Che cos'è il CVSS (Common Vulnerability Scoring System)?

Questo articolo esplora il Common Vulnerability Scoring System (CVSS), compreso il funzionamento del punteggio CVSS. Rivela inoltre le metriche CVSS, un confronto tra CVSS e altri sistemi di punteggio e le migliori pratiche.

Il Common Vulnerability Scoring System, abbreviato in CVSS, è un framework aperto che si occupa della valutazione e della classificazione della gravità delle vulnerabilità di sicurezza. A questo proposito, i punteggi assegnati dal CVSS sono utilizzati principalmente dai professionisti della sicurezza informatica per le attività di mitigazione dei rischi. I punteggi CVSS sono compresi tra 0 e 10 per determinare il livello di vulnerabilità. Un rapporto del 2023 ha stimato che circa il 93% delle vulnerabilità segnalate di recente non sono state analizzate dal National Vulnerability Database (NVD), lasciando senza gestione un numero sorprendentemente elevato di vulnerabilità probabilmente sfruttabili con exploit proof-of-concept disponibili al pubblico.

Questa lacuna sottolinea quanto sia essenziale disporre di un sistema comune di valutazione delle vulnerabilità, che consenta alle organizzazioni di adottare un approccio coerente per valutare e dare priorità a tali vulnerabilità e, su questa base, assumere una posizione molto più proattiva nei confronti delle minacce emergenti.

In questo post del blog discuteremo in dettaglio il sistema comune di valutazione delle vulnerabilità. Spiegheremo anche il sistema di valutazione delle vulnerabilità, la base per il calcolo di un punteggio CVSS, esamineremo il calcolatore CVSS e lo confronteremo con altri sistemi che forniscono supporto per una gestione efficace delle vulnerabilità. Alla fine, avrete a disposizione le informazioni necessarie per migliorare la sicurezza informatica della vostra organizzazione.

Che cos'è il CVSS (Common Vulnerability Scoring System)?

Il CVSS, o sistema comune di valutazione delle vulnerabilità, è un sistema standardizzato utilizzato per la valutazione e la comunicazione delle vulnerabilità del software. Contiene un punteggio numerico compreso tra 0 e 10, in modo tale che più alto è il valore, più grave è la vulnerabilità. Il CVSS è stato lanciato dal National Infrastructure Advisory Council (NIAC) nel 2005 come CVSS 1.0. Successivamente, il NIAC ha selezionato il Forum of Incident Response and Security Teams, comunemente noto come FRONT, per gestire i futuri sviluppi del CVSS.

Il CVSS ha tre gruppi di metriche: base, temporali e ambientali. Queste metriche aiutano le organizzazioni a cogliere diversi aspetti di una vulnerabilità, come la sua sfruttabilità, la diffusione che potrebbe raggiungere nei sistemi e la sua mitigazione in diversi ambienti. È attraverso questo approccio strutturato che il CVSS facilita alle organizzazioni la gestione più efficiente delle vulnerabilità e rende possibile dare priorità alle patch o alle strategie di mitigazione in base al probabile impatto che ogni difetto potrebbe avere.

Perché CVSS è importante per la gestione delle vulnerabilità?

CVSS svolge un ruolo significativo nella gestione delle vulnerabilità, aiutando le organizzazioni a valutare e dare priorità alle vulnerabilità in modo sistematico. Pertanto, un uso efficace del CVSS garantisce la sicurezza complessiva di un'organizzazione in cui le risorse vengono utilizzate in base alle loro esigenze. Di seguito sono riportati alcuni fattori che riflettono l'importanza del CVSS per la gestione delle vulnerabilità:

