Was ist CVE? Häufige Schwachstellen und Gefährdungen erklärt

Häufige Schwachstellen und Risiken, oft einfach als CVE bekannt, ist eine Liste öffentlich bekannter Sicherheitslücken in Computersystemen. CVE ist eine öffentliche Ressource, die kostenlos heruntergeladen und genutzt werden kann. Diese Liste hilft IT-Teams, ihre Sicherheitsmaßnahmen zu priorisieren, Informationen zu teilen und proaktiv Gefährdungs- oder Schwachstellen anzugehen. Dadurch werden Systeme und Netzwerke sicherer und schädliche Cyberangriffe verhindert. Ein grundlegendes Verständnis dessen, was das CVE-Projekt ist und wie CVE funktioniert, kann Organisationen helfen, diese Ressource besser zu nutzen und dazu beizutragen.

Der Hintergrund von CVE

CVE wurde 1999 entwickelt, zu einer Zeit, als die meisten Cybersecurity-Tools eigene Datenbanken und eigene Namen für Schwachstellen verwendeten. Da die verfügbaren Produkte so stark variierten, war es schwer zu erkennen, wann verschiedene Datenbanken sich auf dasselbe Problem bezogen. Dies führte zu Lücken in der Sicherheitsabdeckung und erschwerte es, ein gutes System für Interoperabilität zwischen verschiedenen Datenbanken und Tools zu schaffen. Um diese Probleme zu lösen, wurde das CVE entwickelt, um eine gemeinsame, standardisierte Identifikation zu ermöglichen. Dadurch wurden diese zugrundeliegenden Bedenken adressiert und IT-Fachkräfte konnten Informationen über Schwachstellen austauschen und gemeinsam daran arbeiten, diese Probleme zu identifizieren und anzugehen. Daher ist es zum Industriestandard für die Identifizierung von Schwachstellen und Risiken geworden und wird von der CVE Numbering Authority, dem CVE Board und vielen branchenführenden Produkten und Dienstleistungen unterstützt. Im Kern bietet CVE Referenzpunkte, damit verschiedene Produkte und Dienstleistungen kommunizieren können. Dies führt zu Interoperabilität und besserer Sicherheitsabdeckung. Darüber hinaus schafft es eine Grundlage für die Bewertung von Dienstleistungen, Werkzeugen und Datenbanken. Das CVE wird von der MITRE Corporation verwaltet, einer gemeinnützigen Organisation, die bundesfinanzierte Forschungs- und Entwicklungszentren verwaltet, die US-Regierungsbehörden unterstützen. MITRE ist verantwortlich für die Pflege des CVE-Wörterbuchs und der öffentlichen Website. Dieses Projekt wird von der Cybersecurity and Infrastructure Agency des Department of Homeland Security finanziert.

Wer leitet die CVE-Bemühungen

Ein Großteil des Erfolgs der Bemühungen des CVE-Projekts beruht darauf, dass es eine gemeinsame Anstrengung der internationalen Cybersicherheitsgemeinschaft war. Dies hat die Liste umfassend gemacht, was wiederum dazu geführt hat, dass mehr Menschen Dienstleistungen und Produkte nutzen, die mit CVE kompatibel sind. Die wichtigsten Akteure, die zum CVE beitragen, sind die CVE-Nummerierungsbehörde, das CVE-Board und der CVE-Sponsor. Die CVE-Nummerierungsbehörde (CNA) vergibt CVE-Identifikationsnummern. CNAs erhalten einen Block von CVE-Nummern, die sie in Reserve halten und vergeben können, sobald Probleme entdeckt werden. Es gibt in der Regel etwa 100 CNAs, und diese Gruppe umfasst Schwachstellenforscher; Anbieter und Projekte; nationale und industrielle CERTs; sowie Bug-Bounty-Programme. Das CVE-Board ist damit beauftragt, sicherzustellen, dass das CVE-Programm die Bedürfnisse der globalen Cybersicherheitsgemeinschaft zur Schwachstellenidentifikation erfüllt. Er überwacht die CVE, gibt Input zur strategischen Ausrichtung der CVE und setzt sich für die CVE ein. Der CVE-Vorstand umfasst Cybersicherheitsorganisationen, Anbieter von kommerziellen Sicherheitswerkzeugen, Mitglieder der Wissenschaft und Forschungseinrichtungen, Mitglieder von Regierungsabteilungen und -behörden sowie Sicherheitsexperten. Der SVE-Sponsor ist die Cybersicherheits- und Infrastruktursicherheitsbehörde des US-Heimatschutzministeriums. CISA ist für die Finanzierung des CVE-Projekts verantwortlich.

