Kui skannimine annab rohkem kõrge ja kriitilise raskusastmega leide, kui teie meeskond suudab sel nädalal paigata, on vaja tööjärjekorda. Sortimine CVSS-skoori järgi tundub objektiivne, kuid vastab valele küsimusele. Kui ühendate selle EPSS-i, KEV-kataloogi ja oma varade kontekstiga, saate palju parema vastuse.
Mida CVSS mõõdab ja mida mitte
CVSS (Common Vulnerability Scoring System), mida haldab FIRST, kirjeldab, kui tõsine haavatavus on. Baasskoor peegeldab haavatavuse olemuslikke omadusi ja eeldab mõistlikku halvimat juhtu kõigis keskkondades, kuhu haavatav tarkvara võidakse paigaldada. FIRST-i CVSS v4.0 kasutusjuhend ütleb selgelt, et baasskoorid mõõdavad raskusastet ja neid „ei tohiks kasutada üksi riski hindamiseks“.
Ometi on baasskoor tavaliselt ainus, mis teile antakse. Sama juhend märgib, et tootehaldajad ja USA riiklik haavatavuste andmebaas (NVD) avaldavad tavaliselt ainult baasskoore. Teave praeguste ohtude ja teie enda keskkonna kohta tuleb lisada teil endal.
CVSS-vektor näitab, kuidas skoor on koostatud. Näiteks:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H (9.8, Critical)Seda loetakse nii: kättesaadav üle võrgu, madal keerukus, õigusi ega kasutaja osalust pole vaja, suur mõju konfidentsiaalsusele, terviklusele ja käideldavusele. See ei ütle midagi selle kohta, kas keegi haavatavust ära kasutab või kas mõjutatud süsteem teie võrgus on üldse avatud.
CVSS v3.1 ja v4.0 lühidalt
CVSS v4.0 avaldati 2023. aasta novembris. Mõlemas versioonis on samad kvalitatiivsed vahemikud: madal 0,1–3,9, keskmine 4,0–6,9, kõrge 7,0–8,9 ja kriitiline 9,0–10,0. Turvateadetes näete veel mõnda aega mõlemat versiooni.
| Teema | CVSS v3.1 | CVSS v4.0 |
|---|---|---|
| Mõõdikurühmad | Baas-, ajalised ja keskkonnamõõdikud | Baas-, ohu-, keskkonna- ja täiendavad mõõdikud |
| Teave ärakasutamise kohta | Ajaliste mõõdikute rühm kolme mõõdikuga | Ohurühm, milles on ainult ärakasutuse küpsus (Exploit Maturity) |
| Laiem mõju | Ulatuse (Scope) mõõdik | Eraldi mõju haavatavale süsteemile ja järgnevatele süsteemidele |
| Ründe tingimused | Ründe keerukus | Ründe keerukus ja uus mõõdik ründe eeldused (Attack Requirements) |
| Kasutaja osalus | Puudub või nõutav | Puudub, passiivne või aktiivne |
| Tähistus | Üks skoor | CVSS-B, CVSS-BT, CVSS-BE või CVSS-BTE, olenevalt kasutatud rühmadest |
Versiooni 4.0 tähistused on kasulikud. CVSS-B-ga märgitud skoor on ainult baasskoor, nii et teate, et ohtu ja keskkonda pole arvesse võetud. Täiendavad mõõdikud, näiteks kas ärakasutamist saab automatiseerida, lisavad konteksti ilma skoori muutmata.
EPSS: kui tõenäoline on ärakasutamine?
EPSS (Exploit Prediction Scoring System), mida samuti haldab FIRST, hindab tõenäosust, et avaldatud CVE-d kasutatakse järgmise 30 päeva jooksul päriselus ära. Skoorid on vahemikus 0 kuni 1 ning need avaldatakse iga päev iga CVE kohta tasuta CSV-failina ja API kaudu.
FIRST-i kasutusjuhend soovitab ühendada EPSS-i ja CVSS-i lihtsaks nelikväljaks:
| Madal CVSS | Kõrge CVSS | |
|---|---|---|
| Kõrge EPSS | Tõenäoliselt kasutatakse ära, üksi piiratud mõjuga; kontrollige, kas seda saab teiste haavatavustega aheldada | Paigake esimesena |
| Madal EPSS | Üldjuhul võib prioriteeti langetada | Tõsine, kuid väiksema ärakasutamise tõenäosusega; jälgige muutusi |
Juhend on sama selge ka piirangute osas. EPSS katab ainult riski ohupoolt, seega „ei tohiks seda kunagi käsitleda riskiskoorina“. See ei tea, milliseid süsteeme te kasutate, kui avatud need on või milliseid andmeid need sisaldavad. Madal skoor ei tähenda ka kunagi nulli.