1. Standardizzazione multipiattaforma: Le organizzazioni che gestiscono grandi ambienti IT necessitano di un quadro di valutazione uniforme come quello offerto dal CVSS per classificare le vulnerabilità su piattaforme e sistemi diversi. La valutazione standardizzata consente di giudicare tutte le vulnerabilità in base agli stessi criteri, fornendo una solida base per il processo decisionale.
2. Concentrarsi sulle debolezze precedenti: CVSS consente ai team di sicurezza di dare priorità alle vulnerabilità sulla base di una metrica di gravità unificata. Ciò elimina i pregiudizi soggettivi e consente ai team IT di concentrarsi prima sulle vulnerabilità più critiche. Secondo un rapporto, il 71% delle organizzazioni gestiva le vulnerabilità internamente, ma solo il 30% considerava i propri programmi altamente efficaci. È incoraggiante che il 44% preveda di aumentare gli investimenti in soluzioni di gestione delle vulnerabilità, con l'obiettivo di rafforzare gli sforzi in materia di sicurezza.lt;/li>
3. Automatizza i processi di sicurezza: Il punteggio CVSS viene solitamente fornito da strumenti automatizzati utilizzati nella gestione delle vulnerabilità. Tali strumenti di automazione determinano automaticamente le priorità di patch o mitigazione, riducendo al minimo i tempi di applicazione delle patch e i potenziali errori umani. Il CVSS consente un livello di automazione che riduce al minimo la valutazione manuale dei rischi, accelerando così le risposte.
4. Migliore comunicazione con le parti interessate: CVSS fornisce un linguaggio comune per discutere delle vulnerabilità, consentendo ai team IT e di sviluppo di comunicare in modo appropriato il proprio lavoro alle parti interessate non tecniche. La comprensione condivisa garantisce che tutti coloro che si occupano della gestione delle vulnerabilità siano consapevoli delle stesse problematiche, in modo che le risorse possano essere allocate in modo appropriato, facilitando la giustificazione delle iniziative di sicurezza.
5. Conformità ai requisiti normativi: L'utilizzo di CVSS facilita la conformità agli standard normativi quali GDPR, PCI-DSS o CCPA, consentendo alle organizzazioni di dimostrare una gestione proattiva delle vulnerabilità. La maggior parte degli ambienti normativi richiede una gestione proattiva delle vulnerabilità e CVSS fornisce la trasparenza necessaria per dimostrare che vengono seguite le migliori pratiche di sicurezza. Gli audit di conformità possono essere semplificati quando le vulnerabilità vengono analizzate e classificate in ordine di priorità utilizzando un sistema comune e accettato come il CVSS.
6. Decisioni informate sulla gestione delle patch: Le vulnerabilità con punteggi elevati dovrebbero essere affrontate per prime, assicurando che le risorse siano impiegate per mitigare i rischi maggiori. Da un sondaggio è emerso che il 62% delle organizzazioni non era a conoscenza delle proprie vulnerabilità prima di subire una violazione dei dati, sottolineando la necessità critica di una gestione delle patch efficace e informata gestione delle patch. Affrontando in modo proattivo le vulnerabilità, le organizzazioni possono ridurre significativamente il rischio di violazioni e rafforzare la loro posizione di sicurezza complessiva.

CVSS rispetto ad altri sistemi di valutazione delle vulnerabilità

Con la disponibilità di vari sistemi di valutazione delle vulnerabilità su misura per settori o casi d'uso specifici, diventa molto difficile per le organizzazioni prendere una decisione e selezionarne uno. Pertanto, nella sezione seguente, confronteremo le differenze tra il sistema di valutazione delle vulnerabilità comune e altri sistemi di valutazione popolari, mettendo in evidenza le loro caratteristiche e applicazioni uniche.

Aspetto	Sistema comune di valutazione delle vulnerabilità	Metodologia di valutazione del rischio secondo OWASP	Punteggio proprietario Microsoft
Intervallo di punteggio	Da 0 a 10, consentendo una granularità più fine della gravità da “Nessuna" a "Critica"	Livelli di punteggio Basso, Medio, Alto e Critico	Da 1 a 5, da bassa ad alta gravità
Metriche valutate	Base (intrinseca), temporale (sensibile al tempo), ambientale (specifica del contesto)	Si concentra sul potenziale impatto sulle applicazioni e sugli utenti	Misurazioni della sfruttabilità e dell'impatto all'interno dei rischi specifici di Windows
Livello di standardizzazione	Elevato, accettato a livello internazionale e ampiamente applicato nel settore	Medio, discrezionale, con minore standardizzazione	Basso, proprietario, applicabile solo agli ambienti Microsoft
Ambito di applicazione	Ampio, adattabile agli ambienti IT tradizionali e cloud	Principalmente applicazioni web, con particolare attenzione ai fattori di rischio basati sul web	Limitato agli ecosistemi Microsoft, principalmente per la risoluzione delle vulnerabilità di Windows
Facilità d'uso	Intuitivo, progettato sia per team di sicurezza informatica generici che specializzati	Specifico per il contesto, richiede competenze nell'analisi dei rischi	Ambito limitato; si raccomanda la familiarità con l'ecosistema Microsoft
Architettura aperta	Sì, framework open source, modificabile per vari strumenti e integrazioni	Sì, aperto e adattabile per le valutazioni delle applicazioni web	No, closed-source, adattabile solo all'interno dei sistemi Microsoft

Da questi confronti, CVSS emerge chiaramente come uno standard applicato in diversi settori. Progettato per un'ampia applicazione, CVSS è in grado di valutare le vulnerabilità con un'adattabilità senza pari sia nei sistemi IT tradizionali che nei moderni ambienti basati su cloud. Al contrario, la metodologia di valutazione del rischio OWASP si concentra principalmente sulle applicazioni web, basandosi maggiormente su un giudizio soggettivo basato sul rischio potenziale e sull'impatto.

