Оценка CVSS и приоритизация уязвимостей

После запуска сканирования уязвимостей организация может обнаружить сотни или тысячи уязвимостей во всех своих системах. Немедленно установить исправления для всех из них невозможно и нецелесообразно: ресурсы ограничены, а уровень риска уязвимостей различается. Vulnerability Prioritization — это процесс ранжирования уязвимостей по их фактическому риску для организации, чтобы в первую очередь устранять наиболее опасные проблемы. Эффективная приоритизация предотвращает распространённую ошибку: устранение незначительных косметических проблем в то время, как критическая уязвимость удалённого выполнения кода ожидает своей очереди.

Common Vulnerability Scoring System (CVSS) — это открытая Framework, которая предоставляет стандартизированную числовую оценку (0.0–10.0), отражающую степень серьёзности уязвимости безопасности. CVSS поддерживается организацией FIRST (Forum of Incident Response and Security Teams) и является основной системой оценки, используемой в NVD (National Vulnerability Database). Текущая версия, CVSS v3.1, рассчитывает оценки на основе трёх групп показателей: Base (внутренние характеристики уязвимости), Temporal (факторы, меняющиеся со временем) и Environmental (модификаторы, зависящие от конкретной организации). Обязательна только Base Score; остальные показатели являются дополнительными уточнениями.

Base Score рассчитывается на основе двух групп показателей. Exploitability metrics описывают, каким образом можно атаковать уязвимость: Attack Vector (AV) — Network (удалённо), Adjacent, Local или Physical; Attack Complexity (AC) — Low или High; Privileges Required (PR) — None, Low или High; User Interaction (UI) — None или Required. Уязвимость, которую можно эксплуатировать через сеть без аутентификации и взаимодействия с пользователем, получает максимальную оценку эксплуатационной пригодности (AV:N/AC:L/PR:N/UI:N). Эти факторы объединяются с показателями воздействия и формируют Base Score.

Impact metrics измеряют последствия эксплуатации уязвимости по трём измерениям триады CIA. Confidentiality Impact (C) — None, Low или High (какой объём данных может быть раскрыт). Integrity Impact (I) — None, Low или High (какой объём данных может быть изменён). Availability Impact (A) — None, Low или High (насколько серьёзным будет нарушение работы сервиса). Scope (S) — Unchanged или Changed (выходит ли воздействие уязвимости за пределы уязвимого компонента и затрагивает ли другие компоненты или системы). Значение Changed означает, что успешно эксплуатируемая уязвимость может повлиять на системы за пределами исходного Scope, существенно повышая оценку.

Temporal metrics корректируют Base Score с учётом факторов, меняющихся со временем. Exploit Code Maturity (E) показывает, существует ли рабочий эксплойт (Unproven, Proof-of-Concept, Functional, High). Уязвимость с общедоступным подготовленным для атаки эксплойтом требует более срочного устранения, чем уязвимость без известного эксплойта. Remediation Level (RL) — Official Fix, Temporary Fix, Workaround или Unavailable. Наличие официального исправления от поставщика снижает срочность по сравнению с ситуацией, когда исправления нет. Report Confidence (RC) — Unknown, Reasonable или Confirmed. Подтверждённая и многократно воспроизведённая уязвимость оценивается надёжнее, чем неподтверждённое сообщение.

Environmental metrics позволяют организациям настроить оценку CVSS с учётом своего конкретного контекста. Modified Base Metrics позволяют изменить любой показатель Base, чтобы отразить особенности среды (например, уязвимость, доступную по сети, может иметь значение AV:L, если в конкретной конфигурации соответствующий сервис доступен только локально). Значения CIA Requirement (Low, Medium, High) отражают важность каждого измерения CIA для организации: больница может присвоить Availability значение High для систем мониторинга пациентов, а исследовательская организация — максимальное значение Confidentiality. Оценка Environmental учитывает контекст и делает CVSS более полезной для фактического принятия решений о приоритетах.