Die Grundlagen von CVE in der Cybersicherheit

CVE besteht aus einer Liste von Einträgen, von denen jeder eine Identifikationsnummer, eine Beschreibung und eine öffentliche Referenz hat. Jede CVE listet eine spezifische Schwachstelle oder Exposition auf. Laut CVE-Website wird eine Schwachstelle als Fehler im Softwarecode definiert, der Angreifern direkten Zugriff auf ein System oder Netzwerk gewährt. Diese Art des Zugriffs ermöglicht es einem Angreifer, Superuser oder Systemadministrator mit vollen Rechten zu werden. Im Gegensatz dazu ist eine Exposition ein Fehler, der einem Angreifer indirekten Zugang zu einem System oder Netzwerk verschafft. Dieser Zugriff ermöglicht es einem Angreifer, Kundendaten zum Verkauf zu sammeln. Im Allgemeinen erstellt das CVE-Projekt ein System zur Identifizierung und Organisation von Schwachstellen und Expositionen. Der erste Schritt zur Erstellung einer CVE-Liste ist die Identifizierung einer Schwachstelle oder einer Exposition. Anschließend wird der Schwachstelle vom CNA mit einer CVE-Identifikationsnummer versehen. Der CNA schreibt dann eine Beschreibung des Problems und stellt Referenzen bereit. Schließlich wird der abgeschlossene CVE-Eintrag der CVE-Liste hinzugefügt und auf der CVE-Website veröffentlicht. CVE bietet für jede spezifische Exposition oder Schwachstelle eine einzige, eindeutige Identifikator. Es ist erwähnenswert, dass es eher einem Wörterbuch als einer Datenbank ähnelt. Die Beschreibung für jeden Eintrag ist kurz und enthält keine technischen Daten, Informationen zu spezifischen Auswirkungen oder Informationen zu Fehlerbehebungen. Stattdessen finden sich diese Informationen in anderen Datenbanken, zum Beispiel in der U.S. National Vulnerability Database (NVD) oder der CERT/CC Vulnerability Notes Database.

Verständnis von CVE-Kennungen

Wenn man von CVE spricht, bezieht man sich meist auf eine bestimmte Identifikationsnummer. Diese gängigen Identifikatoren, sogenannte CVEs, CVE-IDs oder CVE-Nummern, sorgen für Konsistenz beim Diskutieren oder Teilen von Informationen über spezifische Schwachstellen. CVE-Kennungen können von CNAs oder direkt von MITRE ausgestellt werden. Tausende von CVE-IDs werden jedes Jahr vergeben, und ein einziges komplexes Projekt, wie ein Betriebssystem, kann Hunderte von CVEs haben. Schwachstellen oder Risiken, die eine CVE-Identifikatorin benötigen, können von jedem identifiziert werden – von einem Forscher, Anbieter oder sogar einem versierten Nutzer. Tatsächlich bieten einige Anbieter sogar "Bug Bonnties" an, um die Offenlegung von Fehlern zu fördern. Allerdings werden nicht alle Fehler mit einer CVE versehen. Um eine CVE-ID zugewiesen zu bekommen, muss das Problem sein:

• Unabhängig behebbar, das heißt, sie können unabhängig von anderen Fehlern behoben werden
• Vom Software- oder Hardwareanbieter bestätigt ODER mit einem Schwachstellenbericht dokumentiert
• Dies betrifft nur eine Codebasis. Wenn ein Fehler mehr als ein Produkt betrifft, erhält jedes Produkt seine eigene CVE-ID.

Es ist erwähnenswert, dass, um sicherzustellen, dass Informationen in der CVE-Liste nicht von Cyberangreifern ausgenutzt werden, manchmal ein CVE zugewiesen wird, bevor eine öffentliche Sicherheitswarnung herausgegeben wird. Um das Risiko von Angriffen zu verringern, sobald eine Schwachstelle identifiziert ist, werden sie oft geheim gehalten, bis eine Lösung entwickelt und getestet wurde.

