CVE ve CVSS

Açılış

Pazartesi sabahı, Kaan'ın şirketinin zafiyet tarama aracı haftalık raporunu gönderdi. Rapor kırk iki sayfaydı. En üstte, kırmızı bir kutuda, "kritik" etiketli on bir bulgu vardı.

Kaan listeyi baştan sona okudu ve en yüksek puanlı bulguyu işaretledi: depodaki etiket yazıcılarından birinin yazılımında, on üzerinden 9,8 puanlı bir zafiyet. Hemen bir bilet açmak üzereydi ki Gülay Hanım masasının yanından geçerken durdu ve ekrana baktı.

"O yazıcı internete açık mı?" diye sordu.

Kaan kontrol etti. Değildi. Yazıcı, depo ağının içinde, yalnız etiket sunucusundan iş alan bir bölümdeydi.

Gülay Hanım listeyi aşağı kaydırdı ve yedinci sıradaki bir bulguyu gösterdi: şirketin uzaktan erişim cihazında 8,1 puanlı bir zafiyet. Cihaz internete açıktı ve bu zafiyet, Modül 8'de gördüğümüz bilinen istismar edilen açıklar listesine iki gün önce eklenmişti.

"Puan sana zafiyetin ne kadar kötü olabileceğini söyler," dedi Gülay Hanım. "Bizim için ne kadar kötü olduğunu söylemez. Önce bu."

Tek fikir

CVE bir zafiyete herkesin aynı adla anabileceği bir kimlik verir; CVSS onun ne kadar ağır olabileceğini puanlar. Ama yayımlanan puan çoğu zaman yalnız zafiyetin kendisini ölçer. Senin ortamın, saldırıların gerçekten yaşanıp yaşanmadığı ve varlığın değeri o puanın içinde yoktur.

Nasıl çalışır

Önceki ders zafiyetin üç kaynağını ayırmıştı. Bir zafiyet bulunduğunda dünyanın her yerindeki üreticiler, güvenlik ekipleri ve tarama araçları onun hakkında konuşmak zorundadır. Bunun için iki ortak dil kullanılır.

CVE numarası bir zafiyetin ne kadar tehlikeli olduğunu söylemez; yalnız hangisi olduğunu söyler. Önceki dersteki CWE bir zayıflık türünün adıydı, CVE ise tek bir üründe, tek bir sürümde yaşanmış somut olayın adıdır.

Ağırlığı anlatmak için ikinci dil gerekir.

Bu, dersin en önemli cümlesidir: bir üreticinin ya da ulusal bir veritabanının yayımladığı puan, çoğu zaman yalnız temel ölçütleri içerir ve tehdit ile çevre için en kötüsünü varsayar. Yani "bu zafiyet senin ortamında internete açıktır, herkes ondan haberdardır ve en değerli varlığındadır" diye düşünür. Bu varsayım bir üretici için mantıklıdır; senin ortamını bilemez. Ama senin için bu varsayım yanlış olabilir, iki yönde birden.

Kaan'ın etiket yazıcısı için yanlıştı: yazıcı internete açık değildi, ağa ancak etiket sunucusu üzerinden ulaşılabiliyordu, ve yazıcıda değerli bir veri yoktu. Çevre ölçütleri hesaba katılsa puan düşerdi.

Uzaktan erişim cihazı içinse varsayım eksikti: cihaz internete açıktı, bütün çalışanlar onun üzerinden bağlanıyordu, ve tehdit ölçütü artık "saldırıya uğramış" diyordu. 8,1 bir temel puandı; şirketin ortamında gerçek ağırlığı çok daha yüksekti.

Bir puana bakarken sorman gereken soruların çoğu bu yüzden puanın dışındadır. Bu varlık bende var mı? İnternete açık mı? Üzerinde ne var? Bu zafiyet gerçekten saldırılarda kullanılıyor mu? Modül 8'de tanımladığımız bilinen istismar edilen açıklar listesi son sorunun en hızlı cevabıdır; bir zafiyetin o listede olması, tehdit ölçütünün en ağır değerine işaret eder.

Sahada

Savunma

CVE ve CVSS'i doğru kullanmak, onları bir karar değil, bir kararın girdisi olarak görmekle başlar.

CVE numarasını envanterle eşleştir. Bir duyuru geldiğinde ilk soru "bu ürün bende var mı ve hangi sürümü" sorusudur. Envanter yoksa her haber bir panik, her rapor bir yüktür.

Puanın hangi ölçütlerle üretildiğine bak. Yayımlanan puanların çoğu yalnız temel ölçütlerdendir ve en kötü ortamı varsayar. Belge, puanın bu yüzden her gösterildiğinde etiketlenmesini önerir.

Tehdidi ekle. Zafiyet gerçek saldırılarda kullanılıyor mu? Bilinen istismar edilen açıklar listesi, üreticinin ve güvenlik kurumlarının duyuruları bu soruyu cevaplar. Saldırıda kullanılan orta puanlı bir zafiyet, kimsenin kullanmadığı kritik bir zafiyetten önce gelebilir.

