CVSS veya Ortak Güvenlik Açığı Puanlama Sistemi, bilgisayar sistemi güvenlik açıklarının ciddiyetini değerlendirmek için standartlaştırılmış, açık bir çerçevedir. BT profesyonellerinin ve kuruluşlarının güvenlik risklerine yönelik yanıtları tutarlı ve bilinçli bir şekilde önceliklendirmesine olanak tanır. CVSS, bir güvenlik açığının temel özelliklerini yakalamanın ve temel, zamansal ve çevresel ölçümleri dikkate alarak ciddiyetini yansıtan sayısal bir puan üretmenin bir yolunu sağlar.
CVSS'nin Doğuşu
CVSS, Amerika Birleşik Devletleri'ndeki Ulusal Altyapı Danışma Konseyi'nin (NIAC) bir girişimi olarak ortaya çıktı. 2000'li yılların başında NIAC, altyapıya yönelik potansiyel tehditleri daha iyi yönetmek ve azaltmak amacıyla BT güvenlik açıklarını derecelendirmek için standart bir sisteme duyulan ihtiyacı fark etti.
CVSS'nin ilk sürümü (CVSS v1), 2005 yılında Olay Müdahale ve Güvenlik Ekipleri Forumu (FIRST) tarafından yayımlandı. Bu araç, güvenlik müdahale ekiplerinin karar verme sürecine yardımcı olmak üzere birleşik güvenlik açığı derecelendirmeleri sağlamak üzere tasarlanmıştır. O zamandan beri güncellendi ve geliştirildi ve üçüncü ve en son sürüm (CVSS v3.1) 2019'da yayınlandı.
CVSS'ye Daha Derin Bir Bakış
CVSS öncelikle güvenlik açıklarının ciddiyetinin tarafsız bir ölçümünü sağlamak için tasarlanmıştır. Puanlama sistemi, kuruluşların sistemlerinin karşılaşabileceği en önemli sorunlara odaklanmasına olanak tanır. Bu sadece bir sınıflandırma aracı değil, aynı zamanda tehditlere yanıt olarak uygun önlemlerin alınmasına yönelik bir kılavuzdur.
CVSS puanları 0 ila 10 arasında değişir; 0, hiçbir riski temsil etmez ve 10, en yüksek ciddiyet düzeyini belirtir. Bu puanlar üç metrik gruba göre hesaplanır:
-
Temel Metrikler: Bunlar, saldırı vektörü, karmaşıklık, gereken ayrıcalıklar, kullanıcı etkileşimi, kapsam ve gizlilik, bütünlük ve kullanılabilirlik üzerindeki etkisi gibi zaman ve kullanıcı ortamları boyunca sabit olan bir güvenlik açığının özellikleridir.
-
Zamansal Metrikler: Bu ölçümler zamanla değişir ve güvenlik açığının mevcut durumuyla ilgilenir. Bunlar, kullanılabilirliği, iyileştirme düzeyini ve rapor güvenini içerir.
-
Çevresel Metrikler: Bu ölçümler ikincil hasar potansiyeli, hedef dağıtımı ve güvenlik gereksinimleri gibi kullanıcının ortamına özeldir.
CVSS Çerçevesini Çözmek
CVSS çerçevesi, güvenlik açıkları hakkındaki bilgileri tutarlı ve anlaşılması kolay bir biçimde yakalamak ve iletmek için tasarlanmıştır. Yapısı vektör dizilerine ve puanlama mekanizmalarına dayanmaktadır:
-
Vektör Dizeleri: Bunlar, puanı hesaplamak için kullanılan metriklerin basit metin temsilleridir. Her metriğe, potansiyel etkisini belirten bir değer verilir. Örneğin, CVSS v3.1'de bir vektör dizesi şu şekilde görünebilir: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A :H.
-
Puanlama Mekanizması: Vektör dizisindeki metriklere değerler atandıktan sonra taban puanın oluşturulması için bir formül uygulanır. Zamansal ve çevresel puanlar daha sonra farklı formüller kullanılarak temel puandan elde edilir.
CVSS'nin Temel Özellikleri
CVSS çerçevesinin göze çarpan özelliklerinden bazıları şunlardır:
- Tutarlı güvenlik açığı değerlendirmeleri için standartlaştırılmış puanlama sistemi
- Çeşitli sistem türlerine ve güvenlik açıklarına geniş uygulanabilirlik
- Zamana ve çevreye özel ayarlamalara izin verir
- Şeffaf ve herkesin kullanımına açık
- Ayrıntılı ölçümler güvenlik açıklarına ilişkin derinlemesine bilgi sağlar
- İyileştirme çabalarının önceliklendirilmesine yardımcı olmak için tasarlandı
CVSS Türleri
Şu ana kadar yayınlanmış üç CVSS sürümü bulunmaktadır:
- CVSS v1 (2005): BT güvenlik açıklarını derecelendirmek için standartlaştırılmış bir yöntem sağlayan ilk sürüm.
