CVSS дава на всяка дупка в софтуера число от 0 до 10 - но десетката е за потенциала, не за това дали някой те напада точно сега.
Оценката идва от CVSS - Common Vulnerability Scoring System, система на организацията FIRST (обединение на екипи за реакция при инциденти в сигурността, събрани от цял свят). Всяка дупка получава конкретен идентификатор, CVE, и до него число по тази скала. Числото не е гадаене. Строи се от няколко въпроса: трябва ли нападателят да е в мрежата ти или може отдалечено, трябва ли парола, трябва ли жертвата да кликне нещо, какво точно губиш, ако падне - данни, контрол над машината, спиране на услугата.
На практика изглежда така. Излиза дупка в програма, която милиони фирми ползват за файлове. CVSS ѝ дава 9.8, защото атаката минава по мрежата, без парола, без потребителят да прави нищо, и дава пълен контрол над сървъра. Отделите по сигурност по света виждат тази бройка и я слагат най-горе в списъка за кръпки за тази седмица. Друга дупка в същата програма получава 4.2, защото нападателят трябва вече да има достъп отвътре - тя чака.
Системата съществува, защото преди нея всеки доставчик си измисляше собствена скала - 'критично' за един беше 'средно' за друг. CVSS дава общ език, за да можеш да сравниш дупка в счетоводен софтуер с дупка в рутер и да решиш коя да закърпиш първо. Ползват я вендъри, когато обявяват проблем, ползват я тимове по сигурност, за да подредят опашката от кръпки, ползва я и застрахователният бранш, за да прецени риска на клиент.
Има ли вибрация
Новините обичат да крещят 'критична дупка 9.8!' и да спират дотам, все едно е присъда. Не е. CVSS мери потенциал, не действителност - оценява доколко лесна и разрушителна е дупката ТЕОРЕТИЧНО, ако някой реши да я използва. Дали някой реално я използва в момента е съвсем друг въпрос, с друг отговор - и той е важният за теб като читател.
Затова гледам винаги двете числа заедно: CVSS ми казва колко лошо може да е, а KEV (списък на американското правителство с дупки, за които има ДОКАЗАНИ реални атаки) ми казва дали изобщо си струва да се плаша сега. Десетка без KEV е предупредителен знак на пътя. Десетка с KEV е кола, която идва право към теб.