Was ist CVSS?
Die CVSS (Gemeinsames System zur Bewertung von Sicherheitslücken) bewertet die Schweregrad einer Verwundbarkeit in der Größenordnung von 0 bis 10. Verwaltet von FIRSTEs werden ein Score, eine Schweregradbewertung und ein reproduzierbarer „Vektor“ erstellt. Es misst den potenziellen Schaden – nicht die Wahrscheinlichkeit, dass er eintritt.
In einer Empfehlung heißt es „CVSS 9.8“. Das Management fragt sich, ob das schlechter ist als der Wert von 8,1 der letzten Woche. Die ehrliche Antwort passt auf eine Seite und beginnt mit dem Lesen des Vektors und nicht der Zahl.
Zwei Bilder zur Verdeutlichung
CVSS ist das Stärke eines Erdbebens. Ein Erdbeben der Stärke 8 setzt enorme Energie frei, egal ob es eine Megacity oder eine unbewohnte Wüste trifft. Die Größe beschreibt das Ereignis, niemals seine Folgen für Sie. Das ist genau die Beziehung zwischen einem CVSS-Score und Ihrem Informationssystem.
CVSS ist auch das Datenblatt eines Autos. Die Höchstgeschwindigkeit wird mit 250 km/h angegeben. Es sagt nichts darüber aus, wie schnell Sie fahren, ob die Straße nass ist oder ob jemand anderes die Schlüssel hat. Zwei Bilder sind hier besser als eines: Das erste zeigt, dass der Score intrinsisch ist, das zweite, dass er einen beschreibt Potenzial Dieser Kontext wird möglicherweise nie realisiert.
Die fünf Schweregrade
Die Bewertung wird einem qualitativen Label zugeordnet, das in den Empfehlungen erscheint:
| CVSS-Punktzahl | Schweregrad |
|---|---|
| 0.0 | Keine |
| 0,1 bis 3,9 | Niedrig |
| 4,0 bis 6,9 | Mittel |
| 7,0 bis 8,9 | Hoch |
| 9,0 bis 10,0 | Kritisch |
Diese Schwellenwerte gelten für CVSS 3.x und 4.0. Der ältere CVSS 2.0 hatte nur drei Stufen und überhaupt keine „kritische“ Kennzeichnung: Derselbe Fehler kann daher je nach der zur Bewertung verwendeten Version zwei unterschiedliche Kennzeichnungen tragen.
Lesen eines Vektors Feld für Feld
Der Score kommt nicht aus dem Nichts: Er errechnet sich aus a Vektor, eine Zeichenfolge, die acht Entscheidungen codiert. Nehmen Sie das für Log4Shell (CVE-2021-44228):
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Es liest sich von links nach rechts wie ein Satz:
| Feld | Wert | Was es bedeutet |
|---|---|---|
AV – Angriffsvektor | N (Netzwerk) | Aus dem Internet ausnutzbar, ohne vorherigen Zugriff auf das lokale Netzwerk. |
Wechselstrom — Angriffskomplexität | L (niedrig) | Keine besonderen Bedingungen: Der Angriff funktioniert jedes Mal. |
PR – Berechtigungen erforderlich | N (keine) | Kein Konto erforderlich. |
Benutzeroberfläche — Benutzerinteraktion | N (keine) | Niemand muss irgendetwas anklicken. |
S – Umfang | C (geändert) | Der Schaden breitet sich über die gefährdete Komponente hinaus aus und erreicht das, was sich dahinter befindet. |
C / I / A | H / H / H | Totale Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. |
Resultierende Punktzahl: 10.0. Jetzt zeigt den Teil fast niemand – was für eine Veränderung eine Single Feld macht:
| Veränderung | Neue Partitur | Was es bedeutet |
|---|---|---|
S:C → S:U (Schaden bleibt eingedämmt) | 9.8 | Dies ist das berühmte „9.8“, das Sie überall sehen: nicht authentifizierte Remote-Codeausführung ohne Änderung des Bereichs. |
PR:N → PR:H (ein Administratorkonto ist erforderlich) | 9.1 | Das Erfordernis eines privilegierten Kontos verringert die Angriffsfläche, kostet jedoch nur etwa einen Punkt: CVSS bleibt hart, wenn die Auswirkungen vollständig sind. |
AV:N → AV:L (lokaler Zugriff erforderlich) | 9.3 | Die Tatsache, dass man an der Maschine sitzen muss, verändert in der Praxis bereits alles … und in der Partitur fast nichts. |
Überprüfen Sie es selbst: Jeder dieser Vektoren kann im neu berechnet werden CVSS 3.1-Rechner. Es ist die zehnminütige Übung, die Sie von „Ich lese eine Zahl“ zu „Ich verstehe eine Bewertung“ führt.