- CVSS v2 (2007): İlk versiyona göre daha hassas ölçümler geliştirildi ve Zamansal ve Çevresel puanlar eklendi.
- CVSS v3.1 (2019): Temel, Zamansal ve Çevresel metriklerin tanımlarına ilişkin daha fazla iyileştirme ve açıklama sunan en son sürüm.
CVSS'yi Kullanma: Sorunlar ve Çözümler
CVSS'nin ana uygulaması güvenlik açığı yönetimi ve olay müdahale süreçlerindedir. Kuruluşlar, güvenlik açıklarının ciddiyetine göre iyileştirme çabalarını önceliklendirmek için CVSS puanlarını kullanır. Ancak puanlama sistemi bir kuruluşun iş bağlamını hesaba katmaz; bu da, tek başına kullanıldığında verimsiz kaynak tahsisine yol açabilir.
Çözüm, CVSS puanlarını belirli iş etkilerini ve güvenlik gereksinimlerini dikkate alan daha geniş bir risk yönetimi çerçevesine dahil etmektir. Bu şekilde şirketler güvenlik açığı yönetimine yönelik dengeli bir yaklaşım oluşturabilir.
CVSS'nin Diğer Standartlarla Karşılaştırılması
BT güvenlik açıklarını değerlendirmek için başka sistemler de mevcut ancak CVSS, kapsamlı yapısı, açıklığı ve yaygın olarak benimsenmesi nedeniyle öne çıkıyor. İşte kısa bir karşılaştırma:
| CVSS | OWASP Risk Derecelendirme Metodolojisi | DEHŞET | |
|---|---|---|---|
| Açık Standart | Evet | HAYIR | HAYIR |
| Puan Aralığı | 0-10 | Risk seviyeleri (Düşük ila Kritik) | 0-10 |
| Faktörler | Gizlilik, Bütünlük, Kullanılabilirlik, Kullanılabilirlik, İyileştirme, Rapor Güvenliği | Tehdit Aracısı, Güvenlik Açığı, Etki | Hasar, Tekrarlanabilirlik, Kullanılabilirlik, Etkilenen Kullanıcılar, Keşfedilebilirlik |
| Zamansal ve Çevresel Metriklerin Kullanımı | Evet | HAYIR | HAYIR |
CVSS'nin Geleceği
Siber tehditler gelişmeye devam ettikçe CVSS de gelişecektir. Topluluk, güvenlik açıklarının ciddiyetini daha iyi yansıtacak şekilde puanlama sistemini iyileştirmek için aktif olarak çalışıyor. CVSS puanlama sürecini otomatikleştirmek ve daha doğru hale getirmek için yapay zeka ve makine öğrenimi teknolojileri entegre edilebilir.
Ayrıca CVSS'nin gelecekteki sürümleri, IoT cihazları, endüstriyel kontrol sistemleri ve daha fazlası dahil olmak üzere sürekli değişen siber tehdit ortamına uyum sağlamak için daha çeşitli ölçümler içerebilir.
Proxy Sunucuları ve CVSS
OneProxy tarafından sağlananlar gibi proxy sunucular, güvenlik açıklarının yönetilmesinde ve CVSS puanlarının kullanılmasında önemli bir rol oynayabilir. Proxy sunucuları, istemcilerden gelen istekler için aracı görevi görerek kötü niyetli trafiği filtreleyebilir, saldırı yüzeyini ve olası güvenlik açıklarını azaltabilir.
Ayrıca, güçlü bir güvenlik açığı yönetimi sürecine (CVSS dahil) sahip proxy sunucuların kullanılması, gelişmiş koruma sağlayabilir. Proxy sunucuları trafiği günlüğe kaydederken, güvenlik denetimleri için değerli veriler sağlayabilir ve potansiyel güvenlik açıklarının belirlenmesine yardımcı olabilir.
İlgili Bağlantılar
CVSS hakkında daha fazla bilgi için aşağıdaki kaynaklara bakın:
CVSS'yi anlamak ve uygulamak, güvenlik açığı yönetimini ve genel siber güvenlik duruşunu geliştirmek isteyen her kuruluş için hayati öneme sahiptir. CVSS'yi risk değerlendirme çerçevelerine entegre ederek işletmeler, güvenlik açıklarını önceliklendirip bunlara etkili bir şekilde yanıt vermelerini sağlayabilir.
