CVSS-Bewertung und Priorisierung von Schwachstellen

Nach der Durchführung eines Schwachstellenscans kann eine Organisation Hunderte oder Tausende von Schwachstellen in ihren Systemen entdecken. Es ist weder möglich noch strategisch sinnvoll, alles sofort zu patchen – die Ressourcen sind begrenzt, und nicht alle Schwachstellen bergen dasselbe Risiko. Die Priorisierung von Schwachstellen ist der Prozess, Schwachstellen nach ihrem tatsächlichen Risiko für die Organisation zu ordnen, damit die gefährlichsten Probleme zuerst behoben werden. Eine effektive Priorisierung verhindert den häufigen Fehler, zunächst geringfügige kosmetische Probleme zu patchen, während eine kritische Schwachstelle zur Remote Code Execution in der Warteschlange verbleibt.

Das Common Vulnerability Scoring System (CVSS) ist ein offenes Framework, das einen standardisierten numerischen Wert (0.0-10.0) für den Schweregrad einer Sicherheitslücke bereitstellt. CVSS wird von FIRST (Forum of Incident Response and Security Teams) gepflegt und ist das wichtigste Bewertungssystem der NVD (National Vulnerability Database). Die aktuelle Version, CVSS v3.1, berechnet die Werte anhand von drei Metrikgruppen: Base (inhärente Merkmale der Schwachstelle), Temporal (Faktoren, die sich im Laufe der Zeit ändern) und Environmental (organisationsspezifische Anpassungen). Nur der Base Score ist erforderlich; die anderen Werte dienen der optionalen Verfeinerung.

Der Base Score wird aus zwei Metrikgruppen berechnet. Exploitability-Metriken beschreiben, wie die Schwachstelle angegriffen werden kann: Attack Vector (AV) – Network (remote), Adjacent, Local oder Physical; Attack Complexity (AC) – Low oder High; Privileges Required (PR) – None, Low oder High; User Interaction (UI) – None oder Required. Eine Schwachstelle, die über das Netzwerk, ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbar ist, erreicht den höchsten Wert bei der Ausnutzbarkeit (AV:N/AC:L/PR:N/UI:N). Diese Faktoren werden mit den Impact-Metriken kombiniert, um den Base Score zu ermitteln.

Impact-Metriken messen die Folgen eines erfolgreichen Angriffs anhand der drei Dimensionen des CIA-Dreiecks. Confidentiality Impact (C) – None, Low oder High (wie viele Daten offengelegt werden können). Integrity Impact (I) – None, Low oder High (wie viele Daten geändert werden können). Availability Impact (A) – None, Low oder High (wie groß die Unterbrechung des Dienstes ist). Scope (S) – Unchanged oder Changed (ob sich die Auswirkungen der Schwachstelle über die anfällige Komponente hinaus auf andere Komponenten oder Systeme erstrecken). Ein geänderter Scope bedeutet, dass eine erfolgreich ausgenutzte Schwachstelle Systeme außerhalb ihres ursprünglichen Geltungsbereichs beeinträchtigen kann, wodurch der Score deutlich steigt.

Temporal-Metriken passen den Base Score anhand von Faktoren an, die sich im Laufe der Zeit ändern. Exploit Code Maturity (E) – ob ein funktionierender Exploit existiert (Unproven, Proof-of-Concept, Functional, High). Eine Schwachstelle mit einem öffentlich verfügbaren, für Angriffe nutzbaren Exploit ist dringlicher als eine Schwachstelle ohne bekannten Exploit. Remediation Level (RL) – Official Fix, Temporary Fix, Workaround oder Unavailable. Eine Schwachstelle mit einem offiziellen Patch des Anbieters ist weniger dringlich als eine Schwachstelle ohne Lösung. Report Confidence (RC) – Unknown, Reasonable oder Confirmed. Eine bestätigte und vielfach reproduzierte Schwachstelle kann zuverlässiger bewertet werden als eine unbestätigte Meldung.

Environmental-Metriken ermöglichen es Organisationen, den CVSS-Score an ihren spezifischen Kontext anzupassen. Mit Modified Base Metrics können Organisationen jede Base-Metrik ändern, um ihre Umgebung abzubilden (z. B. kann eine über das Netzwerk erreichbare Schwachstelle den Wert AV:L erhalten, wenn der betreffende Dienst in der konkreten Konfiguration nur lokal zugänglich ist). Die Werte für CIA Requirement (Low, Medium, High) spiegeln die Bedeutung der einzelnen CIA-Dimensionen für die Organisation wider – ein Krankenhaus kann Availability für Systeme zur Patientenüberwachung als High bewerten, während eine Forschungseinrichtung Confidentiality die höchste Bedeutung beimessen kann. Die Environmental-Bewertung berücksichtigt den Kontext und macht CVSS dadurch für tatsächliche Priorisierungsentscheidungen nützlicher.

