CVSS یا Common Vulnerability Scoring System یک چارچوب استاندارد و باز برای ارزیابی شدت آسیب پذیری های امنیتی سیستم کامپیوتری است. این به متخصصان و سازمان‌های فناوری اطلاعات اجازه می‌دهد تا پاسخ‌ها به خطرات امنیتی را به شیوه‌ای ثابت و آگاهانه اولویت‌بندی کنند. CVSS راهی برای ثبت ویژگی‌های اصلی یک آسیب‌پذیری و تولید یک امتیاز عددی که منعکس‌کننده شدت آن است، با در نظر گرفتن معیارهای پایه، زمانی و محیطی ارائه می‌کند.
پیدایش CVSS
CVSS به عنوان یک ابتکار از شورای مشورتی زیرساخت ملی (NIAC) در ایالات متحده آغاز شد. در اوایل دهه 2000، NIAC نیاز به یک سیستم استاندارد برای رتبه‌بندی آسیب‌پذیری‌های فناوری اطلاعات برای مدیریت بهتر و کاهش تهدیدات احتمالی برای زیرساخت را تشخیص داد.
اولین نسخه CVSS (CVSS v1) در سال 2005 توسط انجمن پاسخگویی به حوادث و تیم های امنیتی (FIRST) منتشر شد. این ابزار برای ارائه رتبه‌بندی آسیب‌پذیری یکپارچه طراحی شده است که به فرآیند تصمیم‌گیری برای تیم‌های پاسخ امنیتی کمک می‌کند. از آن زمان، به روز رسانی و بهبود یافته است و سومین و آخرین نسخه (CVSS v3.1) در سال 2019 منتشر شده است.
نگاهی عمیق تر به CVSS
CVSS در درجه اول برای ارائه اندازه گیری بی طرفانه از شدت آسیب پذیری ها طراحی شده است. سیستم امتیازدهی به سازمان‌ها اجازه می‌دهد تا روی مهم‌ترین مسائلی که ممکن است سیستم‌هایشان با آن مواجه شوند، تمرکز کنند. این صرفاً ابزاری برای طبقه بندی نیست، بلکه راهنمای انجام اقدامات مناسب در پاسخ به تهدیدات است.
نمرات CVSS از 0 تا 10 است که 0 نشان دهنده هیچ خطری و 10 نشان دهنده بالاترین سطح شدت است. این امتیازات بر اساس سه گروه متریک محاسبه می شود:
-
معیارهای پایه: اینها ویژگی‌های یک آسیب‌پذیری هستند که در طول زمان و محیط‌های کاربر ثابت هستند، مانند بردار حمله، پیچیدگی، امتیازات مورد نیاز، تعامل کاربر، دامنه، و تأثیر بر محرمانگی، یکپارچگی و در دسترس بودن.
-
معیارهای زمانی: این معیارها در طول زمان تغییر می کنند و با وضعیت فعلی آسیب پذیری سروکار دارند. آنها شامل قابلیت بهره برداری، سطح اصلاح و اطمینان گزارش هستند.
-
معیارهای زیست محیطی: این معیارها مختص محیط کاربر است، مانند پتانسیل آسیب جانبی، توزیع هدف و الزامات امنیتی.
باز کردن چارچوب CVSS
چارچوب CVSS برای جمع‌آوری و انتقال اطلاعات در مورد آسیب‌پذیری‌ها در قالبی سازگار و قابل درک طراحی شده است. ساختار آن بر اساس رشته های برداری و مکانیسم های امتیازدهی است:
-
رشته های برداری: اینها نمایش متنی ساده ای از معیارهای مورد استفاده برای محاسبه امتیاز هستند. به هر متریک مقداری داده می شود که تأثیر بالقوه آن را نشان می دهد. به عنوان مثال، در CVSS نسخه 3.1، یک رشته برداری ممکن است به این صورت باشد: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A : H.
-
مکانیسم امتیازدهی: پس از تخصیص مقادیر به متریک ها در رشته برداری، فرمولی برای ایجاد امتیاز پایه اعمال می شود. سپس امتیازات زمانی و محیطی از امتیاز پایه با استفاده از فرمول های مختلف استخراج می شود.
ویژگی های کلیدی CVSS
برخی از ویژگی های برجسته چارچوب CVSS عبارتند از:
- سیستم امتیازدهی استاندارد برای ارزیابی آسیب پذیری پایدار
- قابلیت کاربرد گسترده برای انواع مختلف سیستم ها و آسیب پذیری ها
- امکان تنظیمات خاص زمانی و محیطی را فراهم می کند
- شفاف و برای استفاده همه باز است
- معیارهای دقیق بینش عمیقی در مورد آسیب پذیری ها ارائه می دهند
- طراحی شده برای کمک به اولویت بندی تلاش های اصلاحی
انواع CVSS
سه نسخه از CVSS وجود دارد که تاکنون منتشر شده است:
- CVSS v1 (2005): نسخه اولیه، ارائه یک روش استاندارد برای رتبه بندی آسیب پذیری های فناوری اطلاعات.