Ortamı ekle. Varlık internete açık mı? Başka bir önlemin arkasında mı? Üzerinde ne kadar değerli bir veri ya da hizmet var? Bunlar çevre ölçütlerinin cevapladığı sorulardır ve onları ancak sen cevaplayabilirsin.

Yalnız puana göre sıralanan bir yama listesi, en kritik görünenleri önce kapatırken asıl tehlikeli olanı bekletebilir. Puan, tehdit ve ortam birlikte bir öncelik verir; bunu modülün dördüncü dersinde yama sürecine bağlayacağız.

Ve bir zafiyeti kapatamıyorsan, puanı neyin yüksek tuttuğuna bak: ağ üzerinden mi erişiliyor, kimlik doğrulama mı gerekmiyor? Bu sorular, yama gelene kadar alacağın geçici önlemi de gösterir.

Uygulama

Kendi kullandığın bir ürün için yayımlanmış bir zafiyeti bulup puanını kendi ortamına göre okuyacaksın.

Bittiğinde, seçtiğin zafiyetin CVE numarasını ve senin için önceliğini bir cümleyle not et.

Defter: Seçilen ürün ve zafiyetin CVE numarası, yayımlanan puan ve hangi ölçütlerle üretildiği, kendi sürümün, üç ortam sorusunun cevabı, senin için öncelik cümlesi.

Hata köşesi

Etik ve sınırlar

Bir zafiyet duyurusunu okumak ve onun puanını kendi ortamına göre değerlendirmek, savunmacının işidir. Aynı duyuruyu, kendi sistemin olmayan bir sistemde o zafiyetin bulunup bulunmadığını "denemek" için kullanmak ise, sistemin sahibinin yetkisi olmadan yapıldığında yetkisiz bir erişim girişimidir. İnternette bir ürünün hangi sürümünü kullanan sistemleri listeleyen hizmetler vardır; bunları kendi kurumunun dışa açık varlıklarını görmek için, kurumunun izniyle kullanabilirsin, ama başkalarının sistemlerini hedef listesine çevirmek için değil. Bir zafiyetin puanını kendi ortamına göre düşürmek de bir sorumluluktur: puanı düşürmenin gerekçesini yazılı olarak kaydedersin, çünkü yanlış bir düşürme, bir yamanın ertelenmesine ve bir olaya yol açabilir.

Kapanış

1. CVE bir zafiyete herkesin aynı adla anabileceği bir kimlik verir; CVSS ise onun ağırlığını sıfırdan ona bir puan ve bir vektör diziyle anlatır.
2. CVSS dört ölçüt grubundan oluşur: temel, tehdit, çevre ve ek. Yayımlanan puanlar çoğu zaman yalnız temel ölçütlerden üretilir ve tehdit ile ortam için en ağırını varsayar; puan, hangi ölçütlerle üretildiğiyle birlikte okunmalıdır.
3. Öncelik puandan değil, puanın yanına konan üç sorudan çıkar: bu varlık bende var mı ve internete açık mı, zafiyet gerçek saldırılarda kullanılıyor mu, varlığın üzerinde ne kadar değerli bir şey var?

Üç soru

1. Gülay Hanım, 9,8 puanlı yazıcı zafiyeti yerine neden önce 8,1 puanlı uzaktan erişim zafiyetinin kapatılmasını istedi?
2. Teknisyen, Defne Hanım'ın haberde duyduğu on puanlık zafiyet için neden "sizin için sıfır" dedi?
3. Bora görüntüleme cihazının puanını yeniden hesapladığında ne kazandı?

Yanıtlar

1. Yazıcının puanı yüksekti ama yazıcı internete kapalıydı, yalnız etiket sunucusundan iş alıyordu ve üzerinde değerli bir veri yoktu. Uzaktan erişim cihazı ise internete açıktı, bütün çalışanlar onu kullanıyordu ve zafiyet iki gün önce bilinen istismar edilen açıklar listesine eklenmişti. Tehdit ve ortam eklendiğinde 8,1 puanlı zafiyet gerçekte çok daha ağırdı.
2. Haberdeki ürün büyük şirketlerin kullandığı bir sunucu yazılımıydı ve büronun envanterinde yoktu. Bir zafiyetin puanı, o ürünü kullananlar için anlamlıdır; ürün yoksa zafiyetin büroya bir etkisi de yoktur. Envanter bu soruyu beş dakikada cevaplamayı sağladı.
3. Cihaz zaten ayrı bir ağ bölümündeydi ve yalnız arşiv sunucusuyla konuşabiliyordu; çevre ölçütlerini ekleyince puan düştü ama yüksek kaldı. Bu ona yamayı bekleyebileceğini, ama bekleme süresinde bağlantıları izlemesi ve üreticiden geçici bir önlem istemesi gerektiğini gösterdi.

Sonraki derse köprü

Bu derste bir zafiyetin yayımlandığını, bir numarası ve puanı olduğunu, yamasının da genellikle hazır beklediğini varsaydık. Ders 17.3, Sıfırıncı gün, bu varsayımın tutmadığı aralığa bakıyor: zafiyetin bilindiği ya da kullanıldığı ama henüz bir yamanın olmadığı zamana ve savunmacının o aralıktaki seçeneklerine.