Technischer Support
Dokumentation
Anmeldung
Kontakt
Gehen Sie direkt zu einer KI-Zusammenfassung dieses Blogbeitrags 
Wichtigste Erkenntnisse
- CVE stellt eindeutige Kennungen für Schwachstellen bereit, die die Verfolgung und Kommunikation über Plattformen hinweg erleichtern.
- CVSS weist den Schwachstellen numerische Werte zu und hilft bei der Priorisierung nach Schweregrad.
- CVE und CVSS zusammen ermöglichen es Linux-Administratoren, Risiken effektiv zu identifizieren, zu bewerten und abzuschwächen.
Von einzelnen Benutzern bis hin zu großen Unternehmen ist das Risiko von Cyberangriffen allgegenwärtig. Um diese Risiken wirksam einzudämmen, ist es wichtig, die grundlegenden Konzepte von CVE und CVSS zu verstehen.
CVE steht für „Common Vulnerabilities and Exposures“. Einfach ausgedrückt bezeichnet der Begriff eine öffentlich bekannt gegebene Sicherheitslücke in einer bestimmten Software. CVSS (Common Vulnerability Scoring System) hingegen ist ein standardisiertes Rahmenwerk zur Bewertung des Schweregrads einer Sicherheitslücke.
In diesem Artikel werden CVE und CVSS gegenübergestellt und erklärt, was sie sind und wie sie beim Schwachstellenmanagement helfen.
Was ist ein CVE?
Ein Common Vulnerability and Exposure (CVE) ist eine eindeutige Kennung, die öffentlich bekannten Softwareschwachstellen zugewiesen wird. Dieses Benennungssystem hilft Sicherheitsforschern, Anbietern und Systemadministratoren, bestimmte Schwachstellen leicht aufzufinden und zu verfolgen. Das CVE-System entstand 1999 bei MITRE mit der Einführung der CVE-Liste, die nur 321 Einträge enthält.
Im Jahr 2024 wurden mehr als 40.000 neue Schwachstellen in einem einzigen Jahr bekannt gegeben - eine atemberaubende Wachstumsrate, die die entscheidende Rolle von CVEs beim Schwachstellenmanagement unterstreicht.
Ohne ein standardisiertes Identifizierungssystem ist es fast unmöglich, sie effektiv zu unterscheiden und zu verfolgen. Es ist jedoch wichtig zu wissen, dass nicht alle Schwachstellen mit CVEs versehen sind.
Wer ordnet CVEs zu und wie?
CVEs werden von den CVE Numbering Authorities (CNAs) zugewiesen, einer Gruppe, die für die Koordinierung der Zuweisung eindeutiger Kennungen für öffentlich bekannte Schwachstellen zuständig ist. Die CNAs arbeiten eng mit Sicherheitsforschern, Anbietern und anderen Beteiligten zusammen, um Schwachstellen zu identifizieren und zu dokumentieren.
Ein CVE-Bezeichner ist eine eindeutige Textzeichenfolge im Format CVE-Jahr-Zahl. CVE-2014-0160 bezieht sich zum Beispiel auf die berüchtigte Heartbleed-Schwachstelle. Das "2014" gibt das Jahr an, in dem die CVE veröffentlicht wurde, während "0160" die eindeutige Nummer ist, die der Sicherheitslücke in diesem Jahr zugewiesen wurde. Diese Nummern werden jedes Jahr zurückgesetzt.
Ein CVE-Eintrag kann zugewiesen, aber nicht sofort veröffentlicht werden. Diese Verzögerung ist oft beabsichtigt, um dem ursprünglichen Anbieter oder Softwareentwickler Zeit zu geben, eine Korrektur zu veröffentlichen. Zu dem Zeitpunkt, an dem die CVE-Informationen veröffentlicht werden, ist der Patch oder die Entschärfung in der Regel bereits einsatzbereit, wodurch das Risiko für die Endbenutzer verringert wird.
Was ist CVSS?
Das Common Vulnerability Scoring System (CVSS) ist ein standardisierter Rahmen zur Bewertung des Schweregrads von Sicherheitslücken. CVSS wird vom Forum of Incident Response and Security Teams (FIRST) verwaltet und weist einer Schwachstelle eine numerische Punktzahl zu, die ihren Schweregrad angibt.
