CVSS – Gemeinsames Schwachstellenbewertungssystem

Ein Überblick über das Common Vulnerability Scoring System

Mit breiter Akzeptanz in der Industrie etabliert sich das Schema zur Analyse von Sicherheitsdefiziten in Soft- und Hardware, treffend als Common Vulnerability Scoring System (CVSS) bezeichnet. Anhand dieses Standards ist es Nutzern möglich, identifizierte Sicherheitsanfälligkeiten in IT-Systemen effektiv zu bewerten und einzustufen.

CVSS: Die Säulen

CVSS ist auf zentralen Metriken-Kategorien aufgebaut, die vielfältige Aspekte eines Sicherheitsdefizits widerspiegeln: Grundsätzliche Metriken, Zeitspezifische Metriken und Umweltbezogene Metriken. Jede Kategorie erhebt spezielle Eigenschaften eines Sicherheitsdefizits, von der Komplexität seiner Ausnutzung bis hin zu den eventuellen Auswirkungen auf ein System, wenn ein Exploit existiert.

Die grundsätzlichen Metriken beinhalten die primären Eigenschaften eines Sicherheitsdefizits, darunter die Nutzungs-Komplexität und die potenziellen Effekte auf Faktoren wie Vertraulichkeit, Konsistenz und Verfügbarkeit des Systems. Zeitspezifische Metriken berücksichtigen variierende Aspekte wie die Entstehung von Exploits oder die Bereitstellung von Sicherheitsbackup. Die umweltbezogenen Metriken reflektieren spezifische Merkmale und Bedingungen des betroffenen Systems, einschließlich seiner Relevanz für das Unternehmen und vorhandene Schutzmechanismen.

CVSS in der praktischen Anwendung

Das CVSS-Schema wird in der IT-Sicherheitswelt von diversen Akteuren angewendet, darunter Software-Herstellern, IT-Sicherheitsprofis und internen IT-Gruppen in Betrieben. CVSS dient zur Bewertung des Risikoniveaus von Sicherheitsdefiziten und zur Bestimmung der Prioritäten bei der Umsetzung von Abhilfemaßnahmen.

Beispielsweise kann ein Software-Hersteller CVSS zur Feststellung des Risikoniveaus eines Sicherheitsdefizits in seiner Software einsetzen, um zu entscheiden, ob unmittelbar ein Sicherheits-Patch erforderlich ist oder ob die Defizitkorrektur bis zum kommenden regulären Software-Update verschoben werden kann.

Eine IT-Abteilung kann in ähnlicher Weise CVSS zur Entscheidungsfindung verwenden, um festzustellen, welche Sicherheitsprobleme in ihren Unternehmenssystemen zuerst angegangen werden sollten. Weiterhin ermöglicht CVSS ihnen eine Auswertung der Folgen eines Sicherheitsdefizits auf ihren Betrieb und die Planung geeigneter Risikomindernden Maßnahmen.

Bewertungsprozess mit CVSS

Ein integraler Bestandteil des CVSS ist die Einstufung, allgemein als CVSS-Score bekannt. Dieser Score bietet eine messbare Bewertung, die das Risikopotential eines Sicherheitsdefizits quantifiziert. Der CVSS-Score variiert auf einer Skala von 0 bis 10, wobei 0 eine niedrige und 10 eine extrem hohe Bedrohung darstellt.

Die Festlegung des CVSS-Scores erfolgt anhand der vorgeschriebenen CVSS-Metriken. Jede Metrik erhält auf Basis einer spezifischen Skala eine Bewertung und trägt zur Gesamtbeurteilung bei. Der berechnete CVSS-Score ergibt den gewichteten Mittelwert aller Einzelbewertungen.

Abschließend ist zu sagen, dass das CVSS ein entscheidendes Werkzeug zur Beurteilung und Klassifizierung von Sicherheitsdefiziten darstellt. Durch den standardisierten Prozess zur Risikoeinschätzung von Sicherheitsdefiziten können Organisationen die Prioritäten bei der Umsetzung von Abhilfemaßnahmen und Riskikoabwehr-Strategien festlegen.

