Definition
Das Common Vulnerability Scoring System (CVSS) ist ein standardisiertes Verfahren zur Bewertung der Schwere von Sicherheitslücken in IT-Systemen. Es dient dazu, die Dringlichkeit und das Risiko von Schwachstellen objektiv zu quantifizieren und vergleichbar zu machen. CVSS liefert einen numerischen Wert, der die potenzielle Auswirkung einer Sicherheitsanfälligkeit beschreibt.
Der CVSS-Score wird auf einer Skala von 0 bis 10 angegeben, wobei 10 die kritischste Bewertung darstellt. Neben dem numerischen Wert umfasst CVSS auch eine qualitative Einstufung, die von niedrig bis kritisch reicht. Diese Bewertung unterstützt Sicherheitsverantwortliche bei der Priorisierung von Maßnahmen zur Schwachstellenbehebung.
Was bedeutet das für Ihr Unternehmen?
Sicherheitswarnungen zu Software, die Sie einsetzen, kommen meist mit einem CVSS-Wert, und der hilft bei der Frage, wie schnell gehandelt werden muss. Ein hoher Wert bei einem System, das aus dem Internet erreichbar ist, rechtfertigt ein Update noch am selben Tag, während eine Lücke in einer nur intern genutzten Funktion etwas warten kann. Vereinbaren Sie im Wartungsvertrag, innerhalb welcher Zeit kritische Lücken geschlossen werden.
Geschichte und Standardisierung
CVSS wurde ursprünglich im Auftrag des US-amerikanischen National Infrastructure Advisory Council (NIAC) entwickelt und wird seither vom Forum of Incident Response and Security Teams (FIRST) gepflegt, einer internationalen Organisation, die sich mit der Koordination von Sicherheitsvorfällen beschäftigt. Die erste Version wurde im Jahr 2005 veröffentlicht, um eine einheitliche Methode zur Bewertung von Schwachstellen zu etablieren.
Seitdem wurde CVSS mehrfach überarbeitet und weiterentwickelt. Weit verbreitet ist CVSS v3.1 aus dem Jahr 2019; im November 2023 folgte CVSS v4.0, das seitdem schrittweise eingeführt wird. Die Weiterentwicklung erfolgt durch ein Gremium von Sicherheitsexperten und Organisationen, die den Standard pflegen und an neue Bedrohungen anpassen.
Funktionsweise und Berechnung
Die Berechnung des CVSS-Scores basiert auf mehreren Metriken, die in drei Gruppen unterteilt sind: Basis-, Zeit- und Umgebungsmetriken. Die Basismetriken bewerten die grundlegenden Eigenschaften der Schwachstelle, wie Angriffsvektor, Komplexität und Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.
Zeitmetriken berücksichtigen Faktoren, die sich im Laufe der Zeit ändern können, etwa die Verfügbarkeit von Exploits oder Gegenmaßnahmen. Umgebungsmetriken erlauben eine Anpassung des Scores an die spezifischen Gegebenheiten einer Organisation, indem sie die Bedeutung der betroffenen Systeme und vorhandene Schutzmaßnahmen einbeziehen.
Einsatzgebiete
CVSS wird vor allem von IT-Sicherheitsabteilungen, Softwareherstellern und Sicherheitsforschern genutzt, um Schwachstellen zu bewerten und zu priorisieren. Die Bewertung hilft bei der Entscheidung, welche Sicherheitslücken zuerst behoben werden sollten, insbesondere wenn Ressourcen begrenzt sind.
Darüber hinaus verwenden viele öffentliche Schwachstellen-Datenbanken, wie die National Vulnerability Database (NVD) des US-amerikanischen National Institute of Standards and Technology (NIST), CVSS-Scores, um die Schwere von gemeldeten Sicherheitslücken zu kennzeichnen. Dies erleichtert die Kommunikation und Koordination im Bereich der IT-Sicherheit.
Abgrenzung zu verwandten Bewertungssystemen
CVSS unterscheidet sich von anderen Bewertungssystemen durch seine breite Akzeptanz und Standardisierung. Alternative Systeme, wie das DREAD-Modell, wurden früher verwendet, sind jedoch weniger standardisiert und werden heute seltener eingesetzt. CVSS bietet eine detailliertere und systematischere Bewertung.
Im Vergleich zu reinen Risikoanalysen fokussiert CVSS speziell auf technische Eigenschaften von Schwachstellen und berücksichtigt keine organisatorischen oder wirtschaftlichen Faktoren. Somit ergänzt CVSS andere Methoden zur Risikoabschätzung, ersetzt diese aber nicht vollständig.