Basis, Bedrohung, Umwelt: drei Schichten
CVSS verfügt über drei Metrikgruppen und die überwiegende Mehrheit der öffentlichen Datenbanken veröffentlicht nur eine.
- Basis: intrinsischer Schweregrad, über die Zeit stabil. Es ist die Punktzahl, die Sie in 99 % der Fälle sehen.
- Zeitlich / Bedrohung: Passt sich an die Exploit-Reife an und ob ein Fix vorhanden ist. Es kann nur niedriger die Grundpunktzahl.
- Umweltfreundlich: Passt die Partitur an dein Kontext – Anlagenkritikalität, kompensierende Kontrollen, Ihre spezifischen Vertraulichkeits- oder Verfügbarkeitsanforderungen.
Die direkte Konsequenz: Die Punktzahl, die Sie in einem Ratgeber lesen, wurde nie für Sie berechnet. Die Umweltebene, die Sie betrifft, liegt in Ihrer Verantwortung – und fast niemand tut dies.
Versionen: 2.0, 3.0, 3.1 und 4.0
| Version | Was es verändert | Wo man es sieht |
|---|---|---|
| 2.0 (2007) | Gröbere Kennzahlen, kein „kritisches“ Niveau, Auswirkungen als teilweise/vollständig eingestuft. | Archive und alte Scannerberichte. |
| 3.0 (2015) | Führt die Scope-Metrik ein (Umfang) und erforderliche Berechtigungen. | CVEs veröffentlicht zwischen 2016 und 2019. |
| 3.1 (2019) | Klärt Rundung und Dokumentation; Formeln identisch mit 3.0. | Die überwiegende Mehrheit von NVD CVEs heute. |
| 4.0 (2023) | Entfernt Umfang und ersetzt es durch zwei Schlagblöcke: VC/VI/VA für das gefährdete System, SC/SI/SA für die dahinter liegenden Systeme. Fügt Angriffsanforderungen (AT) hinzu. | Eine wachsende Zahl von Anbieterhinweisen. |
Was die 4.0-Änderung in der Praxis bedeutet: Ein Hypervisor-Fehler, der virtuelle Gastmaschinen gefährdet, wird endlich als das bewertet, was er ist, anstatt in einer einzigen „Bereich geändert“-Flagge zusammengefasst zu werden. Alle vier Versionen können im verglichen werden Taschenrechner.
Heartbleed 7.5, Log4Shell 10.0: Was Ihnen die Lücke verrät
CVE-2014-0160 (Heartbleed) ist bewertet 7.5 in CVSS 3.1 – „hoch“, nicht „kritisch“. Sein Vektor weist nur Auswirkungen auf die Vertraulichkeit zu: Die Schwachstelle lässt einen Angreifer zu lesen den Speicher des Servers, ohne etwas zu verändern oder zu stören. Auf dem Papier ist das weniger schwerwiegend als die Codeausführung.
In Wirklichkeit wurden TLS-Privatschlüssel in einem großen Teil des Webs offengelegt und eine weltweite Kampagne zum Ersetzen von Zertifikaten ausgelöst. CVE-2021-44228 (Log4Shell), bewertet mit 10,0, machte noch mehr Lärm – aber der Abstand von 2,5 Punkten zwischen den beiden misst nicht den Unterschied in der realen Auswirkung. CVSS bewertet einen Mechanismus, keine Konsequenz.
Der zeitaufwändigste Fehler
Was es für Sie in der Praxis bedeutet
Eine Arbeitsregel, die in vier Zeilen passt und am Montag angewendet werden kann:
- Sortieren Sie niemals nach CVSS allein. Verwenden Sie es, um Bindungen zu lösen, nicht um die Reihenfolge festzulegen.
- Für die Fehler, die Sie betreffen, lesen Sie den Vektor vor der Partitur:
AV:LoderPR:Han einer Maschine ohne externen Zugriff bedeutet oft einen Notfall weniger. - Füllen Sie die Umgebungsebene für Ihre zehn wichtigsten Vermögenswerte aus – nicht für die tausend anderen. Da zahlt sich der Aufwand aus.
- Notieren Sie die Version neben jeder Partitur. Eine 7,0 in 2,0 und eine 7,0 in 4,0 beschreiben nicht dasselbe.