Common Vulnerability Scoring System (CVSS): comprendiamo di cosa si tratta.

Massimiliano Brolli : 9 Aprile 2021 12:52

Autore: Massimiliano Brolli
Data pubblicazione: 9/04/2021

Il CVSS è l’acronimo di Common Vulnerability Scoring System, un framework realizzato dalla FIRST, una organizzazione senza scopo di lucro con sede negli Stati uniti d’America ad oggi arrivato alla versione 3.1.

È il metodo più comunemente utilizzato dagli specialisti della sicurezza informatica, per valutare le vulnerabilità presenti all’interno di un sistema software/hardware attraverso la metrica “base”, anche se tale metrica può essere influenzata dai risultati di altre metriche temporali ed ambientali.

Scarica Gratuitamente Byte The Silence, il fumetto sul Cyberbullismo di Red Hot Cyber "Il cyberbullismo è una delle minacce più insidiose e silenziose che colpiscono i nostri ragazzi. Non si tratta di semplici "bravate online", ma di veri e propri atti di violenza digitale, capaci di lasciare ferite profonde e spesso irreversibili nell’animo delle vittime.  Non possiamo più permetterci di chiudere gli occhi". Così si apre la prefazione del fumetto di Massimiliano Brolli, fondatore di Red Hot Cyber, un’opera che affronta con sensibilità e realismo uno dei temi più urgenti della nostra epoca.  Distribuito gratuitamente, questo fumetto nasce con l'obiettivo di sensibilizzare e informare. È uno strumento pensato per scuole, insegnanti, genitori e vittime, ma anche per chi, per qualsiasi ragione, si è ritrovato nel ruolo del bullo, affinché possa comprendere, riflettere e cambiare.  Con la speranza che venga letto, condiviso e discusso, Red Hot Cyber è orgogliosa di offrire un contributo concreto per costruire una cultura digitale più consapevole, empatica e sicura. Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected] Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Molti professionisti utilizzano il punteggio CVSS base, come metrica principale per determinare la gravità di un bug di sicurezza rilevato. CVSS è un framework utilizzato per classificare le caratteristiche e la gravità dei punti deboli sfruttabili, creando un sistema di punteggio che valuta ogni singola vulnerabilità da 0 a 10.

Il framework è articolato nei seguenti gruppi:

1. CVSS Base;
2. CVSS Temporal;
3. CVSS Environmental metrics.

Il CVSS fornisce anche un sistema di aggregazione semplice e diretto per stabilire la potenziale minaccia e i singoli componenti che rappresentano un sistema.

Le aggregazioni (denominate Severity) possono essere riassunte in:

1. .0 = Nessuna minaccia;
2. ,1-3,9 = Basso;
3. 4.0-6.8 = Medio;
4. 7.0-8.9 = Alto;
5. 9.0 – 10.0 = Critico.

Dove ovviamente più è basso lo score, meno è rischiosa la vulnerabilità per un sistema, mentre uno score di 10,0 è una vulnerabilità molto critica da correggere immediatamente.

CVSS Base

Il punteggio di base opera utilizzando una scala da 0 a 10 attribuita a vulnerabilità intrinseche del software non influenzate dal tempo o da fattori ambientali. Il punteggio di base CVSS include due punteggi correlati e sono:

1. Exploitability;
2. Impact.

Exploitability

Si tratta di aspetti del singolo componente vulnerabile.

Più è facile attaccare il componente, più alto è il punteggio dei livelli di gravità CVSS v3.

Le metriche includono:

• Attack Vector (AV): classifica di quanto sia difficile per gli hacker utilizzare quel determinato vettore di attacco e quindi prendere di mira la vulnerabilità;
• Attack Complexity (AC): classifica l’ambiente che un hacker deve superare per sfruttare la vulnerabilità;
• Privileges Required (PR): classifica il livello di accesso alle credenziali che un hacker deve utilizzare per sfruttare la vulnerabilità;
• User Interaction (UI): classifica la difficoltà di un obiettivo da hackerare senza l’aiuto di utenze aggiuntive.

Impact

Viene utilizzato per determinare la gravità dei singoli componenti vulnerabili in un attacco riuscito. Le metriche includono:

1. Authorization Scope (S): classifica il grado di impatto che un componente può avere su altre parti del sistema;
2. Confidentiality (C): classifica il livello di compromissione della riservatezza del sistema causata dal lancio di un exploit sulla vulnerabilità;
3. Integrity (I): classifica il livello di compromissione dell’integrità del sistema causata dal lancio di un exploit sulla vulnerabilità;
4. Availability (A): classifica il livello di compromissione della disponibilità del sistema causata dal lancio di un exploit sulla vulnerabilità;

CVSS Temporal

Il punteggio temporale influirà sulle metriche utilizzate per determinare il punteggio di base CVSS.

Questa composizione del punteggio include tre metriche:

1. Exploit Code Maturity (E): classifica la probabilità che un exploit venga sfruttato in base agli script esistenti trovati su Internet;
2. Livello di riparazione (RL): classifica la facilità con cui un exploit può essere eseguito;
3. Report Confidence (RC): classifica l’affidabilità dell’esistenza di una vulnerabilità.

CVSS Environmental metrics

Le metriche ambientali sono essenzialmente dei “modificatori” del gruppo di metriche Base. L’Environmental metrics, come dice appunto la parola è calare in un contesto specifico il CVSS Base, come ad esempio una impresa o una organizzazione.

Le metriche includono:

1. Confidentiality Requirement (CR): la capacità di nascondere le informazioni agli utenti non autorizzati;
2. Integrity Requirement (IR): la capacità di proteggere le informazioni dalla modifica rispetto all’originale.
3. Availability Requirement (AR): l‘accessibilità delle informazioni agli utenti autorizzati secondo necessità.

Per poter calcolare autonomamente il valore del CVSS nella fattispecie alla versione 3.1, il NIST mette a disposizione su NVD (National vulnerability Database) la clacolatrice che consente la generazione degli score sulla base di una serie di input inviati dall’utente. La calcolatrice è raggiungibile a questo link: https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator

Bibliografia:

https://www.first.org/cvss/specification-document

https://www.first.org/cvss/v3.1/user-guide

https://www.first.org/cvss/calculator/3.1

Massimiliano Brolli
Responsabile del RED Team e della Cyber Threat Intelligence di una grande azienda di Telecomunicazioni e dei laboratori di sicurezza informatica in ambito 4G/5G. Ha rivestito incarichi manageriali che vanno dal ICT Risk Management all’ingegneria del software alla docenza in master universitari.

Lista degli articoli
Visita il sito web dell'autore