`

`

Geschichte von CVSS

Die Veränderungen, die das Allgemeine Bewertungssystem für Sicherheitslücken (CBSS) durchgemacht hat, lassen auf eindrucksvolle Weise die Fortentwicklung der Cybersicherheitsbranche und den Bedarf an standardisierten Methoden zur Erkennung potenzieller Schwachstellen erkennen.

Der Anfangspunkt

CBSSv1, die Ausgangsversion, entstand im Jahr 2005 unter der Leitung des Beratungsgremiums für nationale Infrastrukturen (NIAC) in den Vereinigten Staaten. Damals galt die Hauptaufgabe darin, einen konsistenten Ansatz zur Identifizierung und Kategorisierung von Sicherheitslücken zu etablieren. Doch dieses Basismodell ließ viele Aspekte außer Acht, die relevant für eine vollumfängliche Risikoanalyse sind.

Fortschritte mit CBSSv2

CBSSv2 kam 2007 ins Spiel, um einige Mängel von CBSSv1 zu beheben. Durch das Hinzufügen von weiteren Metriken wurde eine tiefere Einschätzung potenzieller Sicherheitsgefahren ermöglicht. Faktoren wie Zugriffsvektor, Zugriffskomplexität und der Einfluss auf Vertraulichkeit, Integrität und Verfügbarkeit wurden berücksichtigt. Dennoch wurde CBSSv2 kritisiert, insbesondere weil Auswirkungen des Umfeldes vernachlässigt wurden.

Übergang zu CBSSv3

2015 wurde CBSSv3 eingeführt, um die kritisierten Mängel auszumerzen. Mit neuen Metriken, die Umwelteinflüsse und Nutzerinteraktionen stärker berücksichtigen, ist dieses System aufgestellt. Durch die Berücksichtigung von Unterwerten, ist die Genauigkeit der ermittelten Bewertungen erhöht worden.

CBSS im hier und jetzt: CBSSv3.1

CBSSv3.1, die neueste Version, arbeitet seit 2019. Sie behält die Hauptelemente von CBSSv3, führt jedoch einige Anpassungen und Erläuterungen ein, um die Anwendung des Systems zu vereinfachen und die Genauigkeit der Bewertungen zu steigern.

Die stetige Veränderung des CBSS zeigt das wachsende Bedürfnis nach standardisierten Verfahren zur Einschätzung von Sicherheitsrisiken. Mit jeder Version wurden Verbesserungen und Anpassungen gemacht, um den dynamischen Ansprüchen der Cybersicherheitsbranche gerecht zu werden. Es ist abzusehen, dass CBSS weiterhin angepasst wird, um den immer neuen Bedrohungen und Herausforderungen in der Welt der Cybersicherheit begegnen zu können.

CVSS-Score-Metriken

Das Common Vulnerability Scoring System (CVSS) stellt einen geeigneten Bewertungsrahmen dar, um die Kritikalität von Sicherheitslücken aufzuzeigen und zu beurteilen. Für diese Bewertungen werden verschiedene Metriken eingesetzt, die sich auf drei Gruppen verteilen: Grundmetriken, Situationsmetriken und Kontextmetriken. Jede Gruppe nimmt dabei unterschiedliche Facetten einer Sicherheitslücke unter die Lupe.

Grundmetriken

Die Grundmetriken nehmen die essentiellen Eigenschaften einer Sicherheitslücke ins Visier, die konstant bleiben und nicht der Veränderung unterliegen. Sie gliedern sich in drei Sektionen: Potenzieller Schaden, Hürdengrad und Verifikationsbedürfnis.

1. Potenzieller Schaden: Diese Metrik hinterfragt die vermuteten Schäden einer Sicherheitslücke auf die Geheimhaltung, die Stabilität und die Betriebsbereitschaft eines Systems. Ihre Bewertung umfasst einen Rahmen von 0 bis 10, wobei 10 den maximalen Schaden kennzeichnet.

2. Hürdengrad: Diese Metrik hinterfragt den Schwierigkeitsgrad bei der Ausbeutung der Sicherheitslücke. Ihr Bewertungsmaßstab bewegt sich zwischen 0 und 10, mit 10 als Kennziffer für die maximale Schwierigkeit.

