Common Vulnerability Scoring System (CVSS): comprendiamo di cosa si tratta.

Massimiliano Brolli : 9 Aprile 2021 12:52

  

Autore: Massimiliano Brolli
Data pubblicazione: 9/04/2021

Il CVSS è l’acronimo di Common Vulnerability Scoring System, un framework realizzato dalla FIRST, una organizzazione senza scopo di lucro con sede negli Stati uniti d’America ad oggi arrivato alla versione 3.1.

È il metodo più comunemente utilizzato dagli specialisti della sicurezza informatica, per valutare le vulnerabilità presenti all’interno di un sistema software/hardware attraverso la metrica “base”, anche se tale metrica può essere influenzata dai risultati di altre metriche temporali ed ambientali.

Molti professionisti utilizzano il punteggio CVSS base, come metrica principale per determinare la gravità di un bug di sicurezza rilevato. CVSS è un framework utilizzato per classificare le caratteristiche e la gravità dei punti deboli sfruttabili, creando un sistema di punteggio che valuta ogni singola vulnerabilità da 0 a 10.

Il framework è articolato nei seguenti gruppi:

1. CVSS Base;
2. CVSS Temporal;
3. CVSS Environmental metrics.

Il CVSS fornisce anche un sistema di aggregazione semplice e diretto per stabilire la potenziale minaccia e i singoli componenti che rappresentano un sistema.

Le aggregazioni (denominate Severity) possono essere riassunte in:

1. .0 = Nessuna minaccia;
2. ,1-3,9 = Basso;
3. 4.0-6.8 = Medio;
4. 7.0-8.9 = Alto;
5. 9.0 – 10.0 = Critico.

Dove ovviamente più è basso lo score, meno è rischiosa la vulnerabilità per un sistema, mentre uno score di 10,0 è una vulnerabilità molto critica da correggere immediatamente.

CVSS Base

Il punteggio di base opera utilizzando una scala da 0 a 10 attribuita a vulnerabilità intrinseche del software non influenzate dal tempo o da fattori ambientali. Il punteggio di base CVSS include due punteggi correlati e sono:

1. Exploitability;
2. Impact.

Exploitability

Si tratta di aspetti del singolo componente vulnerabile.

Più è facile attaccare il componente, più alto è il punteggio dei livelli di gravità CVSS v3.

Le metriche includono:

• Attack Vector (AV): classifica di quanto sia difficile per gli hacker utilizzare quel determinato vettore di attacco e quindi prendere di mira la vulnerabilità;
• Attack Complexity (AC): classifica l’ambiente che un hacker deve superare per sfruttare la vulnerabilità;
• Privileges Required (PR): classifica il livello di accesso alle credenziali che un hacker deve utilizzare per sfruttare la vulnerabilità;
• User Interaction (UI): classifica la difficoltà di un obiettivo da hackerare senza l’aiuto di utenze aggiuntive.

Impact

Viene utilizzato per determinare la gravità dei singoli componenti vulnerabili in un attacco riuscito. Le metriche includono:

1. Authorization Scope (S): classifica il grado di impatto che un componente può avere su altre parti del sistema;
2. Confidentiality (C): classifica il livello di compromissione della riservatezza del sistema causata dal lancio di un exploit sulla vulnerabilità;
3. Integrity (I): classifica il livello di compromissione dell’integrità del sistema causata dal lancio di un exploit sulla vulnerabilità;
4. Availability (A): classifica il livello di compromissione della disponibilità del sistema causata dal lancio di un exploit sulla vulnerabilità;

CVSS Temporal

Il punteggio temporale influirà sulle metriche utilizzate per determinare il punteggio di base CVSS.

Questa composizione del punteggio include tre metriche:

1. Exploit Code Maturity (E): classifica la probabilità che un exploit venga sfruttato in base agli script esistenti trovati su Internet;
2. Livello di riparazione (RL): classifica la facilità con cui un exploit può essere eseguito;
3. Report Confidence (RC): classifica l’affidabilità dell’esistenza di una vulnerabilità.

CVSS Environmental metrics

Le metriche ambientali sono essenzialmente dei “modificatori” del gruppo di metriche Base. L’Environmental metrics, come dice appunto la parola è calare in un contesto specifico il CVSS Base, come ad esempio una impresa o una organizzazione.

Le metriche includono:

1. Confidentiality Requirement (CR): la capacità di nascondere le informazioni agli utenti non autorizzati;
2. Integrity Requirement (IR): la capacità di proteggere le informazioni dalla modifica rispetto all’originale.
3. Availability Requirement (AR): l‘accessibilità delle informazioni agli utenti autorizzati secondo necessità.

Per poter calcolare autonomamente il valore del CVSS nella fattispecie alla versione 3.1, il NIST mette a disposizione su NVD (National vulnerability Database) la clacolatrice che consente la generazione degli score sulla base di una serie di input inviati dall’utente. La calcolatrice è raggiungibile a questo link: https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator

Bibliografia:

https://www.first.org/cvss/specification-document

https://www.first.org/cvss/v3.1/user-guide

https://www.first.org/cvss/calculator/3.1

Massimiliano Brolli
Responsabile del RED Team di TIM S.p.a. e dei laboratori di sicurezza informatica in ambito 4G/5G. Ha rivestito incarichi manageriali in Telecom Italia che vanno dal ICT Risk Management all’ingegneria del software alla docenza.