(Кибер) Риск = Вероятность возникновения x Ущерб

[Father]

Вот как повысить вашу киберустойчивость с помощью CVSS
В конце 2023 года была представлена Общая система оценки уязвимостей (CVSS) версии 4.0, пришедшая на смену CVSS версии 3.0 восьмилетней давности, с целью улучшения оценки уязвимости как для промышленности, так и для общественности. В этой последней версии введены дополнительные показатели, такие как безопасность и автоматизация, чтобы ответить на критику по поводу недостаточной детализации, а также представлена пересмотренная система начисления баллов для более полной оценки. Это еще раз подчеркивает важность учета показателей окружающей среды и угроз наряду с базовым показателем для точной оценки уязвимостей.

Почему это имеет значение?​

Основная цель CVSS - оценить риск, связанный с уязвимостью. Некоторые уязвимости, особенно обнаруженные в сетевых продуктах, представляют явный и значительный риск, поскольку злоумышленники, не прошедшие проверку подлинности, могут легко использовать их для получения удаленного контроля над уязвимыми системами. Эти уязвимости часто использовались на протяжении многих лет, часто служа входными точками для атак программ-вымогателей.

Системы оценки уязвимости используют заранее определенные факторы для объективной количественной оценки вероятности возникновения уязвимостей и потенциального воздействия. Среди этих систем CVSS стала международно признанным стандартом для описания ключевых характеристик уязвимости и определения уровней серьезности.

CVSS оценивает уязвимости на основе различных критериев, используя показатели с предопределенными параметрами для каждого показателя. Эти показатели способствуют вычислению показателя серьезности в диапазоне от 0.0 до 10.0, при этом 10.0 представляет собой наивысший уровень серьезности. Затем эти числовые показатели сопоставляются качественным категориям, таким как "Нет", "Низкий", "Средний", "Высокий" и "Критический", что отражает терминологию, обычно используемую в отчетах об уязвимостях.

Показатели, используемые для определения степени тяжести, подразделяются на три группы:

1. Базовые показатели
2. Временные показатели
3. Экологические показатели

Каждая группа предоставляет конкретную информацию о различных аспектах уязвимости, помогая во всесторонней оценке ее серьезности и потенциального воздействия.

За счет использования общих идентификаторов уязвимости и подверженности (CVE):

• компании могут эффективно отслеживать известные уязвимости в своих системах, что позволяет им выделять ресурсы для исправления ошибок в зависимости от уровня риска, создаваемого каждой уязвимостью.
• Они обеспечивают эффективное использование ограниченных ресурсов для решения важнейших проблем безопасности.
• Стандартизация с помощью CVSS и CVE улучшает взаимодействие между инструментами и системами безопасности, позволяя более точно обнаруживать потенциальные угрозы и реагировать на них за счет сопоставления сетевых событий с известными уязвимостями.
• Интеграция каналов анализа угроз в инструменты безопасности облегчается CVSS и CVE, что позволяет выявлять угрозы и расставлять приоритеты на основе их связи с известными CVE.
• Знание показателей CVSS и идентификаторов CVE также позволяет быстрее и эффективнее реагировать на инциденты, благодаря инструментам, автоматически сопоставляющим сетевые события с соответствующими CVE, чтобы предоставить командам безопасности полезную информацию для оперативного смягчения последствий.
• Понимание CVSS и CVE помогает компаниям выполнять требования соответствия нормативным требованиям, позволяя им выявлять, расставлять приоритеты и устранять уязвимости в соответствии с нормативной базой.

CVSS помогает оценить серьезность уязвимости, позволяя компаниям эффективно расставлять приоритеты в исправлениях и усилиях по смягчению последствий, сосредоточив ресурсы в первую очередь на устранении критических уязвимостей.

Где это используется?​

Такие инструменты безопасности, как EDR, выигрывают от регулярного включения данных, полученных из авторитетных баз данных CVE. Эти базы данных предоставляют подробную информацию об известных уязвимостях, включая их уникальные идентификаторы CVE и соответствующие оценки CVSS.

1. Согласовывая CVE с сигнатурами, EDR разрабатывает правила или сигнатуры на основе сведений о CVE, при этом каждая сигнатура соответствует конкретной уязвимости, идентифицированной ее CVE.
2. При обнаружении активности, соответствующей сигнатуре, EDR запускает оповещение.
3. Впоследствии EDR могут препятствовать работе или изолировать конечные точки в ответ на предупреждения, связанные с CVE.
4. Службы безопасности обычно используют несколько баз данных CVE для мониторинга уязвимостей и обновления своего арсенала средств безопасности для защиты клиентов от потенциальных угроз.

Результат: при возникновении нового CVE решение EDR оперативно обновляется с учетом его сигнатуры, что позволяет превентивно блокировать атаки нулевого дня на периферии сети, часто до развертывания исправлений поставщика на уязвимых системах.

Хотя EDR и брандмауэры эффективно препятствуют попыткам использования известных CVE, они обычно сталкиваются с проблемами при разработке общих правил и проведении анализа поведения для выявления атак с использованием новых или незнакомых векторов угроз.

Сетевое обнаружение и реагирование (NDR) выходит за рамки типичных предложений EDR, поскольку включает целостный подход к кибербезопасности. NDR сочетает в себе возможности скоринга (например, CVSS) и машинного обучения. В то время как EDR в первую очередь полагается на обнаружение на основе сигнатур, NDR дополняет это обнаружением аномалий на основе поведения.

