Ocena CVSS i ustalanie priorytetów podatności

Po przeprowadzeniu skanowania podatności organizacja może wykryć setki lub tysiące podatności w swoich systemach. Próba natychmiastowego załatania wszystkiego nie jest ani możliwa, ani strategiczna — zasoby są ograniczone, a nie wszystkie podatności wiążą się z takim samym ryzykiem. Ustalanie priorytetów podatności to proces szeregowania podatności według rzeczywistego ryzyka, jakie stanowią dla organizacji, aby najpierw zająć się najgroźniejszymi problemami. Skuteczne ustalanie priorytetów zapobiega częstemu błędowi polegającemu na łataniu drobnych, kosmetycznych problemów, podczas gdy krytyczna podatność umożliwiająca zdalne wykonanie kodu czeka w kolejce.

Common Vulnerability Scoring System (CVSS) to otwarty framework, który zapewnia ustandaryzowany wynik liczbowy (0.0–10.0) określający dotkliwość podatności w zabezpieczeniach. CVSS jest utrzymywany przez FIRST (Forum of Incident Response and Security Teams) i stanowi główny system oceny używany w NVD (National Vulnerability Database). Obecna wersja, CVSS v3.1, oblicza wyniki na podstawie trzech grup metryk: Base (nieodłączne cechy podatności), Temporal (czynniki zmieniające się w czasie) oraz Environmental (modyfikatory zależne od organizacji). Wymagana jest tylko wartość Base Score; pozostałe stanowią opcjonalne doprecyzowanie.

Metryki Exploitability opisują sposób przeprowadzenia ataku na podatność: Attack Vector (AV) — Network (zdalny), Adjacent, Local lub Physical; Attack Complexity (AC) — Low lub High; Privileges Required (PR) — None, Low lub High; User Interaction (UI) — None lub Required. Podatność, którą można wykorzystać przez sieć, bez uwierzytelniania i bez interakcji użytkownika, otrzymuje najwyższą ocenę w zakresie możliwości wykorzystania (AV:N/AC:L/PR:N/UI:N). Czynniki te łączą się z metrykami wpływu, tworząc Base Score.

Metryki wpływu mierzą konsekwencje wykorzystania podatności w trzech wymiarach triady CIA. Confidentiality Impact (C) — None, Low lub High (jak duża ilość danych może zostać ujawniona). Integrity Impact (I) — None, Low lub High (jak duża ilość danych może zostać zmodyfikowana). Availability Impact (A) — None, Low lub High (jak duże zakłócenia w działaniu usług mogą wystąpić). Scope (S) — Unchanged lub Changed (czy wpływ podatności wykracza poza podatny komponent i obejmuje inne komponenty lub systemy). Zakres Changed oznacza, że skutecznie wykorzystana podatność może oddziaływać na systemy wykraczające poza jej początkowy zakres, znacznie podnosząc wynik.

Metryki czasowe korygują Base Score na podstawie czynników zmieniających się w czasie. Exploit Code Maturity (E) — określa, czy istnieje działający exploit (Unproven, Proof-of-Concept, Functional, High). Podatność z publicznie dostępnym exploitem przystosowanym do przeprowadzania ataków jest pilniejsza niż podatność bez znanego exploita. Remediation Level (RL) — Official Fix, Temporary Fix, Workaround lub Unavailable. Podatność, dla której dostawca udostępnił oficjalną łatę, jest mniej pilna niż podatność bez dostępnej poprawki. Report Confidence (RC) — Unknown, Reasonable lub Confirmed. Podatność potwierdzona i wielokrotnie odtworzona jest oceniana z większą pewnością niż niepotwierdzone zgłoszenie.

Metryki środowiskowe pozwalają organizacjom dostosować wynik CVSS do własnego kontekstu. Modified Base Metrics umożliwiają zmianę dowolnej metryki Base tak, aby odzwierciedlała dane środowisko (np. podatność dostępną przez sieć może mieć AV:L, jeśli w danej konfiguracji usługa jest dostępna wyłącznie lokalnie). Wartości CIA Requirement (Low, Medium, High) odzwierciedlają znaczenie każdego wymiaru CIA dla organizacji — szpital może ocenić Availability jako High w przypadku systemów monitorowania pacjentów, podczas gdy instytucja badawcza może nadać najwyższą wartość Confidentiality. Ocena środowiskowa uwzględnia kontekst i sprawia, że CVSS jest bardziej przydatny przy rzeczywistym ustalaniu priorytetów.

Trzy powiązane systemy współpracują z CVSS. CVE (Common Vulnerabilities and Exposures) to lista publicznie znanych podatności w zabezpieczeniach, z których każda ma unikalny identyfikator (CVE-2021-44228 to Log4Shell). CWE (Common Weakness Enumeration) kategoryzuje rodzaje słabości oprogramowania (CWE-79 to XSS, CWE-89 to SQL Injection) — klasyfikuje przyczynę źródłową, a nie konkretny przypadek. NVD (National Vulnerability Database) wzbogaca wpisy CVE o wyniki CVSS, odnośniki, zakresy podatnych produktów i odnośniki do działań naprawczych. Zespoły ds. bezpieczeństwa subskrybują NVD i biuletyny dostawców, aby otrzymywać powiadomienia o nowych CVE dotyczących używanego oprogramowania.

