущих версиях.
Основные улучшения:
- Повышение детализации базовых метрик.
- Удаление двусмысленной логики последующей оценки.
- Упрощенные метрики угроз, получившие больший вес в оценке.
- Введение дополнительных метрик для поддержки реагирования.
- Расширение применения на среды OT, промышленные системы управления и Интернет вещей.
FIRST отмечает, что стандарт CVSS v4.0 был разработан, чтобы «лучше отражать реальные условия эксплуатации и современные системные архитектуры».
Почему расширенное покрытие OT можно считать наиболее существенным изменением в CVSS v4.0?
Главным усовершенствованием CVSS v4.0 является явное включение в него сред операционных технологий (OT). Это первая версия CVSS, которая официально учитывает уязвимости, способные повлиять на физическую безопасность.
Поскольку цифровая трансформация продолжает размывать границы между ИТ и ОТ, уязвимости в промышленных системах могут напрямую влиять на производство, безопасность и жизнь людей. CVSS v4.0 отражает эту реальность, используя метрики, учитывающие безопасность, и факторы влияния на последующие процессы.
Как организации должны готовиться к эффективному использованию CVSS v4.0?
Чтобы эффективно использовать CVSS v4.0, организации должны адаптировать методы управления уязвимостями для учета реалий ИТ и ОТ. Хотя CVSS v4.0 улучшает видимость, проблемы с реагированием сохраняются, особенно в ОТ-средах.
Основные различия:
- В ОТ-системах доступность и безопасность важнее исправлений.
- Среды развертывания часто закрыты и управляются поставщиками.
- Установка исправлений может быть нецелесообразной или нежелательной.
Без специалистов, которые одинаково хорошо понимают контексты ИТ и ОТ, организациям трудно действовать, опираясь на аналитические данные об уязвимостях.
Почему важно обеспечить видимость ОТ-активов и предотвращение эксплойтов?
Отслеживание ОТ-активов и предотвращение эксплойтов необходимы, когда устанавливать традиционные исправления нецелесообразно. Организации должны сначала понять, какие ОТ-активы у них есть, прежде чем управлять соответствующими уязвимостями.
Эффективное снижение риска уязвимостей в среде ОТ обычно включает:
- Комплексное обнаружение активов ОТ.
- Непрерывный мониторинг сетевого трафика.
- Датчики и инструменты отслеживания для ОТ.
- Виртуальное исправление с помощью систем предотвращения вторжений (IPS), ориентированных на ОТ.
Эти средства контроля помогают предотвратить эксплуатацию и снизить риск, даже если уязвимости нельзя устранить путем установки исправлений.
Где получить помощь по CVSS и приоритизации рисков уязвимостей?
Trend Vision One™ предлагает решение Cyber Risk Exposure Management (CREM), которое выходит за рамки базовой оценки CVSS, помогая организациям понимать, приоритизировать и снижать риски по всей поверхности атаки. Она сочетает в себе оценку серьезности уязвимостей, анализ угроз в реальном времени и контекстуальный анализ рисков, позволяя командам безопасности принимать более быстрые и взвешенные решения.
Этот подход объединяет такие ключевые возможности, как управление поверхностями атак, управление уязвимостями и оценка состояния безопасности в ИТ-, ОТ-, облачных и гибридных средах. Речь идет не только о выявлении уязвимостей, но и о превращении аналитических данных в практические меры, которые повышают устойчивость и минимизируют воздействие.
Возможности Cyber Risk Exposure Management:
- Отслеживайте свои самые важные активы и уязвимости.
- Расставляйте приоритеты на основе реальных рисков, а не только теоретических оценок.
- Снижайте вероятность эксплуатации уязвимостей благодаря проактивным стратегиям сокращения рисков.
Фернандо Кардосо занимает должность вице-президента по управлению продуктами в Trend Micro. Особое внимание он уделяет постоянно меняющимся технологиям ИИ и облаков. Он начал карьеру как инженер по сетям и инженер по продажам в сфере центров обработки данных, облака, DevOps и кибербезопасности. Эти темы по-прежнему увлекают его.
Часто задаваемые вопросы
Как расшифровывается CVSS в области кибербезопасности?
CVSS расшифровывается как Common Vulnerability Scoring System и переводится как стандартная система оценки уязвимостей. Это стандартизированная структура, используемая для измерения серьезности уязвимостей в программном обеспечении и системах. CVSS предоставляет числовые оценки, которые помогают организациям систематизировано сравнивать уязвимости и приоритизировать усилия по их устранению.
Что такое оценка CVSS?
Оценка CVSS — это числовое значение, которое отражает степень серьезности уязвимости. Она варьируется от 0,0 до 10,0 — чем выше значение, тем выше риск. Оценка соотносится с одним из уровней: «Низкий», «Средний», «Высокий» и «Критический».
Кто использует оценки CVSS?
Баллы CVSS используются группами безопасности, вендорами и базами данных уязвимостей по всему миру. С их помощью организации приоритизируют меры по исправлению, планируют реагирование на инциденты и принимают решения по управлению уязвимостями на основе рисков в различных средах.
В чем разница между CVSS v3.1 и CVSS v4.0?
Версия CVSS v4.0 имеет более высокую точность и широкий охват по сравнению с CVSS v3.1. Она дает более детализированный и недвусмысленный результат, упрощает оценку угроз и применяется к OT, промышленным системам управления и Интернету вещей.
Какие группы метрик входят в CVSS v4.0?
Стандарт CVSS v4.0 состоит из четырех групп метрик, которые оценивают серьезность уязвимостей с разных точек зрения. Это базовые метрики, метрики угроз, показатели контекстные метрики и дополнительные метрики. Вместе они помогают оценивать степень серьезности в зависимости от контекста.