Le Forum des équipes de réponse aux incidents et de sécurité (FIRST) a officiellement publié la version 4.0 du système commun d'évaluation des vulnérabilités (CVSS). Cette nouvelle version intervient quatre ans après la publication de CVSS v3.1. Elle marque une évolution significative de la norme d'évaluation de la gravité des vulnérabilités en matière de cybersécurité. Dans ce billet de blog, nous allons explorer les principales différences entre CVSS v4.0 et son prédécesseur, en soulignant l'impact de ces changements sur l'évaluation et la gestion des vulnérabilités.

Comprendre CVSS

Le système commun de notation des vulnérabilités est un cadre essentiel qui fournit un moyen normalisé d'évaluer la gravité des vulnérabilités de sécurité dans les logiciels. Son rôle principal est d'établir une méthode cohérente et objective pour évaluer l'impact des vulnérabilités. Pour ce faire, le CVSS évalue les principaux attributs d'une vulnérabilité, notamment son exploitabilité, ses effets sur l'intégrité, la disponibilité et la confidentialité du système, ainsi que le niveau de privilèges requis pour l'exploiter. Ces facteurs sont combinés pour générer un score numérique qui reflète la gravité de la vulnérabilité. Cette note peut ensuite être utilisée pour guider et hiérarchiser les efforts de réponse et d'atténuation.

Limites de CVSS v3.1 

CVSS v3.1 a été publiée en juin 2019 et s'est attachée à clarifier et à affiner les orientations de la version 3.0 plutôt qu'à introduire des changements substantiels dans le système de notation lui-même. L'un de ses principaux défis était la complexité du système de notation, qui conduisait souvent à des interprétations erronées de la part des professionnels de la cybersécurité. Cette complexité a eu pour conséquence que différentes personnes ou organisations ont attribué des notes incohérentes aux mêmes problèmes de sécurité.

Un autre problème important était l'incapacité du système à prendre pleinement en compte le contexte spécifique de l'organisation. contexte spécifique d'une organisation. Des facteurs tels que l'environnement unique, l'infrastructure ou les impacts spécifiques d'une vulnérabilité n'ont pas toujours été pris en compte de manière adéquate dans la notation, ce qui a conduit à des scores qui ne correspondaient pas toujours aux risques réels dans certains scénarios. CVSS v3.1 a également eu du mal à évaluer efficacement certains types de vulnérabilités, en particulier celles liées aux technologies opérationnelles (OT) et à l'Internet des objets (IoT). l'Internet des objets (IoT) et de l'Internet des objets (IoT).

Ces défis ont mis en évidence la nécessité d'un système de notation plus adaptable et plus sensible au contexte. Pour les organisations qui souhaitent mieux comprendre comment les vulnérabilités sont identifiées et notées, il est également utile d'examiner la différence entre CVE et CVSS. C'est ce qui a conduit à l'élaboration de CVSS v4.0, qui visait à combler ces lacunes et à fournir une évaluation plus complète et plus pertinente des vulnérabilités.

Figure 1 CVSS v3.1 vs CVSS v4.0. Crédit à Patrick Garrity

Nouveautés de CVSS v4.0

CVSS v4.0 n'est pas une simple mise à jour incrémentielle. Il s'agit d'une refonte complète conçue pour répondre aux défis et aux limites de CVSS v3.1. Voici les principales mises à jour :

