איך קוראים את טווחי החומרה
FIRST מגדירה את הטווחים הבאים במפרט CVSS 4.0. לצד הציון צריך לציין את גרסת השיטה ואת מקור ההערכה. אין להתייחס למספר ללא ההקשר שבו חושב, ואין להשוות אוטומטית ציונים מגרסאות שונות כאילו הם אותה מדידה.
| טווח | סיווג | משמעות הקריאה |
|---|---|---|
| 0.0 | ללא חומרה לפי המדדים | לא אישור כולל לבטיחות המערכת |
| 0.1-3.9 | נמוכה | נדרש הקשר לפני בחירת פעולה |
| 4.0-6.9 | בינונית | לא סיבה אוטומטית לדחות טיפול |
| 7.0-8.9 | גבוהה | בדקו חשיפה ותנאים בהקדם |
| 9.0-10.0 | קריטית | נדרשת בחינת דחיפות, לא הנחה שהתרחשה פריצה |
מה יש מאחורי המספר
ב-CVSS 4.0 קיימות קבוצות מדדים בסיסיות, מדדי איום, מדדי סביבה ומדדים משלימים. המדדים המשלימים מוסיפים הקשר אך אינם משנים את הציון. מחרוזת הווקטור מתעדת את המדדים שנבחרו ומאפשרת להבין את בסיס החישוב.
לצורך החלטה תפעולית, בקשו לצד המספר גם גרסה, מקור ותיאור התנאים. אם מדד מתבסס על הנחה שאינה מתקיימת אצלכם, יש לברר את השפעת ההבדל. אין לשנות מספר באופן שרירותי רק כי הרכיב נראה לכם פחות חשוב.
מה ההבדל בין CVSS ל-EPSS
CVSS מתאר חומרה. EPSS של FIRST מעריך את ההסתברות שייעשה שימוש בחולשה שפורסמה בתקיפה בעולם במהלך 30 הימים הקרובים. זו אינה ההסתברות שהעסק המסוים שלכם ייפרץ, ואינה הוכחה לניצול מקומי.
אלה מדדים משלימים לשאלות שונות. גם מידע על ניצול שנצפה בעולם אינו מחליף בדיקה אם הרכיב קיים ונגיש אצלכם. אין להכפיל ציונים ולקרוא לתוצאה סיכון עסקי בלי מתודולוגיה מתאימה והסבר.
איך מתעדפים טיפול בעסק קטן
התחילו בהתאמה: האם המוצר והגרסה קיימים. לאחר מכן בדקו חשיפה, תנאי ניצול, מידע על פעילות זדונית והשפעה על שירות חיוני. לבסוף בחרו בין תיקון, הגבלה זמנית ובירור נוסף, עם אחראי ולוח זמנים שמותאם למצב.
דוגמה היפותטית: חולשה עם ציון גבוה ברכיב שאינו מותקן אינה משימת תיקון באותו אתר. חולשה בציון נמוך יותר ברכיב חשוף שמציג סימני פגיעה עשויה לקבל קדימות. זו מסגרת החלטה, לא כלל שמבטל טיפול בכל ממצא גבוה.
- התאמת הממצא למוצר ולגרסה.
- בירור חשיפה, תנאים ומידע על ניצול.
- הערכת פגיעה אפשרית בתהליכי העסק.
- בחירת פעולה ותיעוד הסיבה לתעדוף.
- בדיקה חוזרת אחרי הטיפול.
אילו טעויות למנוע בדוח אבטחה
אל תציגו ציון CVSS כציון האבטחה של האתר, כמספר ליקויים או כאחוז סיכוי לפריצה. אל תדחו ממצא בלי ציון כאילו הוא חסר משמעות. ואם מציגים ציון מתוך מקור חיצוני, שמרו את גרסתו, תאריך הבדיקה והקישור.
דוח שימושי מחבר בין הממצא לבין החלטה שאפשר לבצע ולאמת. בעסק קטן יש להגדיר מי מטפל, מה עלול להיפגע בזמן השינוי ומה ייחשב תיקון מוצלח. המספר מסייע לשיחה, אך אינו מחליף אותה.