Běžné zranitelnosti a ohrožení (CVE)

15. února 2021 | Cybrary

Seznam běžných zranitelností a ohrožení (CVE) je seznam bezpečnostních chyb v počítači seřazených podle kritických kritérií, který pomáhá jednotlivcům a firmám posoudit riziko, které pro ně představuje daná zranitelnost nebo ohrožení. Když se někdo zmíní o CVE , můžete zranitelnost snadno najít vyhledáváním a díky strukturovanému a konzistentnímu přezkoumání a dokumentaci zranitelnosti nebo ohrožení konzistentním způsobem můžete snadno zjistit kritickost rizika pro vaši organizaci. Bezpečnostní varování vydaná dodavateli nebo výzkumníky téměř vždy uvádějí alespoň jedno ID CVE.

Záznamy CVE jsou stručné, neobsahují technické údaje ani informace o potenciálních dopadech či samotných opravách. Tyto podrobnosti se objevují v jiných databázích, včetně Národní databáze zranitelností USA (NVD) , Databáze poznámek k zranitelnostem CERT/CC a dalších seznamů spravovaných daným dodavatelem nebo jinými organizacemi zabývajícími se kybernetickou bezpečností. V rámci těchto různých systémů poskytují ID CVE uživatelům spolehlivý způsob, jak opakovatelně porozumět jedinečným bezpečnostním chybám.

Související standard pro hodnocení kritičnosti CVE se nachází v systému Common Vulnerability Scoring System (CVSS) , což je soubor otevřených standardů pro přiřazování čísla zranitelnosti za účelem posouzení její závažnosti. Skóre CVSS jsou uvedena v doporučeních CVE, NVD a CERT . Skóre se pohybují od 0.0 do 10.0, přičemž vyšší čísla představují vyšší stupeň závažnosti zranitelnosti. Mnoho dodavatelů bezpečnostních řešení si také vytvořilo vlastní systémy hodnocení.

CVE spravuje společnost MITRE Corporation , kterou financuje Agentura pro kybernetickou bezpečnost a bezpečnost infrastruktury (CISA) , součást Ministerstva vnitřní bezpečnosti USA.

Měli by se majitelé malých a středních podniků zabývat CVE?

Ano. Každá malá a střední firma by měla mít zavedený proces pro zpracování kritických upozornění na zranitelnosti, aby mohla rychle posoudit riziko a učinit důležitá, časově citlivá rozhodnutí o tom, jak reagovat. Díky zavedenému procesu správy upozornění na zranitelnosti (VAMP) máte jasný návod, kdy a jak vysoko v případě dané zranitelnosti nebo expozice (rizika) reagovat.

CyberHoot naštěstí nabízí šablonu pro organizace, která popisuje proces VAMP založený na letech „praktického“ zkoumání zranitelností ze strany spoluzakladatelů CyberHootu. Zeptejte se svého MSP, kolik by mohlo stát formalizace tohoto procesu pro vás ještě dnes.