3. Verifikationsbedürfnis: Diese Metrik hinterfragt, ob ein Eindringling verifiziert sein muss, um die Sicherheitslücke auszubeuten. Ihre Bewertung reicht von 0 bis 10, wobei 10 bedeutet, dass eine Verifikation nicht notwendig ist.

Situationsmetriken

Die Situationsmetriken nehmen die momentanen Zustände in Augenschein, die eine Nutzung der Sicherheitslücke beeinflussen könnten. Sie setzen sich aus drei Sektionen zusammen: Ausnutzungsgrad, Gegenmaßnahmen und Bekanntheitsgrad.

1. Ausnutzungsgrad: Diese Metrik hinterfragt die Leichtigkeit für das Ausnutzen der Sicherheitslücke. Ihr Bewertungsmaßstab liegt zwischen 0 und 10, mit 10 als Kennzahl für die maximale Einfachheit.

2. Gegenmaßnahmen: Diese Metrik hinterfragt die Zugänglichkeit und Wirksamkeit von Gegenmaßnahmen für die betroffene Sicherheitslücke. Ihr Bewertungsrahmen erstreckt sich von 0 bis 10, wobei 10 bedeutet, dass effektive Gegenmaßnahmen fehlen.

3. Bekanntheitsgrad: Diese Metrik hinterfragt, wie weitläufig die Kenntnisse über die Sicherheitslücke verbreitet sind. Ihr Bewertungsrahmen erstreckt sich von 0 bis 10, wobei 10 besagt, dass die Sicherheitslücke weitläufig bekannt ist.

Kontextmetriken

Die Kontextmetriken nehmen die besonderen Bedingungen innerhalb einer speziellen Umgebung in Betracht, die das Ausnutzen einer Sicherheitslücke beeinflussen könnten. Sie ordnen sich in drei Sektionen: Sicherheitsvorgaben, Systemkonfiguration und Nutzerbeteiligung.

1. Sicherheitsvorgaben: Diese Metrik hinterfragt die individuellen Sicherheitsstandards innerhalb einer Umgebung. Ihr Bewertungsmaßstab liegt zwischen 0 und 10, wobei 10 den höchsten Sicherheitsstandard symbolisiert.

2. Systemkonfiguration: Diese Metrik hinterfragt, wie eine Systemkonfiguration das Ausnutzen einer Sicherheitslücke beeinträchtigen könnte. Ihr Bewertungsrahmen liegt zwischen 0 und 10, wobei 10 besagt, dass die Konfiguration eine Ausnutzung der Sicherheitslücken begünstigt.

3. Nutzerbeteiligung: Diese Metrik hinterfragt, ob ein Nutzer aktiv einwirken muss, um die Sicherheitslücke auszubeuten. Ihre Bewertung befindet sich zwischen 0 und 10, wobei 10 bedeutet, dass eine Nutzerbeteiligung nicht erforderlich ist.

Im Überblick betrachtet, liefern die CVSS-Score-Metriken eine ganzheitliche Einschätzung der Schwere einer Sicherheitslücke. Sie stellen nicht nur die grundlegenden Charakterzüge der jeweiligen Sicherheitslücke in den Vordergrund, sondern berücknsichtigen zusätzlich die speziellen Gegebenheiten, die eine eventuelle Ausnutzung beeinflussen könnten.

CVE und CVSS im Vergleich

In der vielschichtigen Welt der Cybersicherheit spielen die Systeme CVE (Common Vulnerabilities and Exposures) und CVSS (Common Vulnerability Scoring System) eine entscheidende Rolle. Beide bedeuten unterschiedliche spezifische Elemente und tragen so zur verbesserten Sicherheitspraxis bei.

Erläuterung von CVE

Im Kern ist CVE ein Archiv, das von der Cybersicherheitsgemeinschaft genutzt wird - es enthält ausführliche Informationen über verbreitete Risiken und Schwachstellen in Software- und Hardware-Systemen. Jedes Risiko erhält eine eindeutige Kennung, bekannt als CVE-ID, die es Fachleuten und Wissenschaftlern ermöglicht, spezifische Bedrohungen zu orten und zu ergründen.

