Schwachstelle

Eine Schwachstelle ist eine Schwäche, die von einer Bedrohungsquelle in internen Kontrollen, Verfahren zur Systemsicherheit, einem Informationssystem oder der Implementierung ausgenutzt oder ausgelöst werden könnte. Eine Schwäche ist gleichbedeutend mit einem Mangel und kann zu Sicherheits- oder Datenschutzrisiken oder beidem führen.

Im Bereich der Cybersicherheit bezeichnet eine Schwachstelle eine Sicherheitslücke, die in einem Betriebssystem, in Systemsoftware oder in einer Anwendungskomponente existiert. Jede Schwachstelle kann das System oder Netzwerk potenziell gefährden, wenn sie ausgenutzt wird.

Es gibt mehrere öffentlich zugängliche Datenbanken für Schwachstellen, die manchmal auf den Versionsnummern von Software basieren. Common Vulnerabilities and Exposures (CVE) ist ein gängiges Verfahren zur Auflistung öffentlich bekannter Informationssicherheitslücken, das von der MITRE Corporation betrieben wird.

CVE-Kennungen weisen jeder Schwachstelle einen eindeutigen Namen bzw. eine eindeutige Nummer zu. Das Common Vulnerability Scoring System (CVSS) ist ein offener Industriestandard, der von FIRST.Org, Inc. (FIRST), einer gemeinnützigen Organisation mit Sitz in den USA, verwaltet und betrieben wird.

CVSS 3.1 bestimmt die Schwere einer Schwachstelle anhand der folgenden Metriken:

Basiskennzahlen

• Zugriffsvektor (welcher Zugriff erforderlich ist: lokal, angrenzendes Netzwerk, Netzwerk, physisch)
• Zugriffs-Komplexität (wie einfach oder schwierig es ist, eine Schwachstelle auszunutzen)
• Erforderliche Berechtigungen (welches Berechtigungsniveau ein Angreifer benötigt, um die Schwachstelle erfolgreich auszunutzen)
• Benutzerinteraktion (ob der Angreifer einen separaten Benutzer oder einen vom Benutzer initiierten Prozess benötigt, um die Schwachstelle auszunutzen)

Auswirkungsmetriken

• Geltungsbereich (ob eine Schwachstelle in einer Komponente Auswirkungen auf Ressourcen außerhalb ihres Sicherheitsbereichs hat)
• Vertraulichkeit (wird die Vertraulichkeit der Daten beeinträchtigt)
• Integrität (welche Auswirkungen hat es auf die Integrität des Systems)
• Verfügbarkeit (wird das System voll funktionsfähig bleiben, eine verringerte Leistung oder eingeschränkte Funktionen aufweisen oder nicht verfügbar sein)

Ein Fehler kann das Ergebnis eines schlechten Designs oder von Implementierungsfehlern sein und führt zu unbeabsichtigter Funktionalität. Es gibt außerdem temporale Metriken (Reifegrad des Exploit-Codes, Behebungsstand und Berichtvertrauen) sowie Umweltmetriken (modifizierte Basismetriken und Anforderungen an Vertraulichkeit, Integrität und Verfügbarkeit).

Die Common Weakness Enumeration (CWE) ist eine Liste von Schwachstellen in Software und Hardware, die sicherheitsrelevant sind. Die Schwere der Schwachstellen wird mit dem Common Weakness Scoring System (CWSS™) und dem Common Weakness Risk Analysis Framework (CWRAF™) bewertet. Die Bewertung basiert auf grundlegenden Erkenntnissen, der Angriffsfläche und umgebungsbezogenen Metriken. Ein Angreifer kann Schwachstellen, Fehler oder Benutzerfehler einzeln ausnutzen oder sie kombinieren, um einen Angriff durchzuführen. Diese Metriken helfen Incident-Response-Teams und Cybersicherheitsfachleuten, das Bedrohungsniveau einer Schwachstelle zu bestimmen und die beste Vorgehensweise zu wählen.