• La version 4.0 du CVSS vise à réduire les incohérences dans l'évaluation des vulnérabilités, qui étaient fréquentes dans les versions précédentes, où différents évaluateurs pouvaient interpréter différemment l'impact d'une vulnérabilité, ce qui entraînait des scores différents. En fournissant des lignes directrices plus claires, la nouvelle version vise à éliminer ces ambiguïtés, garantissant une approche plus uniforme et plus cohérente de la notation entre les différents évaluateurs.
• La version 4.0 du CVSS améliore le niveau de détail de ses indicateurs de base, ce qui permet une évaluation plus précise des vulnérabilités. Contrairement à la version 3.1 du CVSS, par exemple, où une vulnérabilité pouvait simplement être classée comme présentant un niveau d’exploitabilité « faible », la version 4.0 propose une analyse plus approfondie. Elle décompose les vulnérabilités en sous-catégories plus spécifiques, telles que la complexité de l’exploitation et le niveau d’interaction requis de la part de l’utilisateur. Cette approche permet une évaluation plus nuancée et plus précise de chaque vulnérabilité.
• Dans la version précédente du CVSS, les mesures temporelles étaient complexes et nécessitaient souvent des jugements subjectifs concernant la fiabilité du code d'exploitation et la confiance dans les rapports de vulnérabilité. Dans la version 4.0 du CVSS, ces mesures, qui reflètent les aspects d'une vulnérabilité qui évoluent avec le temps, ont été rationalisées. Elles sont désormais regroupées dans la catégorie "Menace", l'accent étant mis sur la mesure "Maturité de l'exploitation". Cette restructuration simplifie le processus d'évaluation des vulnérabilités et réduit la dépendance à l'égard des évaluations subjectives.
• CVSS v4.0 adopte une nomenclature de notation claire et explicite qui comprend des combinaisons de notes de base (CVSS-B), de base + menace (CVSS-BT), de base + environnement (CVSS-BE) et de base + menace + environnement (CVSS-BTE). Ce nouveau système permet de résoudre le problème de la dépendance à l'égard de la seule note de base CVSS pour l'évaluation des risques. Il contribue à améliorer l'efficacité des évaluations des risques en tenant compte des exigences de sécurité spécifiques des différents environnements et de la présence de contrôles compensatoires.
• Dans la nouvelle version, CVSS élargit son champ d'application pour couvrir plus efficacement les environnements de technologie opérationnelle (OT), les systèmes de contrôle industriel et les dispositifs de l'Internet des objets (IoT). Cet élargissement de l'applicabilité est en grande partie dû à l'introduction d'une nouvelle métrique de sécurité. Cette métrique évalue spécifiquement l'impact potentiel sur la sécurité physique humaine en cas d'exploitation d'une vulnérabilité, soulignant les conséquences réelles des failles de sécurité dans ces environnements.
• CVSS v4.0 introduit le nouveau groupe de métriques supplémentaires, qui offre un aperçu plus approfondi de diverses caractéristiques supplémentaires d'une vulnérabilité. Ces caractéristiques ne modifient pas le score CVSS-BTE final, mais sont néanmoins essentielles pour une évaluation complète. Les métriques supplémentaires incluses sont les suivantes

• Sécurité: Cette mesure évalue le risque potentiel pour la sécurité physique des personnes en cas d'exploitation de la vulnérabilité.
• Automatisable: Il évalue la faisabilité de l'automatisation du processus d'exploitation de la vulnérabilité sur plusieurs cibles.
• Recouvrement: Cette mesure se concentre sur l'évaluation de la résilience d'un système et de sa capacité à se rétablir après une exploitation.
• Densité de la valeur: Elle mesure l'importance ou la valeur de la ressource affectée par la vulnérabilité.
• Effort de réponse à la vulnérabilité: Cette mesure évalue la quantité de ressources et d'efforts nécessaires pour traiter et remédier à la vulnérabilité.
• Urgence du fournisseur: Il s'agit d'une évaluation supplémentaire fournie par le fournisseur, qui met l'accent sur l'urgence de remédier à la vulnérabilité.

La dernière version du cadre CVSS souligne l'importance d'une évaluation complète qui va au-delà des indicateurs de base. Elle insiste sur la nécessité d'intégrer à la fois la menace et les paramètres contextuels, qui sont essentiels pour évaluer avec précision la probabilité qu'une vulnérabilité soit exploitée et pour comprendre l'étendue de son impact potentiel sur un environnement particulier. Pour déterminer avec précision la gravité d'une vulnérabilité dans chaque scénario, il est recommandé de prendre en compte tous les paramètres pertinents.

Implications pour l'industrie

CVSS v.4.0 devrait influencer de manière significative les professionnels de la cybersécurité en résolvant les principaux problèmes et limitations de la version actuelle 3.1. Grâce à sa clarté et à sa flexibilité accrues, ainsi qu'à une représentation plus précise des risques réels, le CVSS v.4.0 est conçu pour aider les organisations à hiérarchiser plus efficacement les vulnérabilités et à allouer des ressources pour les atténuer. Toutefois, il est important de noter que l'adaptation à cette nouvelle norme peut nécessiter du temps et des ressources pour ajuster les systèmes et former le personnel.

En savoir plus sur le système CVSS (Common Vulnerability Scoring System) dans l'EP3 de la série Youtube LinuxTalk with TuxCare.

Résumé

Nom de l'article

Maîtriser CVSS v4.0 : Guide essentiel pour les professionnels de la cybersécurité

Description

Découvrez les principales mises à jour de CVSS v4.0 pour une meilleure cybersécurité. Découvrez les nouvelles mesures, les impacts OT/IoT et comment vous adapter à ce changement.

Auteur

Artem Karasev

Nom de l'éditeur

de TuxCare

Logo de l'éditeur