Erklärung von CVSS

Unter der Bezeichnung CVSS finden wir ein universelles Risikobewertungssystem für weit verbreitete sicherheitsrelevante Schwachstellen. Es bietet einheitliche Methoden, die dazu dienen, das Ausmaß der Anfälligkeiten zu kategorisieren. Diese Bewertungen stützen sich auf verschiedene Metriken, darunter die Ausbeutbarkeit und Komplexität. Mittels CVSS erhalten Risiken einen Wert zwischen 0 und 10 - wobei 10 für das größte Risiko steht.

Kontrastierende Aspekte von CVE und CVSS

Beide Systeme, CVE und CVSS, sind integraler Bestandteil der Cybersicherheit, jedoch dienen sie unterschiedlichen Zwecken. CVE fungiert als Datenbank aller Sicherheitsrisiken, während CVSS die Rolle eines Instrumentes zur Beurteilung des Ausmaßes von Risiken einnimmt. Die primären Unterschiede lassen sich in der folgenden Tabelle zusammenfassen:

CVE	CVSS
Datenbank für Sicherheitsrisiken	Instrument zur Bewertung von Sicherheitsrisiken
Vergibt Individuelle IDs für jede Schwachstelle	Klassifiziert das Risiko jeder Bedrohung
Hilft bei Identifikation und Analyse von Risiken	Unterstützt bei Bewertung und Management von Risiken basierend auf deren Ausmaß

Schlussgedanken

In Kürze, CVE und CVSS stellen entscheidende Werkzeuge zur effektiven Gestaltung von Cybersicherheitsstrategien dar. CVE dient der Identifikation und Analyse von Bedrohungen, CVSS hingegen zur Bewertung des Risikoumfangs und zur weiteren Verwaltung dieser Bedrohungen. Zusammen bilden sie eine robuste Grundlage zur Verbesserung der Sicherheit von Software- und Hardware-Systemen.

Wie erfolgt die Wertung?

Experten im Bereich IT-Sicherheit greifen auf spezielle Werkzeuge wie das "Common Vulnerability Scoring System" (CVSS) zurück, um Risiken einzuschätzen, die durch Sicherheitsdefizite entstehen können. Diese Methode basiert auf einer präzisen Berechnung. Bei der Nutzung dieses Systems kann man im Allgemeinen drei Hauptkategorien erkennen: Die grundlegenden Merkmale, aktuelle Zustände und die umgebenden Bedingungen.

Elementare Merkmale

Diese Eigenschaften geben einen allgemeinen Überblick über die Natur einer bestimmten Sicherheitslücke. Sie sind in drei Unterkategorien aufgeteilt: Das mögliche Schadensausmaß, der Komplexitätsgrad für eine mögliche Ausnutzung und die Voraussetzungen für einen erfolgreichen Angriff.

Das Schadensausmaß bezieht sich auf den potenziellen Einfluss einer Sicherheitslücke hinsichtlich Datenschutzverletzungen, Datenkorruption und Systemausfall. Die Ausnutzungskomplexität hingegen gibt Aufschluss darüber, wie kompliziert es für einen Angreifer wäre, die Schwachstelle zu missbrauchen. Unter den Angriffsprämissen versteht man die spezifischen Voraussetzungen, die ein Angreifer erfüllen muss, um einen erfolgreichen Angriff durchzuführen.

Aktuelle Zustände

Bei den aktuellen Zuständen geht es um die gegenwärtigen Umstände, die die Schwachstelle beeinflussen können. Multipler Faktoren wie das Vorhandensein von Angriffstools, die breite Kenntnis über die Schwachstelle in der Öffentlichkeit und die mögliche Wahrscheinlichkeit, dass die Schwachstelle in Zukunft ausgenutzt wird, sind hierbei von Bedeutung.