- CVSS v2 (2007): در نسخه اول با معیارهای دقیق تر بهبود یافته و امتیازات زمانی و محیطی معرفی شده است.
- CVSS نسخه 3.1 (2019): آخرین نسخه، ارائه بهبودها و شفاف سازی بیشتر در مورد تعاریف معیارهای پایه، زمانی و محیطی.
استفاده از CVSS: مسائل و راه حل ها
کاربرد اصلی CVSS در مدیریت آسیب پذیری و فرآیندهای واکنش به حادثه است. سازمان‌ها از امتیازات CVSS برای اولویت‌بندی تلاش‌های اصلاحی بر اساس شدت آسیب‌پذیری‌ها استفاده می‌کنند. با این حال، سیستم امتیازدهی در زمینه کسب و کار یک سازمان فاکتور نمی گیرد، که در صورت استفاده مجزا می تواند منجر به تخصیص ناکارآمد منابع شود.
راه حل این است که نمرات CVSS را در یک چارچوب مدیریت ریسک بزرگتر بگنجانید که تأثیرات تجاری خاص و الزامات امنیتی را در نظر می گیرد. به این ترتیب، شرکت‌ها می‌توانند رویکردی متعادل نسبت به مدیریت آسیب‌پذیری ایجاد کنند.
مقایسه CVSS با سایر استانداردها
سیستم‌های دیگری برای ارزیابی آسیب‌پذیری‌های فناوری اطلاعات وجود دارد، اما CVSS به دلیل ماهیت جامع، باز بودن و پذیرش گسترده آن برجسته است. در اینجا یک مقایسه کوتاه وجود دارد:
| CVSS | روش رتبه بندی ریسک OWASP | وحشت | |
|---|---|---|---|
| استاندارد باز | آره | خیر | خیر |
| محدوده امتیاز | 0-10 | سطوح ریسک (پایین تا بحرانی) | 0-10 |
| عوامل | محرمانه بودن، یکپارچگی، در دسترس بودن، بهره برداری، اصلاح، اطمینان گزارش | عامل تهدید، آسیب پذیری، تأثیر | آسیب، تکرارپذیری، قابلیت بهره برداری، کاربران متاثر، قابلیت کشف |
| استفاده از معیارهای زمانی و محیطی | آره | خیر | خیر |
آینده CVSS
همانطور که تهدیدات سایبری به تکامل خود ادامه می دهند، CVSS نیز رشد خواهد کرد. جامعه فعالانه روی اصلاح سیستم امتیازدهی کار می کند تا شدت آسیب پذیری ها را بهتر منعکس کند. فناوری‌های هوش مصنوعی و یادگیری ماشین ممکن است برای خودکار کردن فرآیند امتیازدهی CVSS و دقیق‌تر کردن آن یکپارچه شوند.
علاوه بر این، نسخه‌های آینده CVSS ممکن است معیارهای متنوع‌تری را برای تطبیق با چشم‌انداز دائماً در حال تغییر تهدیدات سایبری، از جمله دستگاه‌های اینترنت اشیا، سیستم‌های کنترل صنعتی، و موارد دیگر ترکیب کنند.
سرورهای پروکسی و CVSS
سرورهای پروکسی، مانند سرورهای ارائه شده توسط OneProxy، می توانند نقش مهمی در مدیریت آسیب پذیری ها و استفاده از امتیازات CVSS ایفا کنند. سرورهای پروکسی با عمل به عنوان یک واسطه برای درخواست‌های مشتریان، می‌توانند ترافیک مخرب را فیلتر کنند و سطح حمله و آسیب‌پذیری‌های احتمالی را کاهش دهند.
علاوه بر این، استفاده از سرورهای پروکسی با فرآیند مدیریت آسیب‌پذیری قوی (شامل CVSS) می‌تواند حفاظت پیشرفته‌تری را ارائه دهد. همانطور که سرورهای پروکسی ترافیک را ثبت می کنند، می توانند داده های ارزشمندی را برای ممیزی های امنیتی ارائه دهند و به شناسایی آسیب پذیری های احتمالی کمک کنند.
لینک های مربوطه
برای اطلاعات بیشتر در مورد CVSS، به منابع زیر مراجعه کنید:
درک و بکارگیری CVSS برای هر سازمانی که به دنبال بهبود مدیریت آسیب‌پذیری و وضعیت کلی امنیت سایبری است، حیاتی است. با ادغام CVSS در چارچوب ارزیابی ریسک، کسب‌وکارها می‌توانند اطمینان حاصل کنند که آسیب‌پذیری‌ها را اولویت‌بندی می‌کنند و به طور موثر به آن پاسخ می‌دهند.
