CVSS-scores en prioritering van kwetsbaarheden

Na het uitvoeren van een kwetsbaarheidsscan kan een organisatie honderden of duizenden kwetsbaarheden in haar systemen ontdekken. Alles onmiddellijk proberen te patchen is noch mogelijk, noch strategisch — middelen zijn beperkt en niet alle kwetsbaarheden brengen hetzelfde risico met zich mee. Het prioriteren van kwetsbaarheden is het proces waarbij kwetsbaarheden worden gerangschikt op basis van hun werkelijke risico voor de organisatie, zodat de gevaarlijkste problemen als eerste worden aangepakt. Een effectieve prioritering voorkomt de veelgemaakte fout om kleine cosmetische problemen te patchen terwijl een kritieke kwetsbaarheid voor het op afstand uitvoeren van code in de wachtrij blijft staan.

Het Common Vulnerability Scoring System (CVSS) is een open framework dat een gestandaardiseerde numerieke score (0.0-10.0) biedt die de ernst van een beveiligingskwetsbaarheid weergeeft. CVSS wordt onderhouden door FIRST (Forum of Incident Response and Security Teams) en is het primaire scoresysteem dat in de NVD (National Vulnerability Database) wordt gebruikt. De huidige versie, CVSS v3.1, berekent scores op basis van drie groepen meetwaarden: Base (intrinsieke kenmerken van de kwetsbaarheid), Temporal (factoren die in de loop van de tijd veranderen) en Environmental (organisatiegebonden aanpassingen). Alleen de Base Score is vereist; de andere scores zijn optionele verfijningen.

De Base Score wordt berekend op basis van twee groepen meetwaarden. Exploitability-metrieken beschrijven hoe de kwetsbaarheid kan worden aangevallen: Attack Vector (AV) — Network (op afstand), Adjacent, Local of Physical; Attack Complexity (AC) — Low of High; Privileges Required (PR) — None, Low of High; User Interaction (UI) — None of Required. Een kwetsbaarheid die via het netwerk kan worden misbruikt zonder authenticatie en zonder interactie van de gebruiker, krijgt de hoogste score voor exploitability (AV:N/AC:L/PR:N/UI:N). Deze factoren worden gecombineerd met impactmeetwaarden om de Base Score te berekenen.

Impactmeetwaarden meten het gevolg voor de drie dimensies van de CIA-triade wanneer de kwetsbaarheid wordt misbruikt. Confidentiality Impact (C) — None, Low of High (hoeveel gegevens openbaar kunnen worden). Integrity Impact (I) — None, Low of High (hoeveel gegevens kunnen worden gewijzigd). Availability Impact (A) — None, Low of High (hoeveel verstoring van de dienstverlening optreedt). Scope (S) — Unchanged of Changed (of de impact van de kwetsbaarheid verder reikt dan het kwetsbare onderdeel en ook andere onderdelen of systemen treft). Een gewijzigde scope betekent dat een succesvol misbruikte kwetsbaarheid systemen buiten de oorspronkelijke scope kan treffen, waardoor de score aanzienlijk hoger wordt.

Temporal-metrieken passen de Base Score aan op basis van factoren die in de loop van de tijd veranderen. Exploit Code Maturity (E) — of er een werkende exploit bestaat (Unproven, Proof-of-Concept, Functional, High). Een kwetsbaarheid waarvoor publiekelijk een bewapende exploit beschikbaar is, is urgenter dan een kwetsbaarheid waarvoor geen exploit bekend is. Remediation Level (RL) — Official Fix, Temporary Fix, Workaround of Unavailable. Een kwetsbaarheid met een officiële patch van de leverancier is minder urgent dan een kwetsbaarheid waarvoor geen oplossing bestaat. Report Confidence (RC) — Unknown, Reasonable of Confirmed. Een bevestigde kwetsbaarheid die breed is gereproduceerd, wordt betrouwbaarder beoordeeld dan een onbevestigd rapport.

Environmental-metrieken stellen organisaties in staat de CVSS-score aan te passen aan hun specifieke context. Met Modified Base Metrics kunnen organisaties elke Base-metriek wijzigen om hun omgeving weer te geven (een via het netwerk toegankelijke kwetsbaarheid kan bijvoorbeeld AV:L hebben als die dienst in hun specifieke configuratie alleen lokaal toegankelijk is). Waarden voor CIA Requirement (Low, Medium, High) geven het belang van elke CIA-dimensie voor de organisatie weer — een ziekenhuis kan Availability voor systemen voor patiëntbewaking als High beoordelen, terwijl een onderzoeksinstelling Confidentiality het hoogste belang kan geven. Met Environmental-scoring wordt CVSS contextbewust en bruikbaarder voor daadwerkelijke prioriteringsbeslissingen.

