Das Common Vulnerability Scoring System (CVSS) ist ein weit verbreiteter Standard zur Bewertung der Schwere von Software-Schwachstellen. Dieses System hilft Unternehmen dabei, Sicherheitskorrekturen zu priorisieren und Cyberrisiken zu mindern. Das CVSS unterteilt sich in drei Metriken-Kategorien: Basis (Base Metrics), Zeitabhängig (Temporal Metrics) und Umgebungsspezifisch (Environmental Metrics). In diesem Artikel analysieren wir die Rolle und Bedeutung der zeitabhängigen Metriken.

Was sind zeitabhängige Metriken (Temporal Metrics)?

Die zeitabhängigen Metriken bewerten die Entwicklung einer Schwachstelle im Laufe der Zeit, wobei externe Faktoren wie die Verfügbarkeit von Exploits, die Implementierung von Korrektur-Patches und das Vertrauensniveau in die Informationen über die Schwachstelle berücksichtigt werden. Diese Metriken ermöglichen es, den CVSS-Score basierend auf Entwicklungen zu aktualisieren, die das tatsächliche Risiko einer Schwachstelle beeinflussen können.

Die zeitabhängigen Metriken unterteilen sich in drei Hauptkategorien:

• Ausnutzbarkeit (Exploitability – E): Gibt an, wie leicht die Schwachstelle aktiv ausgenutzt werden kann.
• Korrekturgrad (Remediation Level – RL): Misst die Verfügbarkeit von Lösungen zur Minderung der Schwachstelle.
• Berichtsvertrauen (Report Confidence – RC): Bewertet die Zuverlässigkeit der verfügbaren Informationen über die Schwachstelle.

Bedeutung der zeitabhängigen Metriken (Temporal Metrics)

Die zeitabhängigen Metriken verfeinern den durch die Basismetriken zugewiesenen CVSS-Score und bieten eine realistischere Sicht auf das aktuelle Risiko. Da die Cybersicherheit ein sich ständig weiterentwickelndes Feld ist, sind diese Metriken entscheidend, um Minderungsstrategien und Reaktionen auf Angriffe anzupassen.

Ausnutzbarkeit (Exploitability – E)

Misst die Wahrscheinlichkeit, dass eine Schwachstelle aktiv ausgenutzt wird:

• Nicht nachgewiesen (Unproven – U): Kein bekannter oder verifizierter Exploit.
• Theoretisch (Proof-of-Concept – POC): Demonstrative Exploits verfügbar oder im Labor getestet.
• Funktionierend (Functional – F): Wirksamer Exploit in realen Umgebungen bestätigt.
• Erhöht (High – H): Exploit leicht verfügbar und einsetzbar.

Korrekturgrad (Remediation Level – RL)

Definiert die verfügbaren Maßnahmen zur Minderung der Schwachstelle:

• Nicht verfügbar (Unavailable – U): Keine Korrektur verfügbar.
• Temporäre Lösung (Workaround – W): Teilweise Minderungsmaßnahmen existieren.
• Teilweises Update (Temporary Fix – T): Vorläufiger Patch veröffentlicht.
• Offizielle Korrektur (Official Fix – O): Endgültiger Patch verfügbar.

Berichtsvertrauen (Report Confidence – RC)

Gibt das Vertrauensniveau in die Informationen über die Schwachstelle an:

• Nicht bestätigt (Unknown – U): Unzureichende Daten zur Validierung der Schwachstelle.
• Angemessen bestätigt (Reasonable – R): Zuverlässige Beweise für die Schwachstelle vorhanden.
• Bestätigt (Confirmed – C): Die Schwachstelle wurde von maßgeblichen Quellen verifiziert.

Auswirkung der zeitabhängigen Metriken auf den CVSS-Score

Ein CVSS-Score, der ausschließlich auf Basismetriken basiert, liefert eine statische Bewertung der Schwachstelle. Die zeitabhängigen Metriken aktualisieren diese Bewertung jedoch, um die aktuelle Situation widerzuspiegeln, wodurch das wahrgenommene Risiko entweder verringert oder erhöht wird.

Zum Beispiel:

• Eine Schwachstelle mit einem hohen Basis-Score könnte ein geringeres tatsächliches Risiko aufweisen, wenn ein offizieller Patch verfügbar ist und schnell implementiert wird.
• Umgekehrt könnte eine theoretisch niedrig eingestufte Schwachstelle kritischer werden, wenn einfach zu bedienende öffentliche Exploits auftauchen.

Integration zeitabhängiger Metriken in das Schwachstellenmanagement (Vulnerability Management)

Die Integration zeitabhängiger Metriken in das Schwachstellenmanagement ermöglicht es Unternehmen, dynamisch auf Bedrohungen zu reagieren. Eine ständige Überwachung des Ausnutzungsgrades und der verfügbaren Patches ermöglicht eine zeitnahe und gezielte Reaktion.

Empfohlene Schritte:

• Überwachung von Exploit-Quellen (Monitor Exploit Feeds), um über das Vorhandensein aktiver Exploits auf dem Laufenden zu bleiben.
• Regelmäßige Aktualisierung der CVSS-Scores (Update CVSS Scores) basierend auf der Verfügbarkeit von Korrekturen.
• Implementierung von Minderungsstrategien (Apply Mitigation Strategies), auch wenn keine offiziellen Patches vorliegen.

FAQ: Zeitabhängige Metriken und ihre Anwendung

• Warum sind zeitabhängige Metriken (Temporal Metrics) bei der Bewertung von Schwachstellen grundlegend?
• Zeitabhängige Metriken ermöglichen es, die Bewertung einer Schwachstelle basierend auf Entwicklungen im Zeitverlauf zu aktualisieren, was die Genauigkeit der Risikoanalyse verbessert und fundiertere Sicherheitsentscheidungen unterstützt.
• Wie unterscheiden sich zeitabhängige Metriken von anderen CVSS-Metriken?
• Zeitabhängige Metriken berücksichtigen die Entwicklung der Schwachstelle im Laufe der Zeit, während Basismetriken ausschließlich technische Merkmale bewerten und umgebungsspezifische Metriken den spezifischen Kontext des Unternehmens betrachten.
• Wie beeinflussen zeitabhängige Metriken das Schwachstellenmanagement?
• Das Überwachen und Aktualisieren von CVSS-Scores basierend auf zeitabhängigen Metriken hilft dabei, die gefährlichsten Schwachstellen zu einem bestimmten Zeitpunkt zu priorisieren und Ressourcen sowie Reaktionsstrategien auf Angriffe zu optimieren.