Sebbene efficace nell'ambiente Windows, il sistema di valutazione delle vulnerabilità proprietario di Microsoft non ha l'applicabilità universale offerta dal CVSS. Per le organizzazioni con infrastrutture IT eterogenee, il CVSS offre la flessibilità necessaria per valutare le vulnerabilità in modo coerente su tutte le piattaforme. Le sue metriche complete forniscono una valutazione molto granulare, consentendo alle organizzazioni di acquisire una comprensione più completa dei rischi complessivi associati a ciascuna vulnerabilità.

CVSS vs. CVE

Ora che conosciamo le differenze rispetto ad altri sistemi di valutazione delle vulnerabilità, confrontiamo il CVSS con il Common Vulnerabilities and Exposures o CVE. La differenza fondamentale tra CVSS e CVE risiede nel loro scopo all'interno della gestione delle vulnerabilità. Il CVE fornisce un elenco di vulnerabilità note al pubblico con identificatori univoci, mentre il CVSS offre un sistema di valutazione per determinare la gravità di tali vulnerabilità. Cerchiamo di capire meglio con l'aiuto di una tabella:

Aspetto	CVSS	CVE
Scopo	Fornisce un metodo per valutare la gravità delle vulnerabilità.	Elenca le vulnerabilità note al pubblico con identificatori univoci.
Elemento	La chiave per valutare le vulnerabilità, aiutando a stabilire le priorità delle risposte.	Essenziale per catalogare e monitorare le vulnerabilità di sicurezza.
Proprietario dello standard	Gestito da FIRST, offre linee guida per la valutazione.	Gestito da MITRE Corporation, assegna identificatori univoci.
Utilizzo nella valutazione dei rischi	Assiste nella valutazione del rischio assegnando un punteggio all'impatto della vulnerabilità.	Utilizzato come catalogo di riferimento, ma necessita di un punteggio per la valutazione del rischio.
Sistema di valutazione	Utilizza metriche di base, temporali e ambientali per la valutazione del rischio.	Non assegna punteggi, elenca e descrive solo le vulnerabilità.
Praticità	Aiuta a stabilire le priorità delle risposte in base ai punteggi di gravità.	Pratico per il monitoraggio, ma richiede una valutazione per stabilire le priorità.
Struttura	Organizzato come un quadro di punteggio con metriche di gravità.	Strutturato come un catalogo senza metriche di rischio.
Priorità	I punteggi aiutano a stabilire le priorità delle vulnerabilità in base all'impatto.	Richiede CVSS o altri strumenti per determinare la priorità.
Identificazione univoca	Nessun ID univoco, solo punteggio di rischio.	Fornisce ID univoci (ad es. CVE-YYYY-XXXX) per ogni vulnerabilità.
Complessità	Include metriche come la complessità dell'attacco nella valutazione.	Non prevede una valutazione della complessità; è puramente un elenco di vulnerabilità.
Integrazione con gli strumenti	Integrato nelle piattaforme di sicurezza per la valutazione e la risposta.	Utilizzato dagli strumenti principalmente per la catalogazione e il monitoraggio delle vulnerabilità.

Dalla tabella sopra riportata, è chiaro che CVE funge da archivio delle vulnerabilità e assegna un identificativo a ogni vulnerabilità identificata. Ciò consente di tracciare e condividere le informazioni tra piattaforme e settori industriali. CVSS fornisce un contesto aggiuntivo che utilizza le informazioni di CVS e valuta la gravità di queste vulnerabilità. Pertanto, CVSS integra CVE fornendo alle organizzazioni le informazioni necessarie per decidere in modo appropriato le azioni correttive da intraprendere.

Mentre CVE risponde alla domanda "Che cos'è la vulnerabilità?", CVSS risponde alla domanda "Quanto è grave la vulnerabilità?". Entrambi fanno parte di un ciclo completo processo di gestione delle vulnerabilità. Un processo di identificazione delle vulnerabilità come il CVE costituisce il primo passo, mentre un contesto per la prioritizzazione della risposta come il CVSS lo segue.

Comprendere la metodologia di punteggio CVSS

La metodologia di punteggio CVSS è suddivisa in tre grandi gruppi di metriche. Queste sono Base, Temporale e Ambientale. Ciascuna contribuisce al calcolo di punteggi complessivi che riflettono una vulnerabilità generale. Con l'aiuto di queste metriche, le organizzazioni diventano consapevoli di come una particolare vulnerabilità possa essere sfruttata, delle possibilità che ciò avvenga e del probabile impatto sul loro ambiente.

