Ny CVSS 4.0: skærpet overblik og sikkerhedspraksis

Hej, Devolutions-fællesskab! Det er Mathieu Morrissette fra Devolutions’ sikkerhedsteam. Jeg er i øjeblikket en del af vores dedikerede afdeling for sikker kodning og Red Team.

I dag vil jeg gennemgå forbedringerne i CVSS version 4.0, som er næste generation af standarden Common Vulnerability Scoring System. Jeg fokuserer på, hvordan CVSS version 4.0 giver bedre præcision, detaljeringsgrad og fleksibilitet, når alvoren af en sårbarhed skal vurderes. Jeg fremhæver også, hvilken effekt forbedringerne har på vores sikkerhedspraksis.

Hvad er CVSS?

CVSS er en branchestandard til at vurdere alvoren af sårbarheder. For at gøre processen lettere bruger vi CVSS-beregneren på dette website: FIRST

Vi har brugt CVSS version 3.1 i et godt stykke tid, og vi er glade for, at FIRST (Forum of Incident Response and Security Teams) har udgivet den offentlige forhåndsversion 4.0. Den seneste version er en markant forbedring i forhold til forgængeren og giver bedre muligheder for en præcis sårbarhedsvurdering. Et nærmere kig på den nye version findes her: v4.0

Sikkerhedsmeddelelser, sikkerhedsvurderinger og MITRE CNA

Om et øjeblik deler vi vores syn på CVSS version 4.0 og fremhæver, hvordan vi bruger nye metrikker og værdier til at forbedre vores scoring af sårbarheder. Først vil jeg kort skitsere tre bærende søjler i vores program: sikkerhedsmeddelelser, sikkerhedsvurderinger og vores status som autoriseret MITRE CNA.

• Sikkerhedsmeddelelser: Vi udgiver løbende sikkerhedsmeddelelser på vores website under Devolutions’ sikkerhedsmeddelelser Som led i vores løbende forpligtelse til gennemsigtighed og til at beskytte dit digitale miljø holder meddelelserne dig ikke kun orienteret om sårbarheder, der kan påvirke vores produkter, men giver også vejledning i at opdatere til de seneste upåvirkede versioner for optimal beskyttelse.

• Sikkerhedsvurderinger: Du tænker måske: Hvordan opdages de her sårbarheder? De opdages gennem grundige interne og eksterne penetrationstest, udført af højt kvalificerede fagfolk som led i vores periodiske sikkerhedsvurderinger. Derudover har vi etableret et privat bug bounty-program i samarbejde med platformen YesWeHack, så erfarne jægere fra hele verden løbende og aktivt kan teste vores software for mulige sårbarheder.

• MITRE CNA: Som betroet og autoriseret MITRE CNA (Common Vulnerabilities and Exposures Numbering Authority) spiller Devolutions en vigtig rolle i økosystemet for sårbarhedshåndtering. Ved aktivt at deltage som CNA styrker Devolutions sikre praksisser og det fælles arbejde i cybersikkerhedsfællesskabet. Når en bekræftet sårbarhed bliver indberettet til os, arbejder vi tæt sammen med indberetteren for at sikre korrekt håndtering og risikovurdering. En del af vores ansvar er at arkivere og udgive CVE-posten, som fungerer som en central database til at identificere og følge sårbarheder. Vi inviterer dig til at besøge CVE-websitet på CVE for at se omfanget og betydningen af denne vigtige ressource.

Vores syn på CVSS version 4.0

CVSS version 4.0 rummer en række forbedringer, der i høj grad styrker vores evne til at score sårbarheder til vores sikkerhedsmeddelelser. Forbedringerne i præcision, detaljeringsgrad og fleksibilitet hjælper os med at give brugerne præcis og handlingsrettet information. Lad os dykke ned i de vigtigste ændringer i den nye version og se på deres betydning for vores scoring af sårbarheder.

• UI-metrikken: De udvidede værdier for metrikken User Interaction (UI), herunder kategorierne Passiv (P) og Aktiv (A), giver os en bedre forståelse af, hvor meget brugerinteraktion der skal til for at udnytte en sårbarhed. Skelnen gør det muligt at tilpasse vores sikkerhedsmeddelelser og vejlede brugerne om de nødvendige forsvarstiltag for både aktivt og passivt udnyttelige sårbarheder.

• AT-metrikken: Introduktionen af metrikken Attack Requirements (AT) giver et mere detaljeret billede af den kompleksitet og de forudsætninger, en angriber skal overvinde for at udnytte en sårbarhed. Når vi vurderer sårbarheders udnyttelighed præcist, kan vi prioritere udbedringen effektivt og give brugerne handlingsrettet vejledning.

• Metrikken Provider Urgency: En af de mest spændende tilføjelser er metrikken Provider Urgency (PU). Den vurderer den hastegrad, som sårbarhedsudbydere angiver, så vi kan prioritere sårbarheder ud fra alvor og anbefalede svartider. Når vi tager Provider Urgency med i vores meddelelser, kan vi give brugerne rettidig information, så de hurtigt kan håndtere kritiske sårbarheder.

Selv om flere metrikker og værdier kan gøre det lidt mere komplekst, er vi sikre på, at vi kan tilpasse os og bruge forbedringerne til at give en præcis sårbarhedsscore. Vi ved, hvor vigtigt det er at have den nødvendige ekspertise og de nødvendige ressourcer til at vurdere sårbarheder med det nye system, så vores risikovurderinger er præcise, og udbedringen prioriteres effektivt.

Vi ser frem til udgivelsen af CVSS version 4.0 og glæder os til at integrere den i vores scoring af sårbarheder. Forbedringerne flugter med vores forpligtelse til at give brugerne den mest pålidelige og handlingsrettede sikkerhedsinformation. Vi mener, at den samlede indsigt fra de nye metrikker vil styrke vores sårbarhedshåndtering og yderligere sikre brugernes systemer.

Fra vores CISO Martin Lemays bord

Som CISO i Devolutions er jeg glad for forbedringerne i forhåndsversion 4.0 af CVSS. Den højere præcision er et markant fremskridt i scoring af sårbarheder. Vi byder den øgede pålidelighed velkommen i vores sikkerhedspraksis og ser frem til at bruge den til mere præcise sårbarhedsvurderinger. Ændringen ser meget lovende ud, og vores team er klar til at tage den i brug, når branchen har godkendt den.