Společný systém hodnocení zranitelnosti - Common Vulnerability Scoring System

The Společný systém hodnocení zranitelnosti (CVSS) je zdarma a otevřeno průmyslový standard pro posouzení závažnosti zabezpečení počítačového systému zranitelnosti. CVSS se pokouší přiřadit skóre závažnosti zranitelným místům, což umožňuje respondentům stanovit priority odpovědí a zdrojů podle ohrožení. Skóre se počítá na základě vzorce, který závisí na několika metriky že přibližná snadnost využití a dopad využití. Skóre se pohybuje od 0 do 10, přičemž 10 je nejtěžších. Zatímco mnozí používají k určení závažnosti pouze skóre CVSS Base, existují také časové a environmentální skóre, aby se zohlednila dostupnost zmírnění a rozsah rozšířených zranitelných systémů v organizaci.

Aktuální verze CVSS (CVSSv3.1) byla vydána v červnu 2019.^[1]

Dějiny

Výzkum Poradní výbor pro národní infrastrukturu (NIAC) v letech 2003/2004 vedlo ke spuštění CVSS verze 1 (CVSSv1) v únoru 2005 s cílem být „navrženo tak, aby poskytovalo otevřené a univerzálně standardní hodnocení závažnosti softwarových zranitelností“. Tento původní návrh nebyl předmětem vzájemného hodnocení ani přezkoumání jinými organizacemi. V dubnu 2005 společnost NIAC vybrala fórum týmů pro reakci na incidenty a bezpečnostní týmy (ZA PRVÉ ) stát se správcem CVSS pro další vývoj.^[2]

Zpětná vazba od dodavatelů využívajících při výrobě CVSSv1 naznačuje, že došlo k „významným problémům s počátečním návrhem CVSS“. Práce na CVSS verze 2 (CVSSv2) začaly v dubnu 2005 a konečná specifikace byla zahájena v červnu 2007.^[3]

Další zpětná vazba vyústila v zahájení prací na CVSS verze 3^[4] v roce 2012, končící vydáním CVSSv3.0 v červnu 2015.^[5]

Terminologie

Hodnocení CVSS měří tři oblasti zájmu:

1. Základní metriky pro vlastnosti vlastní zranitelnosti
2. Dočasné metriky pro charakteristiky, které se vyvíjejí po celou dobu zranitelnosti
3. Environmentální metriky zranitelností, které závisí na konkrétní implementaci nebo prostředí

Pro každou z těchto metrických skupin se vygeneruje číselné skóre. Vektorový řetězec (nebo jednoduše „vektor“ v CVSSv2) představuje hodnoty všech metrik jako blok textu.

Verze 2

Kompletní dokumentace pro CVSSv2 je k dispozici na FIRST.^[6] Souhrn je uveden níže.

Základní metriky

Přístupový vektor

Přístupový vektor (AV) ukazuje, jak lze chybu zabezpečení zneužít.

Složitost přístupu

Metrika složitosti přístupu (AC) popisuje, jak snadné nebo obtížné je zneužít zjištěnou chybu zabezpečení.

Ověření

Metrika autentizace (Au) popisuje, kolikrát se musí útočník autentizovat u cíle, aby jej mohl zneužít. Nezahrnuje (například) autentizaci do sítě za účelem získání přístupu. U místně zneužitelných zranitelností by měla být tato hodnota nastavena na Single nebo Multiple, pokud je po počátečním přístupu vyžadováno další ověřování.

Dopadové metriky

Důvěrnost

Metrika důvěrnosti (C) popisuje dopad na důvěrnost údajů zpracovávaných systémem.

Integrita

Metrika Integrita (I) popisuje dopad na integritu využívaného systému.

Dostupnost

Metrika dostupnosti (A) popisuje dopad na dostupnost cílového systému. Na dostupnost systému mají vliv útoky, které spotřebovávají šířku pásma sítě, cykly procesorů, paměť nebo jakékoli jiné prostředky.

Výpočty

Těchto šest metrik se používá k výpočtu dílčích skóre zranitelnosti využitelnosti a dopadu. Tato dílčí skóre se používají k výpočtu celkového základního skóre.