Diverse metriche in CVSS: punteggi di base, temporali e ambientali

Il modello di punteggio CVSS si basa su tre tipi di metriche che, insieme, forniscono una quantificazione della gravità di una vulnerabilità. Ogni tipo di metrica ha uno scopo specifico e offre diversi punti di vista da cui è possibile valutare il rischio rappresentato da una vulnerabilità. Vediamo queste metriche in dettaglio:

1. Metriche di base: Le metriche di base sono gli elementi costitutivi di una vulnerabilità che rimangono invariati nel tempo. Esse includono, ma non si limitano a, la natura del vettore di attacco stesso, che sia basato sulla rete, basato su una rete adiacente o locale. Le metriche di impatto includono la riservatezza, l'integrità e la disponibilità. Queste costituiscono le metriche di base per qualsiasi punteggio CVSS.
2. Metriche temporali: Le metriche temporali prendono in considerazione i fattori che possono cambiare nel tempo. Ad esempio, la disponibilità di codice di exploit o l'esistenza di una soluzione. Se viene rilasciata una patch, le metriche temporali verranno aggiornate per riflettere una diminuzione del rischio. Queste metriche offrono informazioni dinamiche, quindi il CVSS diventa un punteggio in tempo reale, che può cambiare man mano che diventano disponibili ulteriori informazioni sulla vulnerabilità.
3. Metriche ambientali: Le metriche ambientali consentono di personalizzare il punteggio CVSS in base alle caratteristiche che potrebbero applicarsi a un sistema interessato. Queste metriche aiutano a personalizzare i punteggi di base e temporali in modo che l'impatto della vulnerabilità si rifletta nell'ambiente specifico dell'organizzazione. Ecco perché la personalizzazione è importante affinché le organizzazioni possano individuare il rischio effettivo che tale vulnerabilità comporta per loro.

Livelli di gravità del punteggio CVSS: Basso, Medio, Alto e Critico

I punteggi CVSS hanno diversi livelli di gravità, che rappresentano la gamma di rischi che una vulnerabilità potrebbe causare. Questi livelli, denominati Basso, Medio, Alta e Critica, forniscono all'organizzazione un'idea dell'urgenza e dell'impatto, al fine di farsi un'idea delle risorse necessarie per la correzione. Ecco cosa significa ogni intervallo di punteggio:

1. Basso (0,1 - 3,9): Le vulnerabilità con punteggio basso rappresentano un rischio minimo per i sistemi. Si tratta di vulnerabilità difficili da sfruttare o che avrebbero un impatto minimo se venissero sfruttate. Le organizzazioni possono decidere di gestirle in un secondo momento, poiché le possibilità di sfruttamento o l'impatto sulle funzionalità principali sono quasi trascurabili.
2. Medio (4,0 - 6,9): Questa categoria di vulnerabilità richiede uno sforzo moderato per essere sfruttata o può avere un impatto moderato se lo sfruttamento ha successo. Tali vulnerabilità possono richiedere un certo grado di attenzione, ma di solito non mettono in pericolo la situazione. I team dovrebbero quindi dare loro la priorità in base alla disponibilità e al carico di lavoro attuale.
3. Elevato (7,0 - 8,9): Le vulnerabilità con punteggio elevato sono più facili da sfruttare e il loro sfruttamento influirà sulla riservatezza, integrità o disponibilità del sistema. Infatti, per risolvere queste vulnerabilità sono necessarie azioni correttive significative, poiché il rischio di gravi incidenti di sicurezza nelle organizzazioni aumenterà se tali vulnerabilità rimangono senza correzione per lungo tempo.
4. Critico (9,0 – 10,0): Le vulnerabilità critiche sono le più pericolose e devono essere affrontate per prime. L'elenco delle vulnerabilità comprende sia quelle facilmente sfruttabili sia quelle che, se sfruttate con successo, causano danni critici. Esistono alcune procedure che la maggior parte delle organizzazioni implementa al momento dell'identificazione di vulnerabilità critiche, come le patch di emergenza.

Come viene calcolato il punteggio CVSS?

Ottenere un punteggio CVSS può essere un compito complesso per le aziende, poiché nel calcolo vengono prese in considerazione diverse misurazioni. In questo approccio strutturato, tutto, dall'impatto della vulnerabilità, viene valutato con molta attenzione. In questa sezione, analizzeremo questo processo di valutazione in quattro fasi o passaggi:

1. Valutazione del gruppo di metriche di base: Il primo passo consiste nell'assegnare valori alle metriche di base che sono rappresentative delle proprietà intrinseche della vulnerabilità stessa. Si tratta di vettori di attacco, complessità dell'attacco, privilegi richiesti, interazione dell'utente ed effetti sulla riservatezza, integrità e disponibilità. La metrica di base serve a creare una linea di base di rischio di primo livello, tenendo d'occhio la natura intrinseca di una data vulnerabilità.
2. Test di gruppo della metrica temporale: Nella fase successiva, viene valutato l'insieme delle metriche temporali. Ciò comporta la verifica delle condizioni attuali della vulnerabilità, come la disponibilità di una soluzione o di un codice di exploit e l'affidabilità del rapporto. I punteggi temporali possono cambiare nel tempo, rappresentando cambiamenti nell'exploitabilità o nella correzione. Ciò richiede alle organizzazioni di rivalutare adeguatamente il livello di rischio man mano che la situazione evolve.
3. Personalizzazione del gruppo di metriche ambientali: Nella terza fase vengono prese in considerazione le metriche ambientali. Ciò consente alle organizzazioni di modificare i punteggi di base e temporali per riflettere l'impatto che la vulnerabilità ha sul loro ambiente. Le metriche ambientali introducono requisiti di sicurezza che differiscono da un'organizzazione all'altra, il che rende il punteggio CVSS un po' più pratico per le priorità di sicurezza e i requisiti operativi di un'azienda.
4. Calcolo dei punteggi utilizzando il calcolatore CVSS: Dopo aver assegnato un punteggio a tutti i gruppi di metriche, il punteggio finale viene calcolato con l'aiuto di un calcolatore CVSS disponibile sul National Vulnerability Database (NVD). Questo punteggio descriverà quindi la gravità della vulnerabilità, consentendo alle organizzazioni di essere più precise nelle loro attività di correzione.

In che modo le organizzazioni possono utilizzare il CVSS per dare priorità alle vulnerabilità?

La definizione delle priorità delle vulnerabilità costituisce una parte importante di una strategia di sicurezza informatica efficace. Il punteggio CVSS aiuta quindi un'organizzazione a identificare le vulnerabilità che richiedono un'attenzione immediata e quelle che possono essere gestite in un secondo momento. Le organizzazioni che utilizzano il CVSS nella gestione delle vulnerabilità possono mitigare i rischi in modo sistematico. Di seguito sono riportati alcuni modi in cui le organizzazioni possono utilizzare il CVSS:

1. Classifica dell'intensità del punteggio: Le vulnerabilità elevate e critiche, con un punteggio pari o superiore a 7,0, devono essere risolte immediatamente per ridurre il rischio di violazioni della sicurezza su larga scala. Questa prioritizzazione consente alle organizzazioni di gestire i propri sforzi di risoluzione concentrando risorse e tempo sulle minacce più pericolose. Pertanto, affrontare prima queste gravi vulnerabilità proteggerebbe realmente le risorse essenziali e ridurrebbe le potenziali interruzioni delle operazioni dell'organizzazione.
2. Rimedio in linea con gli obiettivi aziendali: Le organizzazioni dovrebbero utilizzare metriche ambientali per mettere a punto i punteggi CVSS in base alla criticità, in modo da potersi concentrare sulle vulnerabilità che hanno un impatto sulle risorse critiche o sulle funzioni essenziali. Ciò allinea gli sforzi di rimedio direttamente a sostegno degli obiettivi strategici chiave dell'azienda. La definizione delle priorità in base all'impatto consente alle organizzazioni di massimizzare l'utilizzo delle risorse, poiché permette loro di concentrarsi sui rischi più rilevanti per il successo e la sicurezza.
3. Risposta automatica alle vulnerabilità: La maggior parte dei sistemi di gestione delle vulnerabilità è integrata con il meccanismo di punteggio CVSS per un processo di definizione delle priorità automatizzato. Tali sistemi saranno in grado di attivare flussi di lavoro in risposta automatica alle vulnerabilità critiche, riducendo al minimo gli errori con CVSS. Grazie all'automazione, le organizzazioni possono ridurre gli sforzi manuali, consentendo ai team di sicurezza di affrontare le vulnerabilità urgenti in modo più efficace e garantire una migliore reattività complessiva in materia di sicurezza.
4. Integrazione di CVSS con le informazioni sulle minacce: Applicando informazioni sulle minacce ai punteggi CVSS, un'organizzazione avrà una migliore comprensione dei rischi reali per ciascuna vulnerabilità in tempo reale. I dati delle informazioni sulle minacce potrebbero mostrare che una particolare vulnerabilità viene sfruttata attivamente e, quindi, modificare le priorità. In questo modo, l'organizzazione rimane un passo avanti rispetto agli attacchi attivi e può proteggersi in modo proattivo dalle minacce nuove ed emergenti.
5. Revisione e aggiornamento regolari della prioritizzazione basata su CVSS: La revisione e il perfezionamento a livello aziendale della prioritizzazione basata sul CVSS dovrebbero essere effettuati su base continuativa per garantire che la strategia rifletta le mutevoli esigenze di sicurezza e l'evoluzione della percezione del rischio. Gli eventi che possono determinare un aggiornamento della prioritizzazione includono nuovi dati sulle minacce, modifiche all'infrastruttura o cambiamenti negli obiettivi e nelle finalità aziendali. Questo perfezionamento regolare renderà il processo di gestione delle vulnerabilità più preciso e pertinente grazie al CVSS, rendendo la sicurezza proattiva e adattiva.