Dies hilft Unternehmen, Schwachstellen auf der Grundlage ihrer CVSS-Scores zu priorisieren und sich auf die Beseitigung der wichtigsten Bedrohungen zu konzentrieren.
Das CVSS-Bewertungssystem
Die CVSS-Scores reichen von 0,0 bis 10,0, wobei höhere Scores für schwerwiegendere Schwachstellen stehen.
Diese Werte werden häufig neben CVE-Einträgen in Datenbanken wie der NVD angezeigt und geben einen schnellen Überblick über die Risikostufe.
Die National Vulnerability Database (NVD) ist ein von der US-Regierung gefördertes Repository, das detaillierte Informationen über öffentlich bekannte Schwachstellen enthält. Sie enthält Beschreibungen von CVEs, die zugehörigen Schwachstellen und potenzielle Schwachstellen.
|
Punktebereich: |
Schweregrad: |
|
0.0 |
Keine |
|
0.1 – 3.9 |
Niedrig |
|
4.0 – 6.9 |
Mittel |
|
7.0 – 8.9 |
Hoch |
|
9.0 – 10.0 |
Kritisch |
CVSS verwendet drei Gruppen von Schlüsselmetriken, um die endgültige Punktzahl zu berechnen:
Basis-Punktzahl
Dieser Wert stellt die inhärenten Eigenschaften einer Schwachstelle dar, die im Laufe der Zeit und über verschiedene Umgebungen hinweg konsistent sind. Sie umfasst Faktoren wie Angriffskomplexität, erforderliche Berechtigungen, Benutzerinteraktion und mögliche Auswirkungen.
Zeitliche Bewertung
Dieser Wert berücksichtigt Faktoren, die sich im Laufe der Zeit ändern können, wie die Verfügbarkeit von Patches, die Reife des Exploit-Codes und die Vertrauenswürdigkeit der Berichte.
Umwelt-Score
Diese Punktzahl spiegelt die spezifischen Merkmale der Zielumgebung wider, z. B. das Vorhandensein von Sicherheitskontrollen, den Wert der betroffenen Vermögenswerte und die potenziellen Auswirkungen auf die Unternehmensziele.
CVE vs. CVSS vs. NVD: Was ist der Unterschied?
Inzwischen wissen Sie bereits, was CVE, CVSS und NVD bedeuten. Hier ist ein kurzer Vergleich, um zu zeigen, wie sie zusammenhängen, wer sie verwaltet und wie sie beim Schwachstellenmanagement zusammenarbeiten.
|
Merkmal |
CVE |
CVSS |
NVD |
|
Verwaltet von |
MITRE Gesellschaft |
FIRST (Forum of Incident Response and Security Teams) |
NIST (Nationales Institut für Normung und Technologie) |
|
Was es bewirkt |
Weist eindeutige IDs zu, um bekannte Schwachstellen zu verfolgen. |
Bewertet anhand einer Standardformel, wie schwerwiegend eine Schwachstelle ist. |
Speichert und bereichert Daten über Sicherheitsrisiken für die Öffentlichkeit. |
|
Verwendet für |
Referenzierung und eindeutige Identifizierung von Sicherheitslücken auf verschiedenen Plattformen. |
Priorisierung der zu patchenden Schwachstellen nach Schweregrad. |
Erforschung, Analyse und Verwaltung von Schwachstellen. |
|
Interaktion |
CVEs werden von CNAs veröffentlicht und in NVD aufgelistet; sie enthalten oft auch die CVSS-Scores. |
CVSS-Scores werden für jedes CVE berechnet und über NVD veröffentlicht. |
NVD ist die wichtigste öffentliche Quelle für detaillierte CVE- und CVSS-Informationen. |
Die Bedeutung der CVSS-Versionen
Das Common Vulnerability Scoring System (CVSS) gibt es in mehreren Versionen, wobei die neueste Version CVSS 4.0 ist. Im Gegensatz zu CVSS v2.0 und CVSS v3.x besteht es aus vier metrischen Gruppen: Base, Threat, Environmental und Supplemental.
