CVSS-skåring og prioritering av sårbarheter

Etter at en sårbarhetsskanning er gjennomført, kan en organisasjon oppdage hundrevis eller tusenvis av sårbarheter på tvers av systemene sine. Det er verken mulig eller strategisk å forsøke å utbedre alt umiddelbart – ressursene er begrensede, og ikke alle sårbarheter innebærer samme risiko. Sårbarhetsprioritering er prosessen med å rangere sårbarheter etter den faktiske risikoen de utgjør for organisasjonen, slik at de farligste problemene håndteres først. Effektiv prioritering forhindrer den vanlige feilen å utbedre mindre kosmetiske problemer mens en kritisk sårbarhet for ekstern kjøring av kode venter i køen.

Common Vulnerability Scoring System (CVSS) er et åpent rammeverk som gir en standardisert numerisk poengsum (0.0-10.0) som representerer alvorlighetsgraden til en sikkerhetssårbarhet. CVSS vedlikeholdes av FIRST (Forum of Incident Response and Security Teams) og er det primære poengsystemet som brukes i NVD (National Vulnerability Database). Den gjeldende versjonen, CVSS v3.1, beregner poengsummer basert på tre metrikkgrupper: Base (sårbarhetens iboende egenskaper), Temporal (faktorer som endrer seg over tid) og Environmental (organisasjonsspesifikke modifikatorer). Bare Base Score er obligatorisk; de andre er valgfrie presiseringer.

Exploitability-metrikker beskriver hvordan sårbarheten kan angripes: Attack Vector (AV) — Network (ekstern), Adjacent, Local eller Physical; Attack Complexity (AC) — Low eller High; Privileges Required (PR) — None, Low eller High; User Interaction (UI) — None eller Required. En sårbarhet som kan utnyttes over nettverket uten autentisering og uten brukerinteraksjon, får høyest exploitability-verdi (AV:N/AC:L/PR:N/UI:N). Disse faktorene kombineres med påvirkningsmetrikkene for å beregne Base Score.

Påvirkningsmetrikkene måler konsekvensen for de tre dimensjonene i CIA-triaden dersom sårbarheten utnyttes. Confidentiality Impact (C) — None, Low eller High (hvor mye data som kan eksponeres). Integrity Impact (I) — None, Low eller High (hvor mye data som kan endres). Availability Impact (A) — None, Low eller High (hvor omfattende tjenesteforstyrrelsen blir). Scope (S) — Unchanged eller Changed (om sårbarhetens påvirkning strekker seg utover den sårbare komponenten til andre komponenter eller systemer). Et Changed-scope innebærer at en sårbarhet som utnyttes, kan påvirke systemer utenfor det opprinnelige omfanget, noe som øker poengsummen betydelig.

Temporal-metrikker justerer Base Score basert på faktorer som endrer seg over tid. Exploit Code Maturity (E) — om det finnes en fungerende exploit (Unproven, Proof-of-Concept, Functional, High). En sårbarhet med en offentlig tilgjengelig og operasjonalisert exploit haster mer enn en sårbarhet uten kjent exploit. Remediation Level (RL) — Official Fix, Temporary Fix, Workaround eller Unavailable. En sårbarhet med en offisiell leverandørfiks har lavere hast enn en sårbarhet uten noen løsning. Report Confidence (RC) — Unknown, Reasonable eller Confirmed. En bekreftet sårbarhet som er gjenskapt av mange, er vurdert med større pålitelighet enn en ubekreftet rapport.

Environmental-metrikker gjør det mulig for organisasjoner å tilpasse CVSS-poengsummen til sin spesifikke kontekst. Modified Base Metrics lar organisasjoner endre enhver Base-metrikk slik at den gjenspeiler miljøet deres (for eksempel kan en nettverkstilgjengelig sårbarhet ha AV:L hvis tjenesten bare er tilgjengelig lokalt i det aktuelle oppsettet). CIA Requirement-verdier (Low, Medium, High) gjenspeiler hvor viktig hver CIA-dimensjon er for organisasjonen – et sykehus kan vurdere Availability som High for systemer som overvåker pasienter, mens en forskningsinstitusjon kan vurdere Confidentiality som viktigst. Environmental-poengberegning gjør CVSS kontekstavhengig og mer nyttig for faktiske prioriteringsbeslutninger.