${displaystyle {extsf {Exploitability}} = 20 obrázků {extsf {AccessVector}} obrázků {extsf {AttackComplexity}} obrázků {extsf {ověřování}}}$

${displaystyle {extsf {Impact}} = 10,41 imes (1- (1- {extsf {ConfImpact}}) imes (1- {extsf {IntegImpact}}) imes (1- {extsf {AvailImpact}}))}$

${displaystyle f ({extsf {Impact}}) = {egin {cases} 0, & {ext {if}} {extsf {Impact}} {ext {= 0}} 1.176, & {ext {jinak}} konec {případy}}}$

${displaystyle {extsf {BaseScore}} = {extsf {roundTo1Decimal}} ((((0,6 imes {extsf {Impact}}) + (0,4 imes {extsf {Exploitability}}) - 1,5) imes f ({extsf {Impact}} ))}$

Metriky jsou zřetězeny, aby se vytvořil vektor CVSS pro tuto chybu zabezpečení.

Příklad

Chyba zabezpečení týkající se přetečení vyrovnávací paměti má vliv na software webového serveru, který umožňuje vzdálenému uživateli získat částečnou kontrolu nad systémem, včetně možnosti způsobit jeho vypnutí:

To by poskytlo dílčí skóre využitelnosti 10 a dílčí skóre dopadu 8,5, což by poskytlo celkové základní skóre 9,0. Vektorem základního skóre by v tomto případě bylo AV: N / AC: L / Au: N / C: P / I: P / A: C. Skóre a vektor jsou obvykle prezentovány společně, aby příjemce mohl plně porozumět povaze zranitelnosti a v případě potřeby vypočítat vlastní environmentální skóre.

Časové metriky

Hodnota časových metrik se mění po celou dobu zranitelnosti, jak jsou vyvíjeny, zveřejňovány a automatizovány exploity a jak jsou k dispozici zmírnění a opravy.

Využitelnost

Metrika využitelnosti (E) popisuje aktuální stav technik využití nebo automatizovaného kódu využití.

Úroveň sanace

Úroveň nápravy (RL) zranitelnosti umožňuje, aby se časové skóre zranitelnosti snížilo, jakmile budou k dispozici zmírnění a oficiální opravy.

Nahlásit důvěru

Důvěra zprávy o zranitelnosti měří míru důvěry v existenci zranitelnosti a také důvěryhodnost technických podrobností zranitelnosti.

Výpočty

Tyto tři metriky se používají ve spojení se základním skóre, které již bylo vypočítáno k vytvoření dočasného skóre zranitelnosti s přidruženým vektorem.

Vzorec použitý k výpočtu časového skóre je:

${displaystyle {extsf {TemporalScore}} = {extsf {roundTo1Decimal}} ({extsf {BaseScore}} imes {extsf {Exploitability}} imes {extsf {RemediationLevel}} imes {extsf {ReportConfidence}})}$

Příklad

Pro pokračování výše uvedeného příkladu, pokud by byl prodejce poprvé informován o zranitelnosti zveřejněním kódu proof-of-concept do seznamu adresátů, bylo by počáteční časové skóre vypočítáno pomocí níže uvedených hodnot:

To by poskytlo časové skóre 7,3 s časovým vektorem E: P / RL: U / RC: UC (nebo úplným vektorem AV: N / AC: L / Au: N / C: P / I: P / A: C / E: P / RL: U / RC: UC).

Pokud prodejce poté chybu zabezpečení potvrdí, skóre se zvýší na 8,1 s časovým vektorem E: P / RL: U / RC: C

Dočasná oprava od dodavatele by snížila skóre zpět na 7,3 (E: P / RL: T / RC: C), zatímco oficiální oprava by ji snížila dále na 7,0 (E: P / RL: O / RC: C) . Jelikož nelze mít jistotu, že každý ovlivněný systém byl opraven nebo opraven, nemůže se časové skóre snížit pod určitou úroveň na základě akcí dodavatele a může se zvýšit, pokud dojde k vývoji automatického zneužití této chyby zabezpečení.

Environmentální metriky

Metriky prostředí používají základní a aktuální časové skóre k posouzení závažnosti chyby zabezpečení v kontextu způsobu, jakým je zranitelný produkt nebo software nasazen. Toto opatření se vypočítává subjektivně, obvykle postiženými stranami.

Potenciál poškození kolaterálem

Metrika Potenciál kolaterálního poškození (CDP) měří potenciální ztrátu nebo dopad na fyzická aktiva, jako je vybavení (a životy), nebo finanční dopad na postiženou organizaci, pokud dojde k zneužití zranitelnosti.

Cílová distribuce

Metrika cílové distribuce (TD) měří podíl zranitelných systémů v prostředí.

