Ocena ryzyka

Sama lista podatności nie wystarczy. Klient musi wiedzieć, które z nich naprawić w pierwszej kolejności.

Ocena ryzyka zamienia subiektywne opinie w spójny i możliwy do obrony ranking, który wszyscy mogą zaakceptować.

Common Vulnerability Scoring System (CVSS) to branżowy standard oceny dotkliwości podatności w skali od 0 do 10.

System jest utrzymywany przez FIRST i wykorzystywany w National Vulnerability Database. CVSS v3.1 i v4.0 to obecnie obowiązujące wersje.

Wyniki CVSS są przypisywane do nazwanych poziomów dotkliwości. Nazwy te wpływają na sposób odbioru raportu.

Należy stosować te same poziomy w całym raporcie.

Wynik bazowy CVSS opisuje niezmienne w czasie właściwości podatności.

Jest podzielony na metryki wykorzystywalności i wpływu.

• Wektor ataku, Złożoność ataku, Wymagane uprawnienia, Interakcja użytkownika.
• Wpływ na poufność, integralność i dostępność.

Wyniki CVSS są zapisywane w postaci zwięzłego ciągu wektora. Umiejętność jego odczytania pozwala uzasadnić dowolny wynik.

Każda para składa się z metryki i jej wartości.

Oprócz wyniku bazowego CVSS oferuje metryki czasowe (czy istnieje publicznie dostępny exploit?) i środowiskowe (jak ważny jest ten zasób dla tego klienta?).

Ocena środowiskowa pozwala podwyższyć lub obniżyć wynik bazowy odpowiednio do kontekstu klienta.

Wysoki bazowy wynik CVSS nie zawsze oznacza wysokie ryzyko biznesowe. Krytyczny błąd na odizolowanym serwerze testowym ma mniejsze znaczenie niż błąd o średniej dotkliwości na serwerze płatności.

Przy ustalaniu priorytetów należy zawsze łączyć CVSS z kontekstem biznesowym.

Prosty i odporny model ustalania priorytetów to ryzyko = prawdopodobieństwo x wpływ.

Prawdopodobieństwo uwzględnia możliwość wykorzystania i ekspozycję, a wpływ — to, co zyskuje atakujący. Macierz 5x5 ułatwia wizualizację tych zależności.

Należy uporządkować ustalenia tak, aby klient w pierwszej kolejności naprawił najgroźniejsze i najbardziej dostępne problemy.

Praktyczna zasada: każde ustalenie oznaczone jako Krytyczne lub Wysokie, wystawione do Internetu i łatwe do wykorzystania, powinno znaleźć się na szczycie listy.

Należy zawsze pokazać ciąg wektora i uzasadnienie każdego wyniku. Klient może zakwestionować ocenę, a przejrzysty wynik łatwo obronić.

Nigdy nie należy podawać samej liczby. Należy podać liczbę, wektor oraz zdanie z uzasadnieniem.

Nie należy obliczać CVSS ręcznie. Należy użyć oficjalnego kalkulatora FIRST CVSS lub kalkulatorów wbudowanych w używaną platformę raportowania.

Należy wkleić wektor, aby potwierdzić, że każdy może odtworzyć wynik.

Nauczyłeś się oceniać ryzyko i ustalać priorytety.

• CVSS ocenia dotkliwość w skali od 0 do 10 za pomocą metryk bazowych, czasowych i środowiskowych.
• Poziomy dotkliwości: Brak, Niski, Średni, Wysoki, Krytyczny.
• Ciągi wektora sprawiają, że wynik można odtworzyć i obronić.
• Ryzyko biznesowe = prawdopodobieństwo x wpływ, a nie sam wynik CVSS.
• W pierwszej kolejności należy ustalać priorytet krytycznych problemów dostępnych z Internetu.

Następnie nauczysz się pisać jasne i praktyczne opisy ustaleń.