KEV: kas seda juba kasutatakse ära?
CISA teadaolevalt ärakasutatud haavatavuste kataloog (Known Exploited Vulnerabilities, KEV) loetleb haavatavused, mille päriselus ärakasutamise kohta on usaldusväärseid tõendeid. Haavatavus lisatakse ainult siis, kui täidetud on kolm tingimust:
- sellel on CVE ID
- aktiivse ärakasutamise kohta on usaldusväärseid tõendeid; skannimine, uuringud ja kontseptsioonitõenduse kood üksi ei lähe arvesse
- olemas on selged parandusjuhised, näiteks tootja uuendus
Siduv tegevusdirektiiv (Binding Operational Directive) 22-01 nõuab USA föderaalsetelt tsiviilasutustelt KEV-kirjete parandamist kindlaks tähtajaks. Teisi organisatsioone see ei kohusta, kuid CISA soovitab tungivalt, et kõik käsitleksid KEV-kirjeid haavatavuste halduses prioriteetsena.
Euroopa organisatsioonidel on teinegi allikas. ENISA Euroopa haavatavuste andmebaas (EUVD), mis on NIS2 direktiivi alusel töötanud alates 2025. aasta maist, sisaldab ärakasutatud haavatavuste ülevaatelauda. Sinna voolavad automaatselt CVE-andmed, tootjate turvateated ja KEV-kataloog.
Lihtne viis prioriteete seada
Kasutage KEV-i ja EPSS-i, et otsustada, kui kiire miski on, ja oma teadmisi varade kohta, et otsustada, kus see loeb. Allpool toodud tasemed on meie soovitatud lähtepunkt, mitte standard. Kohandage tähtajad oma võimekuse ja riskiisuga.
| Tase | Tingimus | Soovitatav tähtaeg |
|---|---|---|
| 1 | KEV-is või EUVD-s ärakasutatuks märgitud, internetile avatud või äritegevuse jaoks kriitilises süsteemis | Päevad; kui paika veel pole, kasutage leevendusmeetmeid |
| 2 | KEV-is sisesüsteemides või kõrge EPSS avatud süsteemis | Järgmine paikamistsükkel, umbes kahe nädala jooksul |
| 3 | Kõrge või kriitiline CVSS madala EPSS-iga, süsteem pole avatud | Tavapärane igakuine tsükkel; kontrollige EPSS-i ja KEV-i regulaarselt uuesti |
| 4 | Kõik muu | Tavapärane hooldus või aktsepteerige risk ja dokumenteerige põhjus |
Varade kontekst muudab skoori otsuseks. Esitage iga süsteemi kohta kolm küsimust: kas see on internetist kättesaadav, milliseid andmeid või juurdepääsu see sisaldab ja mis maksaks selle seisak? CVSS-i mõistes on need teie keskkonnamõõdikud.
Näide
Kujutage ette kaht samal päeval tehtud leidu. Esimese skoor on 9,8, see asub sisemises testserveris, kus pole tundlikke andmeid, selle EPSS-skoor on madal ja KEV-is seda pole. Teine on kohaliku õiguste eskaleerimise haavatavus skooriga 7,8, mis on KEV-kataloogis ja esineb iga töötaja sülearvutis.
Skoori järgi sortimine tõstab esimese ettepoole. Ülal kirjeldatud lähenemine paneb esikohale teise. Seda kasutatakse ära ja see on igas sülearvutis, kus üksainus õnnestunud õngitsuskiri võib anda ründajale vajaliku jalgealuse. Testserver parandatakse samuti, tavapärase tsükli raames.
Kust alustada
- Veenduge, et teie skanner või varade register salvestab iga leiu juurde CVE ID.
- Laadige igapäevased EPSS-skoorid ja KEV-loend või kasutage tööriista, mis seda juba teeb.
- Märgistage varad avatuse ja ärilise olulisuse järgi, kas või ainult siltidega „internetile avatud“ ja „kriitiline“.
- Leppige juhtkonnaga kokku iga taseme tähtajad ja jälgige nende täitmist.
- Kui turvateade annab ainult vektori, lugege see läbi meie CVSS-i kalkulaatoriga ja kohandage see oma keskkonnale.
Kui eelistate, et seda tehtaks pidevalt, võib meie hallatud turbe teenus võtta haavatavuste jälgimise ja prioriseerimise teie eest üle.