Quali sono i limiti del CVSS?

Sebbene il CVSS sia uno strumento efficace per la valutazione della gravità delle vulnerabilità, presenta alcuni svantaggi. La conoscenza di questi limiti può consentire alle aziende di prendere decisioni più informate su come applicare questa tecnologia.

Inoltre, la comprensione dei limiti mette le organizzazioni in una posizione migliore per applicare strumenti complementari che contribuiranno a colmare le lacune lasciate.

1. Mancanza di informazioni specifiche sul contesto: Il CVSS di per sé non tiene conto dei dettagli specifici dell'organizzazione. Ciò include il valore aziendale o il particolare panorama delle minacce di un'organizzazione. Gli utenti dovranno applicare metriche ambientali per calibrare i punteggi in modo appropriato, in modo che si adattino al loro ambiente e al loro caso d'uso specifici.
2. Soggettività nell'assegnazione dei punteggi:  Alcuni sono soggettivi e, quindi, dipendono dall'esperienza di chi assegna il punteggio. Ad esempio, la complessità dell'attacco o i privilegi richiesti possono essere molto diversi. Ciò può comportare una priorità eccessiva o insufficiente delle vulnerabilità e, in ultima analisi, influire sull'efficienza del processo di gestione delle vulnerabilità. Le linee guida standardizzate per l'assegnazione dei punteggi riducono al minimo tale rischio.
3. Non tiene conto delle tendenze di sfruttabilità: Sebbene le metriche temporali varino a seconda dell'exploitabilità, il CVSS non considera come le tendenze degli attacchi possano influenzare i rischi futuri. Una vulnerabilità può avere un punteggio molto basso, ma diventare ancora più pericolosa in base ai nuovi exploit sviluppati con il passare del tempo. Ecco perché integrare il CVSS con strumenti di intelligence sulle minacce è indispensabile per una comprensione più approfondita.
4. Visione limitata dell'interazione tra le vulnerabilità: Il punteggio assegnato dal solo CVSS non tiene conto degli effetti combinati delle vulnerabilità. I grafici di attacco grandi e complessi utilizzati per sfruttare molte vulnerabilità sono significativamente più rischiosi rispetto alla loro rappresentazione in termini di punteggio. Anche questo aspetto dovrà essere integrato con un'analisi del percorso di attacco o un approccio di pen testing al fine di identificare e correggere tali rischi combinati.
5. Natura statica della valutazione: Il problema dei punteggi CVSS è che diventano un'istantanea di un determinato momento. I punteggi non si aggiornano automaticamente in base ai cambiamenti nel panorama delle minacce o ai cambiamenti nell'ambiente in cui opera un'organizzazione. È proprio a causa di questa natura "statica" che alcune valutazioni diventano piuttosto obsolete, in particolare per quanto riguarda le vulnerabilità che cambiano così rapidamente.
6. Linee guida minime per stabilire le priorità in ambienti diversi: il CVSS da solo non è in grado di fornire linee guida adeguate per stabilire le priorità in ambienti diversi con requisiti normativi o operativi differenti. Ad esempio, alcune vulnerabilità nel settore finanziario possono richiedere un intervento immediato per motivi di conformità, mentre in altri settori possono essere meno critiche. Le organizzazioni dovrebbero basarsi sul CVSS in combinazione con fattori di rischio specifici del settore per garantire che la conformità e le priorità operative rimangano allineate con tali fattori di rischio.

Sistema comune di valutazione delle vulnerabilità (CVSS) Best practice

L'utilizzo delle best practice del CVSS da parte delle organizzazioni contribuisce a massimizzarne l'utilità, gestendone al contempo in modo efficace i limiti. Tali pratiche garantiscono che un'applicazione coerente consenta ai team di sicurezza di concentrarsi e mitigare in modo appropriato quando è più importante.

Ecco alcune best practice del CVSS:

1. Integrazione dei punteggi CVSS e delle informazioni sulle minacce: L'inclusione dei punteggi CVSS nelle attuali informazioni sulle minacce migliora la visione delle vulnerabilità e consente di effettuare valutazioni dei rischi reali. Offre spazio ad altri aspetti, come le tendenze o le minacce più attive. Pertanto, questo approccio alla gestione delle vulnerabilità è dinamico e reattivo.
2. Utilizzo delle metriche ambientali: L'uso efficace delle metriche ambientali consente di adattare il punteggio alla situazione specifica dell'organizzazione. Questo adattamento colma il divario tra il punteggio generico e la gestione dei rischi specifica dell'organizzazione, garantendo che le risorse limitate vengano impiegate dove avranno il maggiore impatto.
3. I punteggi CVSS vengono aggiornati frequentemente: Il problema reale è che i punteggi CVSS utilizzati devono essere costantemente aggiornati man mano che le vulnerabilità evolvono. Lo sviluppo di metriche temporali garantisce quindi che i punteggi delle vulnerabilità in corso riflettano l'attuale sfruttabilità e la disponibilità di patch. Ciò consente alle strategie di rimedio di adattarsi ai cambiamenti dinamici nel panorama delle vulnerabilità.
4. Priorità basata sulla criticità delle risorse: L'uso del CVSS, oltre alla criticità delle risorse, lo metterà in primo piano durante la creazione di strategie di mitigazione. Abbinando il punteggio CVSS al valore o alla criticità delle risorse, i team di sicurezza possono concentrarsi sulle vulnerabilità il cui sfruttamento avrebbe un impatto elevato. Questo approccio garantisce, a sua volta, che le risorse più a rischio ricevano la dovuta attenzione e fornisca quindi protezione nei punti in cui è più necessaria.
5. Collaborazione tra le funzioni di sicurezza: Un approccio comune alla gestione delle vulnerabilità è garantito dal coinvolgimento di diverse funzioni di sicurezza, come la gestione dei rischi e la risposta agli incidenti, nell'interpretazione del significato dei punteggi. I team interfunzionali lavorano per garantire che il punteggio CVSS sia applicato in ogni caso per la valutazione immediata delle minacce e anche per la pianificazione strategica a lungo termine. Ciò allinea le azioni tra i team per una posizione di sicurezza complessiva.
6. Combinazione di CVSS e tempistiche di risoluzione: Stabilire tempistiche di risoluzione basate sui punteggi CVSS consente di strutturare gli sforzi di risposta e aiuta a evitare ritardi. Le organizzazioni assoceranno il punteggio CVSS a determinati tempi di risposta per applicare politiche di risoluzione tempestive, il che significa che le vulnerabilità saranno gestite in modo prevedibile ed efficiente. Questo approccio strutturato consente una pianificazione proattiva delle risorse e la responsabilità all'interno del team di sicurezza.

Esempi reali di CVSS in azione

Gli esempi reali di CVSS in pratica possono aiutare a dimostrare la rilevanza del CVSS per le aziende, consentendo loro di acquisire una conoscenza pratica del concetto. Di seguito sono riportati alcuni esempi di vulnerabilità ampiamente note, insieme ai relativi punteggi CVSS e al loro significato per un'organizzazione:

1. Heartbleed (CVE-2014-0160): Heartbleed è una vulnerabilità nella libreria software crittografica OpenSSL con un punteggio CVSS Base pari a 7,5. Questa vulnerabilità consentiva agli aggressori di sfruttare la funzionalità heartbeat per leggere dati sensibili direttamente dalla memoria dei server interessati da questa vulnerabilità, incluse chiavi private e credenziali utente. Un punteggio così elevato indicava un forte impatto sulla riservatezza, costringendo così le organizzazioni a dare priorità agli interventi di patch immediati. La vulnerabilità diffusa ha colpito un numero significativo di siti web, portando a una forte spinta verso il miglioramento delle pratiche di sicurezza e della consapevolezza nel settore. Ciò potrebbe anche portare a violazioni massicce dei dati associate al furto di identità, richiedendo un intervento correttivo.
2. Vulnerabilità di esecuzione di codice remoto SMB di Windows (CVE-2017-0144): Il CVSS per questa vulnerabilità è stato valutato 8,8 alto perché consentiva l'esecuzione di codice remoto all'interno dei sistemi Windows. Infatti, il ransomware WannaCry ha colpito centinaia di migliaia di computer in tutto il mondo perché utilizzava questo strumento di attacco, che sfruttava una vulnerabilità nell'implementazione di Server Message Block (SMB) da parte di Microsoft. Questa vulnerabilità consentiva agli aggressori di accedere ai sistemi senza autenticazione ed eseguire codice arbitrario. Il punteggio ha chiaramente dimostrato la necessità di applicare immediatamente patch e aggiornamenti di sistema, evidenziando così la rapidità con cui i criminali informatici sfruttano vulnerabilità simili nel software o nei sistemi. Ciò incoraggia l'adozione di misure di sicurezza ancora più robuste affinché tali exploit non si verifichino in futuro.
3. Shellshock (CVE-2014-6271): Shellshock è una vulnerabilità della shell Bash che ha ottenuto un punteggio CVSS di 9,8 ed è stata quindi classificata come critica. Utilizzando variabili di ambiente, gli hacker sono stati in grado di eseguire qualsiasi tipo di comando su sistemi basati su Unix. La portata di questa vulnerabilità era di estrema importanza poiché molti dispositivi erano in pericolo, quindi gli amministratori di sistema di tutto il mondo si sono affrettati ad agire immediatamente. I punti di accesso remoti non erano autenticati e il sistema aveva pochissimi controlli su molti punti di accesso. Era altamente vulnerabile alle minacce in termini di integrità e riservatezza. Le organizzazioni sono state costrette ad attuare soluzioni rapide con misure di sicurezza estese contro il ripetersi di tali eventi in futuro.
4. Log4Shell (CVE-2021-44228): Log4Shell è una vulnerabilità basata sulla debolezza della libreria di logging Log4j, con un punteggio CVSS critico pari a 10, che consente a un aggressore di eseguire codice arbitrario sui server che implementano la libreria quando ricevono messaggi di log appositamente creati. Una vulnerabilità così elevata, applicata in numerose applicazioni su migliaia di pacchetti, ha richiesto l'applicazione di patch di emergenza su larga scala in quei settori. Le organizzazioni hanno dovuto operare sotto estrema pressione per proteggere i propri sistemi da potenziali exploit, e la mancata applicazione delle patch avrebbe comportato gravi violazioni dei dati e interruzioni operative. L'evento ha evidenziato la necessità di mantenere aggiornata la libreria software e di essere sempre alla ricerca di tali vulnerabilità.
5. Spectre e Meltdown (CVE-2017-5754): Spectre e Meltdown sono vulnerabilità dei microprocessori che hanno ottenuto un punteggio di 5,6 sulla scala CVSS a causa delle profonde implicazioni che comportano in relazione alla privacy dei dati e all'integrità del sistema. Tali difetti nell'architettura della CPU consentono a un aggressore di accedere alle informazioni contenute nella memoria di varie applicazioni. La risoluzione del problema è stata piuttosto impegnativa, poiché ha richiesto una combinazione di patch software e modifiche architetturali a livello hardware, il che ha creato problemi alle organizzazioni di tutto il mondo. Ciò ha portato a ulteriori studi sulla sicurezza hardware e al progresso di misure proattive per mitigare i rischi associati alle minacce emergenti nella tecnologia informatica.