Umgebende Bedingungen

Die umgebenden Bedingungen beinhalten den Kontext und die unmittelbaren Gegebenheiten, in denen die Sicherheitslücke auftritt. Sie berücksichtigen Aspekte wie die Signifikanz des gefährdeten Systems für eine Organisation, die Menge an sensiblen Daten, die das System verarbeitet, und die Fähigkeiten des Unternehmens, angemessen auf eine mögliche Bedrohung zu reagieren.

Nach der Analyse der einzelnen Elemente erfolgt eine Gesamtbewertung. Der resultierende CVSS-Wert wird auf einer Skala von null bis zehn angegeben, wobei null keinerlei negative Auswirkungen bedeutet und zehn die extremsten Auswirkungen darstellt.

Es ist ausschlaggebend zu betonen, dass der CVSS-Wert lediglich einen Anhaltspunkt für das potentielle Risiko einer Schwachstelle liefert. Ergänzende Daten, etwa die Bedeutung des betroffenen Systems oder die Fähigkeiten des Unternehmens, adäquat auf eine mögliche Bedrohung zu reagieren, sollten für eine umfassende Priorisierung von Sicherheitsmaßnahmen berücksichtigt werden.

Hypothetisches CVSS-Szenario

Angenommen, es existiert eine Sicherheitslücke mit folgenden Charakteristiken:

• Potenzielles Schadensausmaß: Hoch (Datenschutzverletzungen, Datenkorruption und Systemausfall sind möglich)
• Komplexitätsgrad der Ausnutzung: Niedrig (kein spezielles Know-how oder spezifische Umstände sind notwendig)
• Angriffsprämissen: Keine spezifischen Voraussetzungen notwendig
• Vorhandensein von Angriffstools: Hoch (Ausnutzungstools sind leicht erhältlich)
• Öffentliche Kenntnis über die Schwachstelle: Hoch (die Schwachstelle ist weithin bekannt)
• Wahrscheinlichkeit für eine zukünftige Ausnutzung: Hoch (es ist sehr wahrscheinlich, dass die Schwachstelle bald ausgenutzt wird)
• Bedeutung des gefährdeten Systems: Hoch (das System hat eine hohe Wichtigkeit für das Unternehmen)
• Menge an sensiblen Daten: Hoch (das System verarbeitet eine große Menge an sensiblen Daten)
• Fähigkeit des Unternehmens, adäquat auf eine Bedrohung zu reagieren: Niedrig (das Unternehmen hat eine eingeschränkte Reaktionsfähigkeit auf die Ausnutzung der Schwachstelle)

In diesem Szenario würde die Sicherheitslücke wahrscheinlich einen hohen CVSS-Wert zugeordnet bekommen, da sie ein hohes Risiko darstellt, einfach ausgenutzt werden kann und in einem Kontext auftritt, der sie für potentielle Angreifer reizvoll macht.

Wie übernehmen und verwenden Organisationen das CVSS?

Auf unterschiedliche Art und Weise setzten Unternehmen das Instrument Common Vulnerability Scoring System (CVSS) ein, um die Sicherheitsmaßnahmen zu verfeinern und auf ein höheres Level zu bringen. Die Art und Weise, wie das CVSS angewandt und in die Praxis umgesetzt wird, hängt von der jeweiligen Firma und deren spezifischen Bedürfnissen ab. Unten werden einige übliche Methoden skizziert, die Firmen zur Implementierung des CVSS-Systems in ihre Prozesse anwenden.

CVSS als Werkzeug zur Einordnung von Schwachstellen

Das CVSS hat sich als effizientes Werkzeug zur Einstufung und Einordnung von Schwachstellen bewährt. Durch die Verwendung der Bewertungskriterien des CVSS können Unternehmen schnell identifizieren, welche Schwachstellen akut sind und sofortige Maßnahmen erfordern. Die CVSS-Bewertung erlaubt hierbei eine Abschätzung des Gefahrenpotentials der Schwachstelle, womit eine Priorisierung der zu behebenden Probleme ermöglicht wird.

