Ortak Güvenlik Açıkları ve Etkilenmeler (CVE), siber güvenlik açıklarının tanımlanmasına ve yayınlanmasına yönelik standart bir sistemdir. Temel amacı, daha iyi savunma stratejileri sağlamak ve siber güvenlik topluluğu içinde işbirliğini teşvik etmek için güvenlik açıklarına ilişkin verilerin paylaşımını ve dağıtımını kolaylaştırmaktır.
CVE'nin Tarihçesi ve Doğuşu
CVE kavramı, 1990'ların sonlarında bilgisayar güvenliği topluluğu içinde, öncelikle MITRE Corporation'ın bir girişimi olarak ortaya çıktı. Sistem, bilinen siber güvenlik açıklarına yönelik standartlaştırılmış tanımlayıcıların yer aldığı bir veritabanı olan ilk CVE Listesi ile Eylül 1999'da başlatıldı.
CVE'nin asıl amacı, güvenlik açıklarına ilişkin bilgilerin tartışılması ve paylaşılması için ortak bir dil sağlamaktı. CVE'nin kullanıma sunulmasından önce, farklı satıcılar ve araştırmacılar aynı güvenlik açıkları için farklı adlar ve açıklamalar kullanıyordu; bu da kafa karışıklığına ve yanlış iletişimlere yol açıyordu.
CVE'yi Anlamak
Her CVE Girişi bir kimlik numarası, bir açıklama ve en az bir genel referans içerir. Kimlik numarası belirli bir formatı takip eder: CVE-YYYY-NNNNN; burada "YYYY", CVE kimliğinin atandığı veya güvenlik açığının kamuya açıklandığı yılı, "NNNNN" ise bu güvenlik açığı için benzersiz bir sayıdır.
CVE sistemi belirli bir güvenlik açığının ciddiyeti veya riski hakkında herhangi bir bilgi sağlamaz. Bununla birlikte, Ulusal Güvenlik Açığı Veritabanı (NVD) gibi diğer kuruluşların, risk puanları veya kullanılabilirlik endeksleri gibi ek meta verileri ekleyebileceği bir temel sağlar.
CVE'nin İç Yapısı ve İşlevselliği
CVE sistemi bilinen her zafiyete benzersiz bir tanımlayıcı atayarak çalışır. Bu tanımlayıcı, güvenlik uygulayıcılarının ortak bir dil kullanarak belirli bir güvenlik açığına başvurmasına yardımcı olur ve bu da azaltma çabalarına yardımcı olur.
CVE Kimlikleri, CVE Numaralandırma Yetkililerinden (CNA'lar) talep edilir ve atanır. CNA'lar, kendi ayrı ve üzerinde anlaşmaya varılmış kapsamları dahilindeki ürünleri etkileyen güvenlik açıklarına CVE kimlikleri atamak için CVE Programı ile ortaklık kuran dünyanın dört bir yanından kuruluşlardır.
MITRE tarafından tutulan CVE Listesi daha sonra bu yeni girişlerle güncellenir. NVD gibi güvenlik açığı veritabanları, daha ayrıntılı güvenlik açığı listeleri oluşturmak için CVE Listesinden veri çeker.
CVE'nin Temel Özellikleri
- Standartlaştırılmış Tanımlayıcılar: Her CVE Kimliği, güvenlik açıkları hakkında bilgi tartışılırken veya paylaşılırken karışıklığı önleyen benzersiz bir güvenlik açığına atıfta bulunur.
- Herkese Açık Erişilebilir Veritabanı: CVE Listesi şeffaflığı ve işbirliğini teşvik edecek şekilde kamuya ücretsiz olarak sunulmaktadır.
- Yaygın kabul: CVE kimlikleri dünya çapında siber güvenlik satıcıları ve araştırmacıları tarafından yaygın olarak kullanılmaktadır ve bu da onu dünya çapında tanınan bir standart haline getirmektedir.
- Ortak dil: Ortak bir tanımlayıcının kullanılması, bireysel güvenlik açıklarını tartışmak için standart bir yol sağlayarak siber güvenlik koordinasyonunun ve işbirliğinin geliştirilmesine yardımcı olur.