Tre relaterte systemer fungerer sammen med CVSS. CVE (Common Vulnerabilities and Exposures) er en liste over offentlig kjente sikkerhetssårbarheter, der hver sårbarhet har en unik identifikator (CVE-2021-44228 er Log4Shell). CWE (Common Weakness Enumeration) kategoriserer typer svakheter i programvare (CWE-79 er XSS, CWE-89 er SQL Injection) – det klassifiserer den underliggende årsaken, ikke et spesifikt tilfelle. NVD (National Vulnerability Database) beriker CVE-oppføringer med CVSS-poengsummer, referanser, berørte produktområder og lenker til utbedring. Sikkerhetsteam abonnerer på NVD og leverandørvarsler for å få beskjed om nye CVE-er som er relevante for programvarebeholdningen deres.

CVSS-poengsummer representerer teknisk alvorlighetsgrad isolert sett, men tar ikke hensyn til organisasjonens kontekst. Risikobasert prioritering justerer hvor raskt utbedring må skje basert på: kritikalitet for eiendelen (et kritisk ERP-system har høyere prioritet enn en testserver), utnyttelse i det fri (CISA-ens KEV-katalog – Known Exploited Vulnerabilities – viser CVE-er som aktivt utnyttes), eksponering (er det sårbare systemet eksponert mot internett?) og kompenserende kontroller (finnes det en WAF som blokkerer angrepsveien?). En sårbarhet med CVSS 7.5 på et internettilgjengelig, forretningskritisk system med en offentlig exploit kan ha langt høyere hast enn en CVSS 9.0 på en isolert intern testserver.

Flere rammeverk og verktøy forbedrer CVSS-basert prioritering. EPSS (Exploit Prediction Scoring System) anslår sannsynligheten for at en CVE vil bli utnyttet i det fri i løpet av de neste 30 dagene, ved hjelp av maskinlæring på data fra trusseletterretning. Høy EPSS + høy CVSS = høyeste prioritet. SSVC (Stakeholder-Specific Vulnerability Categorization) er et beslutningstre fra CISA/Carnegie Mellon som vurderer utnyttelsesstatus, påvirkning på sikkerhet og kritisk infrastruktur, samt om systemet er oppdragskritisk. Disse rammeverkene hjelper organisasjoner med å gå lenger enn å bare sortere etter CVSS-poengsum, slik at de kan ta reelt risikoinformerte beslutninger om utbedring.

Sikkerhetseksperter må oversette tekniske CVSS-poengsummer til forretningsspråk som kan brukes i beslutninger i ledelsen. I stedet for «Vi har en uautentisert RCE med CVSS 9.8 på den offentlige webserveren vår», kan De si: «En angriper på internett kan ta full kontroll over nettstedet vårt som er tilgjengelig for kundene, og kan potensielt få tilgang til alle de 500 000 kunderegistrene og betalingsbehandlingssystemet vårt – vi må installere leverandørens oppdatering eller koble serveren fra nettet innen 24 timer.» Ved å ramme inn konsekvensene for virksomheten (data i fare, økonomisk tap og regulatoriske konsekvenser) oppnås raskere beslutninger i ledelsen enn med rå poengsummer alene.

Sårbarhetsprioritering gir bare verdi når den er knyttet til en effektiv prosess for patch management. Livssyklusen for sårbarhetshåndtering omfatter: Identify (skann), Analyze (CVSS + kontekst), Prioritize (risikorangering + SLA), Remediate (distribuer oppdateringer via SCCM/Intune/Ansible), Verify (skann på nytt for å bekrefte at oppdateringen er installert) og Report (rapporter trender til ledelsen). Verktøy for patch management automatiserer distribusjon i stor skala, samtidig som de sporer hvilke systemer som er oppdatert, og hvilke som fortsatt er eksponert. SLA-tiden for utbedring starter når en sårbarhet oppdages, noe som gjør skannefrekvensen direkte relevant for gjennomsnittlig tid til utbedring.

I denne leksjonen har De lært at: CVSS gir sårbarheter en poengsum på en skala fra 0.0 til 10.0 ved hjelp av Base-metrikker (utnyttbarhet + påvirkning), Temporal-metrikker (modenhet for exploit + tilgjengelighet av løsning) og Environmental-metrikker (organisasjonens kontekst); CISA's KEV-katalog og EPSS-poengsummer forbedrer CVSS-basert prioritering ved å identifisere hvilke sårbarheter som aktivt utnyttes i det fri; og effektiv sårbarhetshåndtering kobler skanneresultater til arbeidsflyter for patch management med definerte SLA-er basert på alvorlighetsgrad. Dette avslutter modulen om sårbarhetshåndtering – neste del handler om applikasjonssikkerhet og OWASP Top 10.