Drei verwandte Systeme ergänzen CVSS. CVE (Common Vulnerabilities and Exposures) ist eine Liste öffentlich bekannter Sicherheitslücken, die jeweils eine eindeutige Kennung besitzen (CVE-2021-44228 ist Log4Shell). CWE (Common Weakness Enumeration) kategorisiert Arten von Schwachstellen in Software (CWE-79 ist XSS, CWE-89 ist SQL Injection) – es klassifiziert die zugrunde liegende Ursache und nicht eine konkrete Ausprägung. Die NVD (National Vulnerability Database) ergänzt CVE-Einträge um CVSS-Scores, Referenzen, betroffene Produktbereiche und Links zu Lösungen. Sicherheitsteams abonnieren NVD und Sicherheitshinweise der Anbieter, um über neue CVEs informiert zu werden, die für ihren Softwarebestand relevant sind.

CVSS-Scores stellen den technischen Schweregrad isoliert dar, berücksichtigen jedoch nicht den organisatorischen Kontext. Die risikobasierte Priorisierung passt die Dringlichkeit der Behebung anhand folgender Faktoren an: Kritikalität des Assets (ein kritisches ERP-System hat höhere Priorität als ein Testserver), Ausnutzbarkeit in freier Wildbahn (CISAs KEV-Katalog – Known Exploited Vulnerabilities – listet aktiv ausgenutzte CVEs), Exponierung (ist das anfällige System aus dem Internet erreichbar?) und kompensierende Kontrollen (blockiert beispielsweise eine WAF den Angriffsweg?). Eine Schwachstelle mit CVSS 7.5 auf einem aus dem Internet erreichbaren, geschäftskritischen System und einem öffentlichen Exploit kann wesentlich dringlicher sein als eine Schwachstelle mit CVSS 9.0 auf einem isolierten internen Testserver.

Mehrere Frameworks und Tools verbessern die auf CVSS basierende Priorisierung. EPSS (Exploit Prediction Scoring System) schätzt mithilfe von Machine Learning auf Basis von Threat-Intelligence-Daten die Wahrscheinlichkeit, dass eine CVE innerhalb der nächsten 30 Tage in freier Wildbahn ausgenutzt wird. Hoher EPSS-Wert + hoher CVSS-Wert = höchste Priorität. SSVC (Stakeholder-Specific Vulnerability Categorization) ist ein Entscheidungsbaum von CISA und Carnegie Mellon, der den Ausnutzungsstatus, die Auswirkungen auf die Sicherheit und kritische Infrastrukturen sowie die Frage berücksichtigt, ob das System geschäftskritisch ist. Diese Frameworks helfen Organisationen, über das bloße Sortieren nach CVSS-Score hinauszugehen und wirklich risikobasierte Entscheidungen zur Behebung zu treffen.

Sicherheitsexperten müssen technische CVSS-Scores für Managemententscheidungen in eine geschäftliche Sprache übersetzen. Sagen Sie statt „Auf unserem öffentlichen Webserver befindet sich eine nicht authentifizierte RCE mit CVSS 9.8“ besser: „Ein Angreifer aus dem Internet kann ohne Zugangsdaten die vollständige Kontrolle über unsere kundenorientierte Website übernehmen und möglicherweise auf alle 500.000 Kundendatensätze sowie unser Zahlungsabwicklungssystem zugreifen – wir müssen innerhalb von 24 Stunden den Patch des Anbieters installieren oder den Server vom Netz nehmen.“ Die Darstellung der geschäftlichen Auswirkungen (gefährdete Daten, finanzielle Verluste, rechtliche Folgen) führt schneller zu Entscheidungen auf Führungsebene als reine Scores.

Die Priorisierung von Schwachstellen schafft erst dann einen Mehrwert, wenn sie mit einem effektiven Patch-Management-Prozess verbunden ist. Der Lebenszyklus des Schwachstellenmanagements umfasst: Identifizieren (scannen), Analysieren (CVSS + Kontext), Priorisieren (Risikoeinstufung + SLA), Beheben (Bereitstellung von Patches über SCCM/Intune/Ansible), Verifizieren (erneut scannen, um die erfolgreiche Behebung zu bestätigen) und Berichten (Trendberichte für das Management). Patch-Management-Tools automatisieren die Bereitstellung in großem Maßstab und verfolgen dabei, welche Systeme gepatcht wurden und welche weiterhin gefährdet sind. Die SLA-Frist für die Behebung beginnt mit der Entdeckung einer Schwachstelle. Daher ist die Scan-Häufigkeit unmittelbar für die durchschnittliche Zeit bis zur Behebung relevant.

Testen Sie Ihr Verständnis der CompTIA-Security+-Konzepte (SY0-701) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: CVSS bewertet Schwachstellen auf einer Skala von 0.0 bis 10.0 anhand von Base- (Ausnutzbarkeit + Auswirkungen), Temporal- (Reife des Exploits + Verfügbarkeit einer Lösung) und Environmental-Metriken (organisatorischer Kontext). Der KEV-Katalog von CISA und EPSS-Scores verbessern die CVSS-basierte Priorisierung, indem sie aufzeigen, welche Schwachstellen in freier Wildbahn aktiv ausgenutzt werden. Ein effektives Schwachstellenmanagement verbindet Scanergebnisse mit Patch-Management-Workflows und definierten SLAs nach Schweregrad. Damit ist das Modul zum Schwachstellenmanagement abgeschlossen – als Nächstes beschäftigen wir uns mit Anwendungssicherheit und den OWASP Top 10.