CVSS nedir?
CVSS (Common Vulnerability Scoring System), bir güvenlik açığının ciddiyetini 0 ile 10 arasında bir puanla ifade eden açık bir standarttır. Puan, açığın nasıl istismar edilebildiğine ve gizlilik, bütünlük ve erişilebilirlik üzerindeki etkisine göre hesaplanır.
Skor, farklı açıkları aynı ölçekte karşılaştırmayı kolaylaştırır. Ancak CVSS, sizin ortamınızdaki gerçek riski değil, açığın genel teknik ciddiyetini ölçer; bu ayrım doğru önceliklendirme için önemlidir.
Nasıl çalışır?
Puan, birkaç ölçüt grubundan türetilir. Temel ölçütler açığın doğasına aittir: saldırının ağdan yapılıp yapılamadığı, saldırının karmaşıklığı, kimlik doğrulama veya kullanıcı etkileşimi gerekip gerekmediği ve etkilenen güvenlik özellikleri. Zamansal ve çevresel ölçütler ise istismar koduna erişim ya da kurumunuzdaki varlığın önemi gibi bağlamı ekler.
Sonuç genellikle şu yazınsal aralıklarla özetlenir:
- Düşük, orta, yüksek ve kritik düzeyler.
- Her düzey, puan aralığıyla tanımlanır; kritik düzey en üst aralıktır.
- Puanın yanında, ölçütleri gösteren bir vektör dizgisi de verilir.
Sunucu ve hosting ortamında
Tarama raporlarında, dağıtım güvenlik bültenlerinde ve üretici duyurularında her açığın yanında bir CVSS puanı görürsünüz. Ancak puan tek başına karar vermeye yetmez. Ağdan erişilemeyen bir servisteki yüksek puanlı açık, internete açık bir web uygulamasındaki orta puanlı açıktan daha az acil olabilir.
Aynı açık, paylaşımlı hostingte sağlayıcı tarafından kapatılırken, kendi yönettiğiniz bir VPS’te sizin müdahalenizi bekler. Bu nedenle puanı, sunucunun internete açık olup olmadığıyla ve üzerinde barındırdığı verinin değeriyle birlikte okuyun.
Nelere dikkat edilmeli?
- Puanı tek ölçüt yapmayın; istismar durumunu ve erişilebilirliği de değerlendirin.
- Vektör dizgisini okuyun; ağdan, kimlik doğrulamasız saldırı mümkün mü diye bakın.
- İnternete açık servislerdeki açıkları iç ağdakilere göre öne alın.
- Farklı araçların aynı açığa farklı puan verebileceğini, CVSS sürümlerinin değişebileceğini unutmayın.
- Kritik puanlı açıklar için yama takvimini önceden belirleyin.
Sık yapılan hatalar
- Düşük puanlı açıkları tamamen yok saymak; zincirleme kullanıldıklarında etkileri artabilir.
- Yüksek puanı otomatik olarak acil saymak ve açığın sizin yapılandırmanızda erişilebilir olup olmadığına bakmamak.
- Farklı CVSS sürümlerinin puanlarını doğrudan karşılaştırmak.
- Puanı risk ile eş anlamlı görmek.
Sık sorulan sorular
CVSS puanı nedir ve nasıl okunur?
CVSS puanı, bir açığın teknik ciddiyetini 0-10 arasında gösterir. Puan yükseldikçe açığın istismarı daha kolay ya da etkisi daha büyük demektir; yine de bağlamınıza göre yorumlanmalıdır.
CVSS ile CVE arasındaki fark nedir?
CVE açığın kimlik numarasıdır, CVSS ise ciddiyet puanıdır. Bir açık CVE ile adlandırılır, CVSS ile ölçülür.
Yüksek CVSS puanı her zaman acil müdahale gerektirir mi?
Çoğu zaman öncelik vermeyi gerektirir ama otomatik değildir. Açığın ortamınızda erişilebilir olup olmadığı, istismar edilip edilmediği ve korunan verinin değeri aciliyeti belirler.
İlgili terimler
- DDoS (Dağıtık hizmet reddi)Çok sayıda kaynaktan eşzamanlı yapılan hizmet reddi saldırısı.
- Dizin geçişi (path traversal)Dosya yoluna ../ ekleyerek hedeflenen dizinin dışındaki dosyalara erişmek.
- DNS zehirlenmesi (DNS cache poisoning)DNS önbelleğine sahte kayıt yerleştirerek kullanıcıları yanlış adrese yönlendirmek.
- DoS (Hizmet reddi)Bir hizmeti kullanılamaz hale getirmeye yönelik saldırı.
- Exploit (istismar kodu)Bir güvenlik açığından yararlanan kod ya da yöntem.
- Fidye yazılımı (ransomware)Verileri şifreleyip açmak için ödeme isteyen zararlı yazılım.