Modifikátor Impact Subscore

Tři další metriky hodnotí specifické bezpečnostní požadavky na důvěrnost (CR), integritu (IR) a dostupnost (AR), což umožňuje jemné doladění skóre prostředí podle prostředí uživatelů.

Výpočty

Těchto pět environmentálních metrik se používá ve spojení s dříve posuzovanými základními a časovými metrikami pro výpočet environmentálního skóre a pro vytvoření souvisejícího environmentálního vektoru.

${displaystyle {extsf {AdjustedImpact}} = min (10,10,41 imes (1- (1- {extsf {ConfImpact}} imes {extsf {ConfReq}}) imes (1- {extsf {IntegImpact}} imes {extsf {IntegReq }}) imes (1- {extsf {AvailImpact}} imes {extsf {AvailReq}}))}$

${displaystyle {extsf {AdjustedTemporal}} = {extsf {TemporalScore}} {ext {přepočítán pomocí}} {extsf {BaseScore}} {ext {s}} {extsf {Impact}} {ext {podrovnice nahrazena }} {extsf {AdjustedImpact}} {ext {rovnice}}}$

${displaystyle {extsf {EnvironmentalScore}} = {extsf {roundTo1Decimal}} (({extsf {AdjustedTemporal}} + (10- {extsf {AdjustedTemporal}}) imes {extsf {CollateralDamagePotential}}) je {extsf {TargetDistribution}}) }$

Příklad

Pokud by výše uvedený zranitelný webový server používala banka k poskytování online bankovních služeb a od dodavatele by byla k dispozici dočasná oprava, pak by bylo možné environmentální skóre vyhodnotit jako:

To by poskytlo environmentální skóre 8,2 a environmentální vektor CDP: MH / TD: H / CR: H / IR: H / AR: L. Toto skóre je v rozmezí 7,0–10,0, a proto představuje kritickou zranitelnost v kontextu podnikání dotčené banky.

Kritika verze 2

Několik prodejců a organizací vyjádřilo nespokojenost s CVSSv2.

Risk Based Security, která spravuje Open Sourced Vulnerability Database, a Open Security Foundation společně zveřejnily veřejný dopis FIRST týkající se nedostatků a selhání CVSSv2.^[7] Autoři citovali nedostatek členitosti v několika metrikách, což má za následek vektory a skóre CVSS, které správně nerozlišují zranitelnosti různých typů a rizikové profily. Rovněž bylo zjištěno, že bodovací systém CVSS vyžaduje příliš mnoho znalostí o přesném dopadu této chyby zabezpečení.

Společnost Oracle představila novou metrickou hodnotu „Partial +“ pro důvěrnost, integritu a dostupnost, aby vyplnila vnímané mezery v popisu mezi Partial a Complete v oficiálních specifikacích CVSS.^[8]

Verze 3

V reakci na některé z těchto kritik byl vývoj CVSS verze 3 zahájen v roce 2012. Konečná specifikace měla název CVSS v3.0 a byla vydána v červnu 2015. Kromě specifikačního dokumentu byla vydána také uživatelská příručka a dokument Příklady.^[9]

Několik metrik bylo změněno, přidáno a odstraněno. Číselné vzorce byly aktualizovány tak, aby zahrnovaly nové metriky při zachování stávajícího rozsahu bodování 0-10. Hodnocení závažnosti textu Žádný (0), Nízký (0,1-3,9), Střední (4,0-6,9), Vysoký (7,0-8,9) a Kritický (9,0-10,0)^[10] byly definovány, podobně jako kategorie NVD definované pro CVSS v2, které nebyly součástí tohoto standardu.^[11]

Změny od verze 2

Základní metriky

Ve vektoru Base byly přidány nové metriky Uživatelská interakce (UI) a Vyžadovaná oprávnění (PR), které pomáhají rozlišovat zranitelná místa vyžadující interakci uživatele nebo oprávnění uživatele nebo správce. Dříve byly tyto koncepty součástí metriky Access Vector v CVSSv2. Vektor Base také viděl zavedení nové metriky Scope (S), která byla navržena tak, aby bylo jasné, které chyby zabezpečení mohou být zneužity a poté použity k útoku na jiné části systému nebo sítě. Tyto nové metriky umožňují vektoru Base jasněji vyjádřit typ hodnocené zranitelnosti.

Byly aktualizovány metriky Důvěrnost, Integrita a Dostupnost (C, I, A), aby obsahovaly skóre skládající se z Žádná, Nízká nebo Vysoká, spíše než Žádná, Částečná, Úplná z CVSSv2. To umožňuje větší flexibilitu při určování dopadu chyby zabezpečení na metriky CIA.

