CVSS skóre je štandardizované hodnotenie závažnosti zraniteľnosti. Vychádza zo štandardu Common Vulnerability Scoring System, ktorý spravuje medzinárodná organizácia FIRST (Forum of Incident Response and Security Teams). Výsledkom je číslo od 0,0 do 10,0, pričom vyššia hodnota znamená závažnejšiu zraniteľnosť.

CVSS sa zvyčajne uvádza pri zázname CVE, v bezpečnostných bulletinoch výrobcov aj vo výstupoch skenerov. Aktuálnou verziou štandardu je CVSS 4.0, v praxi sa však stále stretnete aj so staršou verziou 3.1.

Ako sa CVSS skóre počíta

Skóre nevzniká odhadom, ale z presne definovaných metrík. Základné (base) metriky opisujú vlastnosti samotnej zraniteľnosti, napríklad:

  • či ju možno zneužiť cez sieť alebo len s lokálnym prístupom,
  • aká zložitá je jej exploitácia a či vyžaduje oprávnenia alebo interakciu používateľa,
  • aký dopad má na dôvernosť, integritu a dostupnosť.

Verzia 4.0 dopĺňa skupiny metrík hrozby (napríklad či existuje funkčný exploit), prostredia (dôležitosť systému v konkrétnej organizácii) a doplnkové informácie. Výsledné číslo sa priraďuje do pásiem závažnosti:

  • 0,0 – None (žiadna),
  • 0,1 až 3,9 – Low (nízka),
  • 4,0 až 6,9 – Medium (stredná),
  • 7,0 až 8,9 – High (vysoká),
  • 9,0 až 10,0 – Critical (kritická).

Prečo samotné číslo nestačí

Verejne uvádzané skóre väčšinou zohľadňuje len základné metriky – teda zraniteľnosť „vo vákuu“. Nevie, či je dotknutý server dostupný z internetu, či je zraniteľnosť aktívne zneužívaná alebo či na systéme beží kritická služba. Zraniteľnosť so skóre 9,8 na izolovanom testovacom stroji môže byť menej naliehavá ako zraniteľnosť so skóre 7,5 na verejnom webovom serveri.

Preto PosAm pri vulnerability managemente neprioritizuje podľa surového CVSS skóre, ale podľa reálnej exponovanosti, dostupnosti exploitu a kritickosti služby. Postup je opísaný v článku Posilňujeme kybernetickú odolnosť organizácií systematicky a technicky.

Ako CVSS používať v praxi

  1. Používajte skóre ako východisko, nie konečné rozhodnutie.
  2. Doplňte kontext prostredia: exponovanosť, kritickosť systému, kompenzačné opatrenia.
  3. Sledujte, či je zraniteľnosť aktívne zneužívaná.
  4. Na základe toho stanovte poradie a termíny pre patch management.

Časté otázky

Hovorí CVSS skóre o pravdepodobnosti útoku?

Nie priamo. CVSS opisuje závažnosť zraniteľnosti, nie pravdepodobnosť, že ju niekto vo vašom prostredí zneužije.

Môže sa skóre pri tej istej zraniteľnosti líšiť?

Áno. Rôzne zdroje alebo verzie štandardu môžu uviesť odlišné hodnoty, preto je dobré vedieť, z ktorej verzie a zdroja číslo pochádza.

Ak chcete prioritizovať zraniteľnosti podľa reálneho rizika, nielen podľa čísla, kontaktujte PosAm.