Diese Versionen wurden im Laufe der Zeit weiterentwickelt, um die Genauigkeit und Konsistenz der Bewertung von Sicherheitslücken zu verbessern. Daher kann die CVSS-Version, die zur Bewertung der Schwachstelle verwendet wird, einen erheblichen Einfluss auf die einer Schwachstelle zugewiesene Punktzahl haben.
So kann eine Schwachstelle beispielsweise nach CVSS 3.0 als "hoch" eingestuft werden, nach CVSS 2.0 jedoch nur als "mittel". Aus diesem Grund ist es wichtig, die CVSS-Version anzugeben, wenn eine Bewertung erwähnt wird, da die Bewertung sonst nicht richtig interpretiert werden kann.
Neuere Versionen von CVSS zielen darauf ab, die Subjektivität bei der Bewertung zu verringern, indem die Berechnungsmethodik verfeinert und klarere Richtlinien eingeführt wurden. Dennoch kann es bei der CVSS-Bewertung immer noch zu einem gewissen Grad an Subjektivität kommen. Sicherheitsanalysten können die Faktoren, die zu einer CVSS-Bewertung beitragen, unterschiedlich gewichten, was zu Unterschieden in der endgültigen Bewertung der verschiedenen CVE-Register führen kann.
Wie man CVEs für Patches priorisiert
Nicht alle CVEs müssen sofort gepatcht werden - aber einige schon, und sie zu übersehen, kann teuer werden.
Verwenden Sie eine Mischung aus CVSS-Scores und der Kritikalität von Assets, um die Dringlichkeit von Patches einzustufen.
Kritische Schwachstellen auf Systemen mit hoher Auswirkung sollten innerhalb von 24 Stunden gepatcht werden. Umgekehrt können weniger schwerwiegende Probleme auf Systemen mit geringerer Auswirkung im Rahmen von Routine-Patch-Zyklen behoben werden.
Warum CVE und CVSS für Linux-Administratoren wichtig sind
Linux-Betriebssysteme sind in Linux-Unternehmensumgebungen weit verbreitet, was sie zu attraktiven Zielen für Angreifer macht.
Für Linux-Administratoren und Sicherheitsteams spielen CVE und CVSS eine entscheidende Rolle bei der Identifizierung und Bewertung von Schwachstellen.
Durch die Kombination von CVE-IDs und CVSS-Scores können sie effektiv Prioritäten setzen und die kritischsten Schwachstellen beheben.
Dies ermöglicht nicht nur ein effizientes Schwachstellenmanagement, sondern vereinfacht auch die Einhaltung von Vorschriften und Sicherheitsstandards.
Doch selbst mit CVE-Tracking und CVSS-Priorisierung besteht eine der größten Herausforderungen für Linux-Administratoren darin, Patches zeitnah anzuwenden, ohne den Betrieb zu unterbrechen.
Herkömmliche Patching-Methoden erfordern häufig einen Neustart des Systems, was zu Ausfallzeiten und Dienstunterbrechungen führt. Live-Patching löst dieses Problem, indem es die Bereitstellung von Kernel-Patches ohne Neustart des Systems ermöglicht.
KernelCare Enterprise von TuxCare bietet automatisiertes Live-Patching für Linux-Distributionen, so dass Sie Sicherheitsupdates sofort anwenden können, ohne einen Neustart durchführen zu müssen.
Durch die Vermeidung von Ausfallzeiten reduziert KernelCare das Zeitfenster, in dem Schwachstellen auftreten können, und behebt wichtige betriebliche Probleme bei gleichzeitiger Verbesserung der Sicherheit und Einhaltung von Vorschriften.
Abschließende Überlegungen zu CVSS und CVE und wie man sicher bleibt
CVEs bieten eine standardisierte Methode zur Identifizierung und Verfolgung von Sicherheitsrisiken, während CVSS eine klare numerische Bewertung des Schweregrads dieser Schwachstellen bietet. Die Transparenz und die verwertbaren Erkenntnisse, die sich aus den CVE- und CVSS-Scores ergeben, sind von unschätzbarem Wert. Sie geben Linux-Administratoren die Informationen an die Hand, die sie benötigen, um schnell und sicher zu handeln und die Systemsicherheit und -konformität zu gewährleisten.
Möchten Sie kritische Sicherheitslücken ohne Ausfallzeiten schließen? Schützen Sie Ihre Systeme mit den rebootless Patches von KernelCare.
