Eine Schwachstelle hat einen CVSS-Basiswert von 9,8. Bedeutet das ein Risiko von 9,8 für Ihre Organisation?
Kurzantwort
Nein. Der CVSS-Basiswert spiegelt die Schwere einer Schwachstelle anhand ihrer inhärenten Eigenschaften wider; Ihre Umgebung ignoriert er. Threat- und Environmental-Metriken verfeinern ihn, und selbst dann sieht die Spezifikation das Ergebnis als Eingabe einer Risikobewertung, die auch Faktoren außerhalb von CVSS wie regulatorische Folgen oder Asset-Wert berücksichtigt. Priorisieren Sie mit Schwere, Ausnutzungshinweisen, Exposition und Geschäftskontext.
Scanner sortieren nach CVSS, und Teams halten die Zahl irgendwann für das Risiko. Interviewer mögen diese Frage, weil die Unterscheidung Patch-Prioritäten bestimmt.
Was der Basiswert ist
Die FIRST-Spezifikation sagt, der Basiswert „spiegelt die Schwere einer Schwachstelle anhand ihrer inhärenten Eigenschaften wider“. Er wird aus Eigenschaften der Lücke selbst berechnet, etwa Angriffsvektor und Auswirkung, und ist für alle Nutzer gleich.
Was es zusätzlich gibt
Threat-Metriken „passen die Schwere einer Schwachstelle an“ anhand von Faktoren wie der Reife von Exploits, und Environmental-Metriken „verfeinern den Schwerewert für eine konkrete IT-Umgebung“. Diese Informationen hat nur der Endanwender, der den Basiswert anreichern soll, um „eine umfassendere Eingabe für die organisationsspezifische Risikobewertung“ zu erhalten. Supplemental-Metriken ändern den Endwert nicht.
Risiko braucht mehr als CVSS
Die Spezifikation hält fest, dass CVSS in einen Schwachstellenmanagement-Prozess einfließen kann, der auch Faktoren außerhalb von CVSS berücksichtigt, etwa regulatorische Anforderungen und Reputationsschaden. In der Praxis: Kritikalität des Assets, Exposition, kompensierende Kontrollen und Ausnutzungshinweise.
Warum die Distraktoren verlocken
„Vollständige Risikobewertung“ ist, wie Dashboards es zeigen. „Bereits angepasst“ verkennt, wer die Umgebungsdaten hat.
Was Interviewer hören wollen
„CVSS-Basis ist Schwere, nicht Risiko; vor dem Priorisieren Bedrohung, Umgebung und Geschäftskontext ergänzen.“
Wahrscheinliche Anschlussfragen
- Welche CVSS-Metrikgruppen passen einen Wert an Ihre Umgebung an?
- Wie ergänzen EPSS oder der CISA-KEV-Katalog CVSS bei der Priorisierung?
- Wie erklären Sie der Führung, dass eine 7,5 auf einem exponierten Kernsystem vor einer 9,8 stehen kann?