Megváltozik a biztonsági rések kategorizálása

Megújult a sebezhetőségek besorolásához használt egyik legreményteljesebb rendszer, amely sokat segíthet a veszélyforrások kategorizálásában.
 

A sérülékenységekről szóló hírekben, tájékoztatókban, leírásokban gyakorta veszélyességi besorolásokkal is lehet találkozni. Ezek azért szolgálnak hasznos információkkal, mert a segítségükkel priorizálni lehet a hibajavítások elvégzését, és a legsúlyosabb biztonsági rések foltozását akár soron kívül is el lehet végezni. 

Ugyanakkor a gyártók, biztonsági cégek sok esetben eltérő kategorizálási rendszert alkalmaznak, ami esetenként megnehezítheti a döntéshozatalt. A Microsoft például háromszintű besorolást használ, míg az Oracle a10-es skálán mozgó CVSS (Common Vulnerability Scoring System) alapú megközelítés mellett tette le a voksát. Egyre inkább úgy tűnik, hogy a jövőben a CVSS terjedhet el a legszélesebb körben, különösen azért, mert az FIRST (Forum of Incident Response and Security Teams) kiadta a CVSS harmadik, finomított verzióját.

A CVSS v3-ról elmondható, hogy egy jól átgondolt rendszer került napvilágra. Az FIRST még 2012 májusában hozta létre azt az SIG (CVSS Special Interest Group) csoportot, amelynek feladata az volt, hogy a v2 modernizálásával és az időközben megváltozott biztonsági környezet figyelembevételével használhatóbbá tegye a CVSS-t. Az FIRST szerint az új besorolási rendszer a korábbiakhoz képest konzisztensebb módon képes rangsorolni a sérülékenységeket. A használatához, értelmezéséhez pedig eddigieknél több leírás áll rendelkezésre, illetve egy új kalkulátor is segíti a veszélyességi pontok kiszámítását. 

A CVSS v3 kalkulátora számos tényezőt vesz figyelembe a működése során. Így például számol az adott sebezhetőség bizalmasságra, integritásra és rendelkezésre állásra gyakorolt hatásával, a hiba kihasználásához szükséges felhasználói közreműködés mértékével, a támadási vektorokkal, valmint a szóba jöhető támadási módszerek komplexitásával is. 

A CVSS v3 teljes körű leírása az FIRST weboldalain tekinthető meg.