Рядом с CVSS работают три связанные системы. CVE (Common Vulnerabilities and Exposures) — это список общедоступных уязвимостей безопасности, каждая из которых имеет уникальный идентификатор (CVE-2021-44228 — это Log4Shell). CWE (Common Weakness Enumeration) классифицирует типы слабых мест программного обеспечения (CWE-79 — это XSS, CWE-89 — SQL Injection), то есть описывает первопричину, а не конкретный экземпляр уязвимости. NVD (National Vulnerability Database) дополняет записи CVE оценками CVSS, ссылками, сведениями о затронутых диапазонах продуктов и ссылками на устранение. Команды безопасности подписываются на обновления NVD и рекомендации поставщиков, чтобы получать уведомления о новых CVE, относящихся к используемому программному обеспечению.

Оценки CVSS отражают техническую серьёзность изолированно, но не учитывают контекст организации. Risk-based prioritization изменяет срочность устранения с учётом следующих факторов: критичность актива (критическая ERP-система имеет более высокий приоритет, чем тестовый сервер), эксплуатируемость в реальных атаках (каталог CISA KEV — Known Exploited Vulnerabilities — содержит CVE, которые активно эксплуатируются), доступность извне (доступна ли уязвимая система из интернета?) и компенсирующие меры защиты (есть ли WAF, блокирующий путь атаки?). Уязвимость с CVSS 7.5 в критически важной для бизнеса системе, доступной из интернета и имеющей общедоступный эксплойт, может требовать гораздо более срочного устранения, чем уязвимость с CVSS 9.0 на изолированном внутреннем тестовом сервере.

Несколько Frameworks и инструментов расширяют возможности приоритизации на основе CVSS. EPSS (Exploit Prediction Scoring System) оценивает вероятность того, что CVE будет эксплуатироваться в реальных атаках в течение следующих 30 дней, используя машинное обучение и данные киберразведки. Высокий EPSS + высокий CVSS = наивысший приоритет. SSVC (Stakeholder-Specific Vulnerability Categorization) — это дерево решений CISA/Carnegie Mellon, учитывающее состояние эксплуатации, воздействие на безопасность и критическую инфраструктуру, а также то, является ли система критически важной для выполнения ключевых задач. Эти Frameworks помогают организациям выйти за рамки простой сортировки по оценке CVSS и принимать решения об устранении, действительно основанные на риске.

Специалисты по безопасности должны переводить технические оценки CVSS на язык бизнеса, понятный руководству при принятии решений. Вместо фразы «У нас есть неаутентифицированная RCE с CVSS 9.8 на общедоступном веб-сервере» лучше сказать: «Атакующий из интернета может полностью захватить контроль над нашим сайтом для клиентов без каких-либо учётных данных и потенциально получить доступ ко всем 500 000 записям клиентов и системе обработки платежей — нам необходимо установить исправление поставщика или отключить сервер в течение 24 часов». Описание последствий для бизнеса (данные под угрозой, финансовые потери, регуляторные последствия) способствует более быстрому принятию решений руководством, чем одни только числовые оценки.

Приоритизация уязвимостей приносит пользу только тогда, когда связана с эффективным процессом patch management. Жизненный цикл управления уязвимостями включает следующие этапы: Identify (сканирование), Analyze (CVSS + контекст), Prioritize (ранжирование по риску + SLA), Remediate (развёртывание исправлений через SCCM/Intune/Ansible), Verify (повторное сканирование для подтверждения установки исправлений) и Report (отчётность о тенденциях для руководства). Инструменты управления исправлениями автоматизируют развёртывание в больших масштабах, отслеживая, какие системы уже исправлены, а какие остаются уязвимыми. Отсчёт SLA на устранение начинается с момента обнаружения уязвимости, поэтому частота сканирования напрямую влияет на среднее время устранения.

В этом уроке Вы узнали, что CVSS оценивает уязвимости по шкале от 0.0 до 10.0, используя показатели Base (эксплуатационная пригодность + воздействие), Temporal (зрелость эксплойта + доступность исправления) и Environmental (контекст организации); каталог KEV CISA и оценки EPSS дополняют приоритизацию на основе CVSS, показывая, какие уязвимости активно эксплуатируются в реальных атаках; эффективное управление уязвимостями связывает результаты сканирования с процессами управления исправлениями и определёнными SLA в зависимости от серьёзности. На этом модуль управления уязвимостями завершается — далее мы рассмотрим безопасность приложений и OWASP Top 10.