Risikobewertung

Eine Liste von Schwachstellen reicht nicht aus. Der Kunde muss wissen, welche davon er zuerst beheben sollte.

Risikobewertungen machen aus subjektiven Einschätzungen eine einheitliche und nachvollziehbare Rangfolge, der alle zustimmen können.

Das Common Vulnerability Scoring System (CVSS) ist der Branchenstandard zur Bewertung des Schweregrads von Schwachstellen auf einer Skala von 0 bis 10.

Es wird von FIRST gepflegt und in der National Vulnerability Database verwendet. CVSS v3.1 und v4.0 sind die aktuellen Versionen.

CVSS-Bewertungen werden benannten Schweregradstufen zugeordnet. Diese Bezeichnungen bestimmen, wie der Bericht gelesen wird.

Verwenden Sie in Ihrem gesamten Bericht dieselben Stufen.

Der CVSS-Basiswert beschreibt die grundlegenden Eigenschaften einer Schwachstelle, die sich im Laufe der Zeit nicht ändern.

Er ist in Ausnutzbarkeits- und Auswirkungskennzahlen unterteilt.

• Angriffsvektor, Angriffskomplexität, erforderliche Berechtigungen, Benutzerinteraktion.
• Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

CVSS-Bewertungen werden als kompakte Vektorzeichenfolge angegeben. Wenn Sie diese lesen können, können Sie jede Bewertung begründen.

Jedes Paar besteht aus einer Kennzahl und ihrem Wert.

Über den Basiswert hinaus bietet CVSS zeitliche Kennzahlen (gibt es einen öffentlich verfügbaren Exploit?) und umgebungsbezogene Kennzahlen (wie wichtig ist dieses Asset für diesen Kunden?).

Mit einer umgebungsbezogenen Bewertung können Sie einen Basiswert an den Kontext des Kunden anpassen.

Ein hoher CVSS-Basiswert bedeutet nicht immer ein hohes Geschäftsrisiko. Eine kritische Schwachstelle auf einem isolierten Testsystem ist weniger relevant als eine mittelschwere Schwachstelle auf dem Zahlungsserver.

Berücksichtigen Sie bei der Priorisierung immer den geschäftlichen Kontext zusätzlich zu CVSS.

Ein einfaches, robustes Modell zur Priorisierung lautet: Risiko = Wahrscheinlichkeit x Auswirkung.

Die Wahrscheinlichkeit berücksichtigt Ausnutzbarkeit und Erreichbarkeit; die Auswirkung berücksichtigt, was ein Angreifer erlangen kann. Eine 5x5-Matrix macht dies anschaulich.

Sortieren Sie die Befunde so, dass der Kunde zuerst die gefährlichsten und am leichtesten erreichbaren Probleme behebt.

Eine praktische Regel: Alles, was kritisch oder hoch eingestuft, aus dem Internet erreichbar und leicht auszunutzen ist, gehört an die Spitze der Liste.

Zeigen Sie für jede Bewertung immer die Vektorzeichenfolge und die Begründung. Ein Kunde könnte Einwände erheben, und eine transparente Bewertung lässt sich leicht verteidigen.

Schreiben Sie niemals nur eine Zahl. Geben Sie die Zahl, den Vektor und einen begründenden Satz an.

Sie berechnen CVSS nicht von Hand. Verwenden Sie den offiziellen FIRST-CVSS-Rechner oder integrierte Rechner in Ihrer Berichtsplattform.

Fügen Sie den Vektor ein, um zu überprüfen, dass jede Person die Bewertung reproduzieren kann.

Testen Sie Ihr Verständnis der Risikobewertung.

Sie haben gelernt, Risiken zu bewerten und zu priorisieren.

• CVSS bewertet den Schweregrad auf einer Skala von 0 bis 10 anhand von Basis-, zeitlichen und umgebungsbezogenen Kennzahlen.
• Schweregradstufen: Keine, Niedrig, Mittel, Hoch, Kritisch.
• Vektorzeichenfolgen machen eine Bewertung reproduzierbar und nachvollziehbar.
• Geschäftsrisiko = Wahrscheinlichkeit x Auswirkung, nicht nur CVSS.
• Priorisieren Sie zuerst kritische Probleme, die aus dem Internet erreichbar sind.

Als Nächstes lernen Sie, klare und umsetzbare Befunde zu schreiben.