Integration des CVSS in Sicherheitstools

Viele Werkzeuge zur Gewährleistung der Sicherheit integrieren auch die CVSS-Bewertung in ihr Repertoire. Mit ihrer Hilfe können diese Werkzeuge automatisiert CVSS-Bewertungen für erkannte Schwachstellen erstellen und diese Auswertungen zur Unterstützung von Sicherheitsteams bei ihrer Arbeit nutzen.

CVSS zur Förderung der Kommunikation

Eine weitere Funktion des CVSS ist die Unterstützung der Kommunikation. Durch die Anwendung eines standardisierten Bewertungssystems für Schwachstellen trägt das CVSS dazu bei, Missdeutungen und Irritationen zu verhindern. Dies ist besonders vorteilhaft, wenn mehrere Teams oder Abteilungen in einem Unternehmen gemeinsam an der Behebung von Schwachstellen arbeiten.

Anpassung des CVSS an individuelle Unternehmensbedürfnisse

Das CVSS bietet zwar ein standardisiertes Bewertungssystem für Schwachstellen, lässt jedoch auch Raum für Flexibilität. Je nach den individuellen Bedürfnissen eines Unternehmens kann das CVSS-System modifiziert und angepasst werden. Unternehmen haben die Möglichkeit, zusätzliche Kriterien einzufügen oder die Gewichtung bestimmter Kriterien anzupassen, um das System bestmöglich an den Bedarf anzupassen.

Zusammenfassend ist das CVSS ein effektives Instrument für Unternehmen, die ihre Sicherheitsstrategien verbessern möchten. Mit dem CVSS lassen sich Schwachstellen zielgerichtet identifizieren und beheben, Sicherheitstools effizienter einsetzen, die interne Kommunikation optimieren und das System an die individuellen Unternehmensbedürfnisse anpassen.

`

`

FAQ

In diesem Segment widmen wir uns den gängigsten Anfragen rund um das Bewertungssystem für allgemeine Sicherheitsschwachstellen (CVSS).

Was genau ist unter CVSS zu verstehen?

CVSS agiert als branchenübergreifender Standard zur Einstufung und Bewertung von Sicherheitsrisiken in Software-Anwendungen. Er erlaubt es, die potenziellen Folgen von Sicherheitsmängeln quantitativ einzuordnen und dementsprechend zu kategorisieren, um eine begründete Wahl bezüglich der angebrachten Sicherheitsprozeduren zu treffen.

Welche Methodik steckt hinter der Berechnung eines CVSS-Scores?

Ein CVSS-Wert ergibt sich aus der Kombination verschiedener Metriken, die unterschiedliche Facetten der jeweiligen Sicherheitslücke beurteilen. Dazu zählen u.a. Einflüsse auf Vertraulichkeit, Integrität und Nutzbarkeit des Systems, der Grad an Komplexität bei einer möglichen Ausbeutung, Bedürfnisse der Authentifikation sowie potenzielle Konsequenzen für Nutzer und andere relevante Elemente. Die einzelnen Metriken werden auf einer Skala von 0 bis 10 bewertet, wobei 10 den größten Schweregrad anzeigt.

Worin besteht der Unterschied zwischen CVE und CVSS?

„Common Vulnerabilities and Exposures“ (CVE) bezeichnet ein Register zur Erfassung bekannter Sicherheitslücken in Softwaresystemen. Jeder Mangel erhält dabei eine eindeutige CVE-Kennnummer zum Zweck der Identifizierung. CVSS hingegen stellt ein Evaluierungssystem zur Bestimmung der jeweiligen Schwere dieser Mängel dar. Eine CVE kann somit auch mit einem CVSS-Wert ausgestattet sein, der ihre Schwere und Charakteristika angibt.

Auf welche Weise setzen Organisationen CVSS ein?

Unternehmen verwenden CVSS, um die Dringlichkeit von Sicherheitslücken ihrer Software-Erzeugnisse zu beurteilen und die Priorisierung der Behebungen festzulegen. Es ermöglicht ihnen, eine begründete Auswahl bezüglich nötiger Sicherheitsprozeduren zu treffen und die ihnen zur Verfügung stehenden Ressourcen optimal zu nutzen. Ergänzend kann CVSS einen Beitrag zur Erfüllung von Compliance-Vorgaben und zur Risikoeinschätzung leisten.