Drie verwante systemen werken naast CVSS. CVE (Common Vulnerabilities and Exposures) is een lijst van publiek bekende beveiligingskwetsbaarheden, elk met een unieke identificatie (CVE-2021-44228 is Log4Shell). CWE (Common Weakness Enumeration) deelt typen zwakke plekken in software in (CWE-79 is XSS, CWE-89 is SQL Injection) — het classificeert de hoofdoorzaak en niet een specifiek geval. De NVD (National Vulnerability Database) verrijkt CVE-vermeldingen met CVSS-scores, verwijzingen, getroffen productversies en links naar oplossingen. Beveiligingsteams abonneren zich op NVD en adviezen van leveranciers om meldingen te ontvangen van nieuwe CVE's die relevant zijn voor hun software-inventaris.

CVSS-scores geven de technische ernst op zichzelf weer, maar houden geen rekening met de context van de organisatie. Risicogestuurde prioritering past de urgentie van herstel aan op basis van: kritikaliteit van het bedrijfsmiddel (een kritiek ERP-systeem heeft een hogere prioriteit dan een testserver), misbruik in het wild (CISA's KEV-catalogus — Known Exploited Vulnerabilities — vermeldt CVE's die actief worden misbruikt), blootstelling (is het kwetsbare systeem vanaf het internet bereikbaar?) en compenserende maatregelen (blokkeert een WAF het aanvalspad?). Een kwetsbaarheid met CVSS 7.5 op een vanaf het internet bereikbaar, bedrijfskritiek systeem met een publieke exploit kan veel urgenter zijn dan een kwetsbaarheid met CVSS 9.0 op een geïsoleerde interne testserver.

Verschillende frameworks en hulpmiddelen verbeteren prioritering op basis van CVSS. EPSS (Exploit Prediction Scoring System) schat de kans dat een CVE binnen de komende 30 dagen in het wild wordt misbruikt, met machine learning op basis van gegevens over dreigingsinformatie. Hoge EPSS + hoge CVSS = hoogste prioriteit. SSVC (Stakeholder-Specific Vulnerability Categorization) is een beslisboom van CISA/Carnegie Mellon die rekening houdt met de status van misbruik, de impact op veiligheid en kritieke infrastructuur en de vraag of het systeem bedrijfskritiek is. Deze frameworks helpen organisaties verder te gaan dan eenvoudig sorteren op CVSS-score en werkelijk risicogestuurde beslissingen over herstel te nemen.

Beveiligingsprofessionals moeten technische CVSS-scores vertalen naar bedrijfstaal voor beslissingen van het management. Zeg in plaats van 'We hebben een niet-geauthenticeerde RCE met CVSS 9.8 op onze openbare webserver' liever: 'Een aanvaller op het internet kan zonder inloggegevens volledige controle krijgen over onze website voor klanten en mogelijk toegang krijgen tot alle 500.000 klantrecords en ons systeem voor betalingsverwerking — we moeten de patch van de leverancier binnen 24 uur installeren of de server offline halen.' Door de bedrijfsimpact te benadrukken (gegevens die risico lopen, financieel verlies en gevolgen voor regelgeving) nemen leidinggevenden sneller beslissingen dan op basis van alleen ruwe scores.

Het prioriteren van kwetsbaarheden levert alleen waarde op wanneer het is gekoppeld aan een effectief proces voor patchbeheer. De levenscyclus van kwetsbaarhedenbeheer omvat: Identify (scannen), Analyze (CVSS + context), Prioritize (risicorangschikking + SLA), Remediate (patches implementeren via SCCM/Intune/Ansible), Verify (opnieuw scannen om te bevestigen dat de patch is geïnstalleerd) en Report (trendrapportage aan het management). Hulpmiddelen voor patchbeheer automatiseren de implementatie op grote schaal en houden bij welke systemen zijn gepatcht en welke kwetsbaar blijven. De klok van de SLA voor herstel begint te lopen zodra een kwetsbaarheid wordt ontdekt, waardoor de scanfrequentie rechtstreeks van invloed is op de gemiddelde tijd tot herstel.

In deze les heb je geleerd dat CVSS kwetsbaarheden beoordeelt op een schaal van 0.0-10.0 met behulp van Base-metrieken (exploitability + impact), Temporal-metrieken (maturiteit van de exploit + beschikbaarheid van een oplossing) en Environmental-metrieken (context van de organisatie), dat de KEV-catalogus van CISA en EPSS-scores prioritering op basis van CVSS verbeteren door vast te stellen welke kwetsbaarheden actief in het wild worden misbruikt, en dat effectief kwetsbaarhedenbeheer scanresultaten koppelt aan patchbeheerprocessen met vastgelegde SLA's per ernstniveau. Hiermee is de module over kwetsbaarhedenbeheer voltooid — hierna gaan we dieper in op applicatiebeveiliging en de OWASP Top 10.