CVE Türleri
CVE türlerinin resmi bir sınıflandırması yoktur ancak güvenlik açıkları, etkiledikleri alan (örneğin bellek, işletim sistemi, uygulama), nasıl yararlanılabilecekleri (örneğin uzak, yerel) gibi farklı kriterlere göre sınıflandırılabilir. ) ve sahip oldukları etki (örn. veri sızıntısı, sistem çökmesi).
Örneğin, güvenlik açıklarından nasıl yararlanılabileceğine bakarak şunları elde edebiliriz:
| Sömürü Vektörü | Tanım |
|---|---|
| Yerel | Saldırganın bu güvenlik açığından yararlanabilmesi için fiziksel erişime veya yerel kullanıcı ayrıcalıklarına ihtiyacı var |
| Bitişik | Saldırganın bu güvenlik açığından yararlanabilmesi için hedef sistemle aynı ağa erişimi olması gerekir. |
| Uzak | Saldırgan bu güvenlik açığından internet üzerinden yararlanabilir |
CVE'ler siber güvenlik uzmanları tarafından güvenlik açıklarını belirlemek, etkilerini değerlendirmek ve azaltma stratejileri geliştirmek için kullanılır. Ancak bu sistemin zorlukları da yok değil. Özellikle, CVE sistemi yeni güvenlik açıklarına tanımlayıcı atama konusunda yavaş olabilir ve bu da kapsamda bir boşluğa neden olabilir. Ayrıca CVE ciddiyet veya risk bilgisi sağlamadığından kuruluşların bu veriler için diğer kaynaklara güvenmesi gerekir.
Bu sorunları çözmek için siber güvenlik topluluğu tamamlayıcı araçlar ve kaynaklar geliştirmiştir. Örneğin, Ulusal Güvenlik Açığı Veritabanı, her CVE için ciddiyet puanları ve ek meta veriler sağlarken, CERT/CC ve Zero Day Initiative gibi kuruluşlar genellikle bir CVE Kimliği atanmadan önce yeni güvenlik açıklarına geçici tanımlayıcılar atar.
Benzer Terimlerle Karşılaştırma
| Terim | Tanım | CVE ile karşılaştırma |
|---|---|---|
| CVSS | Ortak Güvenlik Açığı Puanlama Sistemi (CVSS), bir güvenlik açığının temel özelliklerini yakalamanın ve ciddiyetini temsil eden sayısal bir puan üretmenin bir yolunu sağlar. | CVE güvenlik açıklarını belirlerken CVSS bunları önem derecelerine göre puanlar. |
| CWE | Ortak Zayıflık Sayımı (CWE), ortak yazılım güvenliği zayıflıklarının topluluk tarafından geliştirilmiş bir listesidir. Bu zayıflıkları tanımlamak için ortak bir dil görevi görür. | CVE belirli güvenlik açıklarını tanımlarken, CWE güvenlik açıklarına yol açabilecek güvenlik zayıflığı türlerini tanımlar. |
CVE ile İlgili Gelecek Perspektifleri ve Teknolojiler
Siber güvenlik tehditleri gelişmeye devam ettikçe CVE sisteminin de uyum sağlaması gerekecektir. CVE sisteminde gelecekte yapılacak iyileştirmeler arasında otomatik güvenlik açığı tespiti ve raporlaması, CNA'lar için genişletilmiş kapsamlar ve tahmine dayalı analiz için yapay zeka (AI) ve makine öğrenimi (ML) teknolojileriyle entegrasyon yer alabilir.
Proxy Sunucuları ve CVE
OneProxy tarafından sağlananlar gibi proxy sunucular, CVE bağlamında hem hedef hem de araç olabilir. Hedef olarak proxy sunucu yazılımındaki güvenlik açıkları, güvenlik riski oluşturmaları durumunda kendi CVE kimliklerini alabilir. Araç olarak proxy sunucular, örneğin bilinen bir CVE ile ilgili kötü amaçlı trafiği filtreleyerek bazı güvenlik açıklarının etkisini azaltacak şekilde yapılandırılabilir.