Conclusione

In conclusione, abbiamo compreso come il CVSS sia diventato uno standard per la valutazione e la gestione delle vulnerabilità in diversi sistemi. L'applicazione delle metriche Base, Temporali e Environmental consente a un'organizzazione di applicare la stessa metodologia nella gestione delle vulnerabilità. Un approccio così rigido consente una corretta definizione delle priorità e allocazione delle risorse, non solo per prendere decisioni informate, ma anche per gestirle in modo efficace. Sebbene siano riconosciuti i limiti del CVSS, la threat intelligence e la criticità delle risorse lo trasformano in uno strumento fondamentale per il miglioramento della sicurezza e la conformità alle disposizioni con il minimo disagio.

"

FAQs

Che cos'è il Common Vulnerability Scoring System?

Il Common Vulnerability Scoring System è un framework standardizzato che valuta e comunica la gravità delle vulnerabilità del software. Fornisce alle organizzazioni un punteggio numerico compreso tra 0 e 10, che consente loro di comprendere il potenziale impatto delle vulnerabilità sui propri sistemi e dati. Questo sistema è ampiamente utilizzato per dare priorità alle vulnerabilità nelle attività di sicurezza informatica e facilitare una gestione efficace dei rischi.

A cosa serve il punteggio CVSS?

Il punteggio CVSS viene utilizzato per valutare la vulnerabilità in base alla sua gravità e consente a un'organizzazione di determinare l'allocazione delle proprie risorse per una corretta correzione, garantendo che la maggior parte delle vulnerabilità venga corretta per il loro potenziale danno e il miglioramento complessivo della loro sicurezza.

Che cos'è lo strumento di valutazione del rischio CVSS?

Lo strumento di valutazione del rischio CVSS calcola la gravità delle vulnerabilità sulla base di diversi parametri. Ciò consente a un'organizzazione di confrontare i rischi associati alle diverse vulnerabilità e aiuta a prendere le decisioni giuste in materia di gestione delle vulnerabilità. Si tratta quindi di un approccio più sistematico al miglioramento della sicurezza complessiva.

Come viene calcolato il punteggio CVSS?

Il punteggio CVSS è dato dalla somma di metriche che comprendono tre categorie. Queste includono Base, Temporale e Ambientale, che valutano gli attributi intrinseci della vulnerabilità, cambiano nel tempo o dipendono da fattori ambientali rilevanti per il contesto specifico nell'ambiente dell'utente. L'aggregazione di questi punteggi darà il punteggio CVSS finale.

Perché le aziende utilizzano il CVSS?

Il CVSS aiuta le aziende a semplificare notevolmente il processo di gestione delle vulnerabilità, fornendo loro un metodo uniforme e standardizzato per misurare la gravità di una vulnerabilità. Consente alle aziende di stabilire le priorità di correzione, migliorare la loro posizione in materia di sicurezza informatica e mantenere la conformità normativa.