Přístupová složitost byla přejmenována na Attack Complexity (AC), aby bylo jasné, že přístupová oprávnění byla přesunuta do samostatné metriky. Tato metrika nyní popisuje, jak opakovatelné může být zneužití této chyby zabezpečení; AC je vysoké, pokud útočník vyžaduje perfektní načasování nebo jiné okolnosti (jiné než interakce uživatele, což je také samostatná metrika), které nemusí být při dalších pokusech snadno duplikovatelné.

Attack Vector (AV) viděl zahrnutí nové metrické hodnoty fyzické (P), která popisuje chyby zabezpečení, které vyžadují fyzický přístup k zařízení nebo systému.

Časové metriky

Dočasné metriky se v podstatě nezměnily od CVSSv2.

Environmentální metriky

Metriky prostředí CVSSv2 byly zcela odstraněny a nahrazeny v podstatě druhým základním skóre, známým jako modifikovaný vektor. Modifikovaná základna má odrážet rozdíly v organizaci nebo společnosti ve srovnání se světem jako celkem. Byly přidány nové metriky, které zachycují důležitost důvěrnosti, integrity a dostupnosti pro konkrétní prostředí.

Kritika verze 3

V příspěvku na blogu v září 2015 Koordinační centrum CERT diskutovali omezení CVSSv2 a CVSSv3.0 pro použití při hodnocení zranitelnosti v rozvíjejících se technologických systémech, jako je internet věcí.^[12]

Verze 3.1

Drobná aktualizace pro CVSS byla vydána 17. června 2019. Cílem CVSS verze 3.1 bylo objasnit a vylepšit stávající standard CVSS verze 3.0, aniž by byly zavedeny nové metriky nebo hodnoty metrik, což umožňuje beztrestné přijetí nového standardu oběma bodovými hodnoceními poskytovatelé i hodnotící spotřebitelé. Při zlepšování standardu CVSS byla použitelnost prvořadým hlediskem. Několik změn prováděných v CVSS v3.1 má zlepšit jasnost konceptů zavedených v CVSS v3.0, a tím zlepšit celkovou snadnost použití standardu.

Společnost FIRST využila vstupy odborníků z oboru k dalšímu zdokonalování a zdokonalování CVSS, aby byly stále více použitelné pro zranitelná místa, produkty a platformy vyvíjené za posledních 15 let i později. Primárním cílem CVSS je poskytnout deterministický a opakovatelný způsob hodnocení závažnosti zranitelnosti napříč mnoha různými volebními obvody, což spotřebitelům CVSS umožní použít toto skóre jako vstup do větší matice rozhodování o riziku, nápravě a zmírnění specifických pro jejich konkrétní prostředí a tolerance rizik.

Aktualizace specifikace CVSS verze 3.1 zahrnují objasnění definic a vysvětlení stávajících základních metrik, jako jsou Attack Vector, Požadovaná oprávnění, Rozsah a Bezpečnostní požadavky. Byla také definována nová standardní metoda rozšíření CVSS, nazývaná CVSS Extensions Framework, která umožňuje poskytovateli skórování zahrnout další metriky a skupiny metrik při zachování oficiálních metrik Base, Temporal a Environmental. Další metriky umožňují průmyslovým odvětvím, jako je ochrana osobních údajů, bezpečnost, automobilový průmysl, zdravotnictví atd., Zaznamenat faktory, které jsou mimo základní standard CVSS. A konečně, slovník pojmů CVSS byl rozšířen a vylepšen tak, aby zahrnoval všechny pojmy používané v dokumentaci CVSS verze 3.1.

Přijetí

Verze CVSS byly přijaty jako primární metoda pro kvantifikaci závažnosti zranitelností širokou škálou organizací a společností, včetně:

• The Národní databáze zranitelnosti (NVD)^[13]
• The Otevřená databáze zranitelnosti (OSVDB)^[14]
• Koordinační centrum CERT,^[15] který zejména využívá metriky CVSSv2 Base, Temporal a Environmental

Viz také

• Běžný výčet slabosti (CWE)
• Běžné zranitelnosti a expozice (CVE)
• Běžný výčet a klasifikace útočných vzorů (CAPEC)

Reference

externí odkazy

• Stránka CVSS pro fórum incidentů a bezpečnostních týmů (PRVNÍ)
• Web CVSS pro národní databázi zranitelnosti (NVD)
• Common Vulnerability Scoring System v2 Calculator