CVSS
CVSS (Common Vulnerability Scoring System) ist ein standardisiertes Bewertungssystem für den Schweregrad von Schwachstellen; es liefert Scores von 0 bis 10 und wird von FIRST gepflegt.
Zweck
Ein einheitlicher, vergleichbarer quantitativer Score des Schweregrads von Schwachstellen bereitstellen, um die Priorisierung zu unterstützen.
Mechanismus
CVSS v3.1 wird aus drei Metrikgruppen berechnet: Base (intrinsisch: Angriffsvektor, Komplexität, Privilegien, Auswirkung), Temporal (zeitabhängig: Exploit-Reife, Behebung) und Environmental (umgebungsspezifisch: Asset-Wert). Es liefert einen Base-Score (0-10) und einen Vektorstring.
Anwendungsfälle
- Priorisierung von Schwachstellen
- Sicherheitsberichte und Dashboards
- Compliance- und Risikoquantifizierung
- Scores beim Dependency-Scanning
Beispiele
- Eingabe
CVSS:3.1/AV:N/AC:L/PR:NOutputBase 7.5 (High)Network vector, low complexity
Häufige Fehler
- Looking only at the Base score while ignoring environmental factors
- Adjust actual risk with Environmental metrics
Verwandte Begriffe
CVE
CVE (Common Vulnerabilities and Exposures) ist ein System, das öffentlich bekannt gemachten Sicherheitslücken eindeutige Bezeichner (CVE-YYYY-NNNN) zuweist und von MITRE gepflegt wird. GLOSSAR
OWASP
OWASP (Open Web Application Security Project) ist eine gemeinnützige Organisation, die die Top-10-Liste der Web-Schwachstellen und Praxisleitfäden veröffentlicht; sie gilt als Autorität für Websicherheit. GLOSSAR
Penetration Testing
Der Penetrationstest simuliert das Verhalten eines Angreifers, um autorisierte Angriffstests gegen ein System durchzuführen, ausnutzbare Schwachstellen zu entdecken und das reale Risiko zu bewerten. GLOSSAR