Wie verlässlich ist der CVSS-Score?

Obwohl CVSS ein hilfreiches Instrument zur Beurteilung der Schwere von Sicherheitslücken ist, ist eine 100%-ige Genauigkeit nicht garantiert. Der Wert ist abhängig von der Einschätzung diverser Metriken, die subjektiv ausfallen können. Darüber hinaus bezieht der Wert nicht alle spezifischen kontextbezogenen Informationen mit ein, die die tatsächlichen Folgen einer Sicherheitslücke beeinflussen könnten. Daher sollte der CVSS-Wert eher als Orientierungshilfe und nicht als absoluierende Feststellung gesehen werden.

Kann CVSS zur Prognose zukünftiger Sicherheitslücken herangezogen werden?

CVSS dient als Bewertungsschema und nicht zur Vorhersage zukünftiger Sicherheitsdefizite oder deren Schweregrad. Dennoch kann es aufklären über Muster und Tendenzen im Bereich der Schwachstellen, was wiederum zur Optimierung der Sicherheitsmaßnahmen beitragen kann.

Wo finde ich ausführlichere Informationen über CVSS?

Weiterführende Informationen zu CVSS sind auf der offiziellen Homepage des Forums der Sicherheitsteams und Incident Response (FIRST) – dem Betreuer von CVSS – einsehbar. Dort finden Sie ausgiebige Informationen zum Bewertungsschema, der Metrik und der Methodologie, sowie zusätzliche Ressourcen zur CVSS-Wertberechnung.

Verweise

Für alle, die in die Tiefen des Schwachstellen-Bewertungssystems (kurz: SBBS) eintauchen möchten, haben wir nachfolgend einige handverlesene Quellen und Ressourcen zusammengestellt:

Formalisierte Dokumente und Normen

1. Technische Spezifikationsbeschreibung für SBBS v3.1, herausgegeben vom Forenkollektiv für Vorfallsreaktionen und sicherheitsrelevante Teams (FKVST). Ein fundiertes Nachschlagewerk für die Arbeit mit dem SBBS.

2. Nutzerhandbuch für SBBS v3.1, ebenfalls vom FKVST. Hier finden Sie konkrete Einsatzszenarien und diverse Beispiele für die Benutzung.

3. Sammlung praktischer Beispiele für SBBS v3.1, bereitgestellt vom FKVST. Veranschaulicht den Praxiseinsatz des Systems.

Wissenschaftliche Publikationen und Studien

4. "Ein Vergleich der Schwachstellen-Bewertungsmethodiken mit Hilfe von SBBS-Werten". Hier werden diverse Bewertungsmethoden gegenübergestellt und die Vor- und Nachteile des SBBS diskutiert.

5. "Empirische Analyse des Schwachstellen-Bewertungssystems". Diese Untersuchung beleuchtet die Treffsicherheit, Validität und den Praxisnutzen des SBBS.

Internetbasierte Ressourcen und Blogs

6. Erklärende Darstellung des SBBS, verfasst von Rapid7, welche einen leicht verständlichen Einstieg in das System und seine Anwendung bietet.

7. Ein Artikel von Tenable über den effektiven Einsatz des SBBS und dessen Beiträge zur Sicherheitsverbesserung.

8. "SBBS und seine Schwachstellen: eine Beurteilung", eine Einschätzung von SecurityScorecard, welche Licht auf die Grenzen des Systems wirft.

Software und Hilfsprogramme

9. Der "SBBS-Rechner" von der nationalen Schwachstellendatenbank ermöglicht das Berechnen von SBBS-Werten für bekannte Sicherheitsschwachstellen.

10. Der "SBBS v3.1-Rechner" von FKVST hilft bei der Erstellung von SBBS v3.1-Werten und ist eine nützliche Unterstützung für Anwender des Systems.

All diese Quellen sind eine solide basis für das Verständnis und den Einsatz des Schwachstellen-Bewertungssystems. Sie bieten technische Details und praktische Anleitungen und stellen wertvolle Hilfsmittel für jeden dar, der mit dem SBBS arbeiten möchte.