Это позволяет ИТ-отделу идентифицировать угрозы от известных CVE, а также новые и появляющиеся векторы атак. Анализируя отклонения и аномалии, NDR обнаруживает подозрительные модели поведения еще до того, как будут доступны конкретные сигнатуры. Он основан не только на исторических данных, но и адаптируется к развивающимся угрозам.

Больше, чем известных уязвимостей​

В то время как EDR превосходит известные уязвимости, NDR расширяет свои возможности для атак нулевого дня и неизвестных векторов угроз. Он не ждет обновлений CVE, а проактивно выявляет аномальные действия. Он отслеживает сетевой трафик, поведение пользователей и системные взаимодействия. Если активность отклоняется от нормы, он выдает предупреждения, независимо от того, связан ли конкретный CVE. NDR постоянно извлекает уроки из поведения сети. Он адаптируется к изменениям, что делает его эффективным против новых методов атаки.

Даже если вектор атаки ранее не был замечен, NDR может выдавать предупреждения на основе аномального поведения. И последнее, но не менее важное: NDR не ограничивается конечными точками. ИТ-отдел отслеживает действия в масштабах всей сети, обеспечивая более широкий контекст. Возможности NDR позволяют ит-отделу сопоставлять события по всей инфраструктуре.

В сочетании с EDR NDR быстро реагирует на угрозы. Он не полагается исключительно на правила, основанные на конечных точках, но учитывает шаблоны в масштабах всей сети.

Сделайте его подсчитываемым!​

Оповещение на основе рисков (RBA) становится краеугольным камнем эффективности кибербезопасности, используя подход динамического обнаружения угроз и реагирования. Распределяя приоритеты оповещений в соответствии с заранее установленными уровнями риска, RBA оптимизирует усилия, позволяя командам безопасности сосредоточиться на том, что наиболее важно, тем самым сокращая объем оповещений и оптимизируя распределение ресурсов. CVSS действует как важнейший элемент эффективного управления рисками, предлагая стандартизированную структуру для оценки уязвимостей на основе их серьезности. Уязвимости с высокой оценкой, указывающие на высокую возможность использования или воздействие, требуют немедленного внимания и надежных мер защиты.

Сочетание CVSS с подходом, основанным на оценке рисков, позволяет организациям выявлять и устранять уязвимости, активно укрепляя свою киберзащиту. Понимание CVSS и CVE улучшает оценку рисков, помогая в распределении ресурсов и определении приоритетности усилий по исправлению положения.

NDR интегрирует оценку риска в свою основную функциональность, поэтому вы устанавливаете приоритетность оповещений на основе серьезности и потенциального воздействия. Вы можете настроить пороговые значения оповещений в соответствии с их допустимостью к риску, обеспечивая релевантные оповещения и оптимизируя распределение ресурсов при одновременном снижении шума.

В сочетании с решениями NDR эффективность RBA возрастает. NDR использует алгоритмы непрерывного мониторинга и машинного обучения для получения информации о сетевой активности в режиме реального времени, позволяя оперативно реагировать на потенциальные угрозы путем оценки риска, связанного с обнаруженными событиями.

NDR, ML, RBA и CVS в совокупности повышают эффективность мер безопасности и управления рисками в сфере кибербезопасности:

• Алгоритмы ML от NDR позволяют обнаруживать угрозы на ранней стадии путем анализа аномалий, основанных на поведении, что способствует принятию упреждающих мер безопасности.
• Аналитические данные, основанные на ОД, постоянно отслеживают сетевой трафик и поведение пользователей, улучшая оценку рисков и позволяя оперативно реагировать на потенциальные риски.
• Таким образом, интегрируя CVSS и ML, NDR обеспечивает уверенность в навигации в сложных ландшафтах кибербезопасности и позволяет повысить эффективность использования ресурсов за счет упорядоченного оповещения на основе заранее определенных уровней риска.

Используя показатели CVSS, NDR предлагает детальную оценку рисков и определяет приоритетность предупреждений на основе серьезности уязвимости, обеспечивая быстрое реагирование на предупреждения высокой степени серьезности, связанные с CVE. Организации могут настраивать пороговые значения оповещений на основе оценок CVSS, сосредоточив усилия на уязвимостях, превышающих определенные пороговые значения. Интеграция показателей CVSS и идентификаторов CVE контекстуализирует оповещение, ориентирует на принятие обоснованных решений при реагировании на инцидент и определяет приоритетность усилий по устранению последствий в зависимости от степени серьезности.

Резюме​

Понимание CVSS и CVE жизненно важно для компаний и групп безопасности. Компании выигрывают от эффективного распределения ресурсов на основе идентификаторов CVE для определения приоритетности исправлений. Стандартизация с помощью CVSS и CVE улучшает взаимодействие между инструментами безопасности, способствуя точному обнаружению угроз и реагированию на них.

NDR, интегрирующий CVSS и ML, превосходит EDR благодаря обнаружению аномалий на основе поведения, выявляя угрозы, выходящие за рамки известных CVE. Адаптивность NDR к развивающимся угрозам и возможности мониторинга в масштабах всей сети делают его эффективным против атак нулевого дня и неизвестных векторов угроз. Загрузите наш буклет CVSS, чтобы узнать больше!