CVSS (Common Vulnerability Scoring System) ist ein standardisiertes, offenes Framework zur Bewertung des Schweregrads von Sicherheitsl\u00fccken in Computersystemen. Es erm\u00f6glicht IT-Experten und Organisationen, Reaktionen auf Sicherheitsrisiken konsistent und fundiert zu priorisieren. CVSS bietet eine M\u00f6glichkeit, die Hauptmerkmale einer Schwachstelle zu erfassen und unter Ber\u00fccksichtigung der Basis-, Zeit- und Umgebungsmetriken eine numerische Bewertung zu erstellen, die deren Schweregrad widerspiegelt.<\/p>\n
CVSS entstand als Initiative des National Infrastructure Advisory Council (NIAC) in den USA. Anfang der 2000er Jahre erkannte der NIAC die Notwendigkeit eines Standardsystems zur Bewertung von IT-Schwachstellen, um potenzielle Bedrohungen f\u00fcr die Infrastruktur besser verwalten und eind\u00e4mmen zu k\u00f6nnen.<\/p>\n
Die erste Version von CVSS (CVSS v1) wurde 2005 vom Forum of Incident Response and Security Teams (FIRST) ver\u00f6ffentlicht. Dieses Tool wurde entwickelt, um einheitliche Schwachstellenbewertungen bereitzustellen und so den Entscheidungsprozess von Sicherheitsreaktionsteams zu unterst\u00fctzen. Seitdem wurde es aktualisiert und verbessert, und die dritte und neueste Version (CVSS v3.1) wurde 2019 ver\u00f6ffentlicht.<\/p>\n
CVSS soll in erster Linie eine unparteiische Messung des Schweregrads von Schwachstellen erm\u00f6glichen. Das Bewertungssystem erm\u00f6glicht es Unternehmen, sich auf die wichtigsten Probleme zu konzentrieren, mit denen ihre Systeme m\u00f6glicherweise konfrontiert sind. Dabei handelt es sich nicht nur um ein Tool zur Klassifizierung, sondern auch um einen Leitfaden f\u00fcr die Ergreifung geeigneter Ma\u00dfnahmen als Reaktion auf Bedrohungen.<\/p>\n
Die CVSS-Werte reichen von 0 bis 10, wobei 0 kein Risiko und 10 den h\u00f6chsten Schweregrad darstellt. Diese Werte werden anhand von drei Metrikgruppen berechnet:<\/p>\n
Basismetriken<\/strong>: Hierbei handelt es sich um Merkmale einer Schwachstelle, die \u00fcber die Zeit und Benutzerumgebungen hinweg konstant sind, wie Angriffsvektor, Komplexit\u00e4t, erforderliche Berechtigungen, Benutzerinteraktion, Umfang und Auswirkungen auf Vertraulichkeit, Integrit\u00e4t und Verf\u00fcgbarkeit.<\/p>\n<\/li>\n Zeitliche Metriken<\/strong>: Diese Metriken \u00e4ndern sich im Laufe der Zeit und beziehen sich auf den aktuellen Zustand der Schwachstelle. Dazu geh\u00f6ren Ausnutzbarkeit, Sanierungsniveau und Berichtszuverl\u00e4ssigkeit.<\/p>\n<\/li>\n Umweltkennzahlen<\/strong>: Diese Metriken sind spezifisch f\u00fcr die Umgebung eines Benutzers, z. B. das Kollateralschadenspotenzial, die Zielverteilung und Sicherheitsanforderungen.<\/p>\n<\/li>\n<\/ul>\n Das CVSS-Framework ist darauf ausgelegt, Informationen \u00fcber Schwachstellen in einem konsistenten und leicht verst\u00e4ndlichen Format zu erfassen und zu kommunizieren. Seine Struktur basiert auf Vektorzeichenfolgen und Bewertungsmechanismen:<\/p>\n Vektorzeichenfolgen<\/strong>: Dies sind einfache Textdarstellungen der Metriken, die zur Berechnung der Punktzahl verwendet werden. Jeder Metrik wird ein Wert zugewiesen, der ihre potenzielle Auswirkung angibt. In CVSS v3.1 k\u00f6nnte eine Vektorzeichenfolge beispielsweise so aussehen: CVSS:3.1\/AV:N\/AC:L\/PR:N\/UI:N\/S:U\/C:H\/I:H\/A :H.<\/p>\n<\/li>\n Bewertungsmechanismus<\/strong>: Nachdem den Metriken in der Vektorzeichenfolge Werte zugewiesen wurden, wird eine Formel angewendet, um die Basisbewertung zu generieren. Anschlie\u00dfend werden anhand unterschiedlicher Formeln Zeit- und Umgebungswerte aus dem Basiswert abgeleitet.<\/p>\n<\/li>\n<\/ul>\n Zu den herausragenden Merkmalen des CVSS-Frameworks geh\u00f6ren:<\/p>\n Bisher wurden drei Versionen von CVSS ver\u00f6ffentlicht:<\/p>\n Die Hauptanwendung von CVSS liegt im Schwachstellenmanagement und bei der Reaktion auf Vorf\u00e4lle. Organisationen verwenden CVSS-Scores, um Behebungsbem\u00fchungen basierend auf der Schwere der Schwachstellen zu priorisieren. Das Bewertungssystem ber\u00fccksichtigt jedoch nicht den Gesch\u00e4ftskontext einer Organisation, was bei isolierter Verwendung zu einer ineffizienten Ressourcenzuweisung f\u00fchren k\u00f6nnte.<\/p>\n Die L\u00f6sung besteht darin, CVSS-Scores in einen gr\u00f6\u00dferen Rahmen f\u00fcr das Risikomanagement einzubinden, der spezifische gesch\u00e4ftliche Auswirkungen und Sicherheitsanforderungen ber\u00fccksichtigt. Auf diese Weise k\u00f6nnen Unternehmen einen ausgewogenen Ansatz f\u00fcr das Schwachstellenmanagement entwickeln.<\/p>\n Es gibt noch andere Systeme zur Bewertung von IT-Schwachstellen, aber CVSS sticht aufgrund seiner umfassenden Natur, Offenheit und weiten Verbreitung hervor. Hier ein kurzer Vergleich:<\/p>\nEntschl\u00fcsselung des CVSS-Frameworks<\/h2>\n
\n
Hauptmerkmale von CVSS<\/h2>\n
\n
Arten von CVSS<\/h2>\n
\n
Verwendung von CVSS: Probleme und L\u00f6sungen<\/h2>\n
Vergleich von CVSS mit anderen Standards<\/h2>\n