CVSS‑score: brug alvorligheden uden at lade den bestemme alt

En CVSS-score ud for hvert fund gør det fristende at sortere rapporten efter tal og starte fra toppen. Scoren er nyttig, men den måler teknisk alvorlighed ud fra fastlagte egenskaber ved en sårbarhed, og den kender ikke jeres forretning, jeres data eller jeres øvrige beskyttelse.

Svaret er derfor, at I skal bruge scoren som et fælles udgangspunkt for samtalen om alvor og ikke som den endelige rækkefølge. FIRST, der står bag skalaen, skriver i specifikationen for CVSS v4.0, at CVSS måler alvorlighed og ikke bør bruges alene til at vurdere risiko. Den sondring er nøglen til at bruge tallet fornuftigt.

Scoren beskriver egenskaber ved svagheden

CVSS står for Common Vulnerability Scoring System. Skalaen går fra 0 til 10, og FIRST knytter betegnelserne ingen, lav, middel, høj og kritisk til intervaller på skalaen. Scoren beregnes ud fra en række spørgsmål om sårbarheden: hvordan den kan nås, hvor meget der kræves, før den kan bruges, og hvad følgerne kan blive for fortrolighed, integritet og tilgængelighed.

Svarene skrives i en kort kode, en såkaldt vektor, som står ved siden af tallet. Vektoren gør det muligt at se, hvilke valg der ligger bag scoren. To fund med samme tal kan have forskellige vektorer og dermed forskellige grunde til deres alvor. Hvordan scoren indgår i en samlet læsning af rapporten, er beskrevet i → Sådan læser I en pentestrapport

Fire grupper, og kun nogle er med i tallet

Version 4.0 deler egenskaberne i fire grupper. Den grundlæggende gruppe beskriver selve sårbarheden og ændrer sig normalt ikke fra miljø til miljø. Trusselsgruppen beskriver, hvad man ved om udnyttelse af svagheden, og kan ændre sig over tid. Miljøgruppen gør det muligt at tilpasse vurderingen til jeres egen opsætning og jeres krav til systemet.

Den fjerde gruppe er supplerende oplysninger, som kan beskrive svagheden yderligere uden at ændre selve scoren. FIRST har desuden indført betegnelser, der viser, hvilke grupper et tal bygger på. Står der kun grundscore, er hverken trusselsbilledet eller jeres miljø regnet med.

Det har stor betydning for brugen. Et tal, der kun bygger på den grundlæggende gruppe, er en generel beskrivelse af svagheden, ikke en vurdering af, hvor alvorlig den er i jeres webshop.

Version og grundlag skal fremgå

Rapporter bruger ikke altid samme version af skalaen. En score efter version 3.1 og en score efter version 4.0 er beregnet på forskellige måder og kan ikke uden videre sammenlignes. Det gælder især, hvis I vil følge udviklingen fra én test til den næste, eller sammenligne rapporter fra to leverandører.

Bed derfor om, at rapporten angiver version, vektor og hvilke grupper der indgår. Hvis testeren har justeret for jeres miljø, bør det fremgå, hvilke oplysninger justeringen bygger på. Ellers kan læseren ikke se, om en høj score skyldes svagheden selv eller testerens antagelser om kundeportalen.

Hvor scoren hjælper

Scoren giver et fælles sprog. Når driftsleverandøren, softwarehuset og IT-chefen skal tale om et fund, er det nyttigt at have et tal og en vektor, alle kan slå op. Det gør det også lettere at opdage, når to parter vurderer samme svaghed forskelligt, og at føre drøftelsen tilbage til de konkrete egenskaber ved svagheden frem for til en fornemmelse.

Scoren gør det desuden lettere at sammenligne kendte sårbarheder i standardsoftware, fordi offentlige poster om kendte svagheder ofte er forsynet med en score. Kobles den til et nummer i det fælles katalog, kan den, der retter, hurtigt finde baggrunden. → CVE forklaret

Hvor scoren ikke rækker

Scoren ved ikke, hvad systemet betyder for jer. En svaghed med middel score i ERP-systemets lønmodul kan være vigtigere end en høj score på en testserver uden data. Det er virksomhedens viden, der afgør, hvilke systemer og data der er kritiske. Forskellen mellem teknisk alvor og risiko er forklaret i → Sårbarhed, fund og risiko

Scoren fanger heller ikke altid sammenhænge. To fund med lav score kan tilsammen give en vej til noget alvorligt, som ingen af dem viser alene. En god rapport beskriver sådanne kæder i tekst, fordi tallene ikke gør det.

Endelig kan fund, der ikke er klassiske sårbarheder, være svære at score meningsfuldt. Det gælder fx svage processer eller manglende overvågning. Her er testerens beskrivelse vigtigere end et tal.

Husk også, at scoren er et øjebliksbillede. Hvis trusselsgruppen er regnet med, afspejler den, hvad man vidste om udnyttelse, da rapporten blev skrevet. Ny viden kan gøre et fund mere presserende, selv om rapporten ikke ændrer sig. Ved fund, der står åbne i længere tid, kan det derfor være relevant at se på vurderingen igen.

Sådan bruger I scoren i prioriteringen

Start med scoren, men lad den ikke afslutte samtalen. Gennemgå fundene sammen med systemejeren, og spørg for hvert fund: hvilke data og funktioner er berørt, hvem kan nå svagheden, og findes der andre beskyttelser? Notér, hvis I flytter et fund op eller ned, og hvorfor. → Prioritering af rettelser

Hvis I er uenige med testerens score, så drøft vektoren frem for tallet. Uenigheden handler som regel om en enkelt antagelse, fx om svagheden kræver login. Det er lettere at afklare end en diskussion om, hvorvidt et fund er højt eller middel. → Uenighed om alvorlighed

Vær varsom, når resultatet skal formidles til ledelsen. En optælling af fund pr. kategori giver et hurtigt billede, men den kan skjule, at et enkelt middelfund rammer det vigtigste system. Fortæl hellere i få sætninger, hvilke fund der har betydning for forretningen, og brug scorerne som underbygning.

Det skal I lade være med

At sortere efter tal og stoppe dér · systemets betydning skal med i rækkefølgen.
At sammenligne scorer på tværs af versioner · tjek altid, hvilken version der er brugt.
At tro, at grundscoren kender jeres miljø · den beskriver svagheden generelt.
At ignorere lave scorer · flere svage fund kan tilsammen være alvorlige.
At diskutere tallet i stedet for vektoren · uenighed skal føres tilbage til de konkrete antagelser.

Hvad kan og ikke kan konkluderes

En CVSS-score kan underbygge, hvor alvorlig en sårbarhed er teknisk set efter en offentlig og gennemsigtig metode. Med vektoren kan andre efterprøve vurderingen.

Scoren kan ikke alene fastslå virksomhedens risiko, rækkefølgen for rettelser eller om et system er sikkert nok. Den vurdering kræver viden om forretning, data og beskyttelse, som ligger uden for skalaen.