Wyniki CVSS przedstawiają techniczną dotkliwość podatności w oderwaniu od kontekstu organizacji. Ustalanie priorytetów oparte na ryzyku modyfikuje pilność działań naprawczych na podstawie: krytyczności zasobu (krytyczny system ERP ma wyższy priorytet niż serwer testowy), wykorzystywania w środowisku produkcyjnym (katalog CISA KEV — Known Exploited Vulnerabilities — zawiera CVE aktywnie wykorzystywane przez atakujących), ekspozycji (czy podatny system jest dostępny z internetu?) oraz zabezpieczeń kompensacyjnych (czy WAF blokuje ścieżkę ataku?). Podatność z wynikiem CVSS 7.5 w krytycznym systemie biznesowym dostępnym z internetu i z publicznym exploitem może być znacznie pilniejsza niż podatność z wynikiem CVSS 9.0 w odizolowanym wewnętrznym serwerze testowym.

Kilka frameworków i narzędzi rozszerza ustalanie priorytetów oparte na CVSS. EPSS (Exploit Prediction Scoring System) szacuje prawdopodobieństwo, że dane CVE zostanie wykorzystane w środowisku produkcyjnym w ciągu kolejnych 30 dni, korzystając z uczenia maszynowego opartego na danych wywiadu o zagrożeniach. Wysoki EPSS + wysoki CVSS = najwyższy priorytet. SSVC (Stakeholder-Specific Vulnerability Categorization) to drzewo decyzyjne CISA/Carnegie Mellon, które uwzględnia stan wykorzystania podatności, wpływ na bezpieczeństwo i infrastrukturę krytyczną oraz to, czy system ma kluczowe znaczenie dla realizacji misji. Frameworki te pomagają organizacjom wyjść poza proste sortowanie według wyniku CVSS i podejmować decyzje dotyczące działań naprawczych rzeczywiście oparte na ryzyku.

Specjaliści ds. bezpieczeństwa muszą przekładać techniczne wyniki CVSS na język biznesowy, aby wspierać decyzje kierownictwa. Zamiast mówić: „Mamy nieuwierzytelnione RCE z wynikiem CVSS 9.8 na naszym publicznym serwerze WWW”, należy powiedzieć: „Atakujący z internetu może całkowicie przejąć kontrolę nad naszą witryną dla klientów bez użycia jakichkolwiek danych uwierzytelniających, potencjalnie uzyskując dostęp do wszystkich 500 000 rekordów klientów oraz systemu obsługi płatności — musimy zastosować łatę dostawcy lub odłączyć serwer w ciągu 24 godzin”. Przedstawienie wpływu biznesowego (zagrożone dane, straty finansowe, konsekwencje prawne) przyspiesza podejmowanie decyzji przez kadrę kierowniczą bardziej niż same surowe wyniki.

Ustalanie priorytetów podatności przynosi wartość tylko wtedy, gdy jest połączone ze skutecznym procesem zarządzania poprawkami. Cykl zarządzania podatnościami obejmuje: Identify (skanowanie), Analyze (CVSS + kontekst), Prioritize (szeregowanie ryzyka + SLA), Remediate (wdrażanie poprawek za pomocą SCCM/Intune/Ansible), Verify (ponowne skanowanie w celu potwierdzenia zastosowania poprawki) oraz Report (raportowanie trendów kierownictwu). Narzędzia do zarządzania poprawkami automatyzują wdrażanie na dużą skalę, a jednocześnie śledzą, które systemy zostały zaktualizowane, a które nadal są narażone. Odliczanie czasu SLA na usunięcie podatności rozpoczyna się w chwili jej wykrycia, dlatego częstotliwość skanowania ma bezpośredni wpływ na średni czas usunięcia podatności.

Sprawdź swoją wiedzę na temat zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji poznali Państwo następujące zagadnienia: CVSS ocenia podatności w skali 0.0–10.0, wykorzystując metryki Base (możliwość wykorzystania + wpływ), Temporal (dojrzałość exploita + dostępność poprawki) oraz Environmental (kontekst organizacji); katalog KEV firmy CISA i wyniki EPSS usprawniają ustalanie priorytetów na podstawie CVSS, wskazując podatności aktywnie wykorzystywane w środowisku produkcyjnym; skuteczne zarządzanie podatnościami łączy wyniki skanowania z procesami zarządzania poprawkami i określonymi umowami SLA zależnymi od poziomu dotkliwości. Na tym kończy się moduł dotyczący zarządzania podatnościami — w następnej części zajmiemy się bezpieczeństwem aplikacji i OWASP Top 10.