CVSS, o Common Vulnerability Scoring System, \u00e8 un quadro standardizzato e aperto per valutare la gravit\u00e0 delle vulnerabilit\u00e0 della sicurezza del sistema informatico. Consente ai professionisti e alle organizzazioni IT di dare priorit\u00e0 alle risposte ai rischi per la sicurezza in modo coerente e informato. CVSS fornisce un modo per catturare le principali caratteristiche di una vulnerabilit\u00e0 e produrre un punteggio numerico che ne riflette la gravit\u00e0, considerando le metriche di base, temporali e ambientali.<\/p>\n
Il CVSS \u00e8 nato come iniziativa del National Infrastructure Advisory Council (NIAC) negli Stati Uniti. All\u2019inizio degli anni 2000, il NIAC ha riconosciuto la necessit\u00e0 di un sistema standard per la valutazione delle vulnerabilit\u00e0 IT per gestire e mitigare meglio le potenziali minacce alle infrastrutture.<\/p>\n
La prima versione di CVSS (CVSS v1) \u00e8 stata rilasciata nel 2005 dal Forum of Incident Response and Security Teams (FIRST). Questo strumento \u00e8 stato progettato per fornire valutazioni di vulnerabilit\u00e0 unificate, aiutando nel processo decisionale i team di risposta alla sicurezza. Da allora, \u00e8 stato aggiornato e migliorato, con la terza e ultima versione (CVSS v3.1) pubblicata nel 2019.<\/p>\n
CVSS \u00e8 progettato principalmente per fornire una misurazione imparziale della gravit\u00e0 delle vulnerabilit\u00e0. Il sistema di punteggio consente alle organizzazioni di concentrarsi sulle questioni pi\u00f9 significative che i loro sistemi potrebbero dover affrontare. Non \u00e8 semplicemente uno strumento di classificazione, ma anche una guida per intraprendere azioni appropriate in risposta alle minacce.<\/p>\n
I punteggi CVSS vanno da 0 a 10, dove 0 rappresenta nessun rischio e 10 indica il livello di gravit\u00e0 pi\u00f9 alto. Questi punteggi vengono calcolati in base a tre gruppi di parametri:<\/p>\n
Metriche di base<\/strong>: si tratta di caratteristiche di una vulnerabilit\u00e0 costanti nel tempo e negli ambienti utente, come il vettore di attacco, la complessit\u00e0, i privilegi richiesti, l'interazione dell'utente, l'ambito e l'impatto su riservatezza, integrit\u00e0 e disponibilit\u00e0.<\/p>\n<\/li>\n Metriche temporali<\/strong>: queste metriche cambiano nel tempo e gestiscono lo stato attuale della vulnerabilit\u00e0. Includono sfruttabilit\u00e0, livello di riparazione e affidabilit\u00e0 del report.<\/p>\n<\/li>\n Metriche ambientali<\/strong>: queste metriche sono specifiche per l'ambiente di un utente, ad esempio il potenziale di danno collaterale, la distribuzione del target e i requisiti di sicurezza.<\/p>\n<\/li>\n<\/ul>\n Il framework CVSS \u00e8 progettato per acquisire e comunicare informazioni sulle vulnerabilit\u00e0 in un formato coerente e di facile comprensione. La sua struttura \u00e8 basata su stringhe vettoriali e meccanismi di punteggio:<\/p>\n Stringhe vettoriali<\/strong>: si tratta di semplici rappresentazioni testuali delle metriche utilizzate per calcolare il punteggio. A ogni metrica viene assegnato un valore che ne indica il potenziale impatto. Ad esempio, in CVSS v3.1, una stringa vettoriale potrebbe assomigliare a questa: CVSS:3.1\/AV:N\/AC:L\/PR:N\/UI:N\/S:U\/C:H\/I:H\/A :H.<\/p>\n<\/li>\n Meccanismo di punteggio<\/strong>: dopo aver assegnato i valori alle metriche nella stringa vettoriale, viene applicata una formula per generare il punteggio base. I punteggi temporali e ambientali vengono quindi derivati dal punteggio base utilizzando formule diverse.<\/p>\n<\/li>\n<\/ul>\n Alcune delle caratteristiche salienti del framework CVSS includono:<\/p>\n Finora sono state pubblicate tre versioni di CVSS:<\/p>\n La principale applicazione del CVSS \u00e8 nella gestione delle vulnerabilit\u00e0 e nei processi di risposta agli incidenti. Le organizzazioni utilizzano i punteggi CVSS per dare priorit\u00e0 agli interventi di riparazione in base alla gravit\u00e0 delle vulnerabilit\u00e0. Tuttavia, il sistema di punteggio non tiene conto del contesto aziendale di un'organizzazione, il che potrebbe comportare un'allocazione inefficiente delle risorse se utilizzato isolatamente.<\/p>\n La soluzione consiste nell\u2019incorporare i punteggi CVSS all\u2019interno di un quadro di gestione del rischio pi\u00f9 ampio che consideri specifici impatti aziendali e requisiti di sicurezza. In questo modo, le aziende possono creare un approccio equilibrato verso la gestione delle vulnerabilit\u00e0.<\/p>\n Esistono altri sistemi per valutare le vulnerabilit\u00e0 IT, ma CVSS si distingue per la sua natura completa, apertura e adozione diffusa. Ecco un breve confronto:<\/p>\nSvelare il quadro CVSS<\/h2>\n
\n
Caratteristiche principali di CVSS<\/h2>\n
\n
Tipi di CVSS<\/h2>\n
\n
Utilizzando CVSS: problemi e soluzioni<\/h2>\n
Confronto CVSS con altri standard<\/h2>\n