Vorteile von CVEs

Die Erstellung von CVEs kommt der Cybersicherheitsgemeinschaft auf verschiedene Weise zugute:

• Standardisieren Sie die Identifikation. Durch die Erstellung einer eindeutigen Kennung für jede Schwachstelle haben Cybersicherheitsfachleute eine klare und konsistente Möglichkeit, diese Probleme über Tools, Plattformen und Organisationen hinweg zu verfolgen.
• Bessere Kommunikation. CVEs beseitigen die Verwirrung, die entsteht, wenn Personen aus mehreren Organisationen spezifische Schwachstellen diskutieren.
• Verbesserung der Interoperabilität. Da CVEs weltweit weit verbreitet vertrauenswürdig und genutzt werden, unterstützen sie die Kompatibilität über verschiedene Tools hinweg.
• Unterstützung von Zusammenarbeit und Informationsaustausch. Nutzer und Anbieter können zusammenarbeiten, um die Meldung von Schwachstellen zu vereinfachen, Patches zu verwalten und Updates zu optimieren.
• Fördern Sie proaktive Sicherheit. Organisationen können Schwachstellen kontinuierlich überwachen, indem sie Zugang zu CVEs haben, und Anbieter haben einen klaren Anreiz, Probleme offenzulegen und zu beheben.
• Bewerten Sie die Sicherheitsabdeckung. CVEs sind nützlich, um Angriffsmuster zu untersuchen, und können mit Bedrohungsinformationen integriert werden, um Organisationen bewusster und besser vorbereitet zu werden.
• Priorisieren Sie Schwachstellen. Schwachstellen können mit dem Common Vulnerability Scoring System (CVSS) bewertet werden, sodass Organisationen Ressourcen zunächst auf kritische Risiken konzentrieren können.
• Optimieren Sie den Zugang zu Informationen. Mit Schwachstellen in einem zentralen Repository können Nutzer danach suchen und sie finden, wodurch die Zeit für das Sammeln von Informationen über Bedrohungen verkürzt wird.
• Unterstützen Sie Automatisierung. Nutzer können das Scannen nach Schwachstellen und das Management von Patches automatisieren, was Zeit und Aufwand spart.

Die Zukunft der CVEs

Das CVE-Projekt ist eine großartige Ressource für alle IT-Organisationen. Besonders wichtig ist es für Forscher und Produktentwickler, CVE-Einträge zu nutzen und Produkte und Dienstleistungen zu nutzen, die mit CVE kompatibel sind. Außerdem ist es wichtig, stets nach Schwachstellen in Software zu suchen und alle zu teilen, die Ihre Organisation bei der Nutzung von Open-Source-Software findet. Darüber hinaus ist es entscheidend, intern und extern über Schwachstellen zu kommunizieren, um Angriffe zu verhindern und Probleme effizient zu lösen. Obwohl CVE-Einträge eine großartige Ressource sind, ist es entscheidend, alle Einträge zu analysieren, die für Produkte Ihrer Organisation gelten. Nicht alle Probleme gelten in allen Situationen, und wann immer sie anwendbar sind, ist es notwendig, ein Schwachstellenmanagement durchzuführen, um Risiken zu priorisieren. Das Common Vulnerability Scoring System (CVSS) ist eine beliebte Methode, um das Schwergewicht einer Schwachstelle zu bestimmen und anschließend Cybersicherheitsmaßnahmen zu priorisieren. Das CVSS bietet offene Standards, um einer Schwachstelle eine Nummer oder Bewertung zuzuweisen. Diese Werte reichen von 0,0 bis 10,0, und je höher die Zahl, desto größer die Schwere der Werte. Die Nutzung des CVSS oder eines ähnlichen Systems ist ein zentraler Aspekt des Schwachstellenmanagements und kann helfen, die Cybersicherheitsbeschäftigungen effektiv zu fokussieren.

Sicherheits- und Compliance-Leitfaden

1. Schlimmste Datenpannen des Jahres 2021: 4 kritische Beispiele
2. Was ist die CIA-Sicherheitstriade? Vertraulichkeit, Integrität, Verfügbarkeit erklärt
3. Was ist InfoSec? Informationssicherheit erklärt
4. Was ist CVE? Häufige Schwachstellen und Gefährdungen erklärt
5. Einführung in die SOX-Konformität
6. IT-Sicherheitszertifikate: Eine Einführung
7. Certified Information Systems Security Professional (CISSP): Eine Einführung
8. Certified Information Systems Auditor (CISA): Eine Einführung

Diese Beiträge sind meine eigenen und spiegeln nicht unbedingt die Position, Strategien oder Meinung von BMC wider.