Wanneer is een kritieke kwetsbaarheid daadwerkelijk ernstig?
Dagelijks duiken er tientallen nieuwe kwetsbaarheden op. Deze varieren sterk, met CVE scores van 0 tot 10. Hoe hoger de score, hoe alarmerender de berichtgeving. Opvallend is dat de gevaarlijkste cybergevaren lang niet altijd hoog op deze schaal scoren. Hoe weet je als organisatie wanneer een kwetsbaarheid daadwerkelijk ernstig is?
De meest prominente security incidenten van de afgelopen tien jaar laten zien dat kwetsbaarheden niet kritiek hoeven te zijn om levensgrote schade aan te richten. Zo zorgde de Heartbleed bug in OpenSSL, ontdekt in 2014, voor een wereldwijde security crisis. Echter suggereren de CVE scores van 5.0, medium, CVSS 2.0, en 7.5, hoog, CVSS 3.0, dat de kwetsbaarheid zelf niet kritiek is.
Er zijn uitzonderingen: het beruchte Log4Shell ontving binnen diezelfde schalen een 9.3, CVSS 2.0, en 10.0, CVSS 3.0. Hoewel er nog altijd talloze organisaties kwetsbaar zijn voor Log4Shell, hebben veel bedrijven actie ondernomen. De noodklok luiden kan dus zin hebben, maar als het te vaak gebeurt, verliest het zijn geloofwaardigheid. CVSS is tot nu toe daarin geen consistente raadgever geweest.
De bedoeling achter CVSS
De Amerikaanse overheidsorganisatie NIST is de grondlegger van de Common Vulnerability Scoring System, CVSS. Deze standaard is naar eigen zeggen goed geschikt als een gestandaardiseerd meetsysteem voor industrieen, organisaties en overheden die een accurate en consistente graadmeter voor de ernst van kwetsbaarheden nodig hebben.
Tip: Security voorspellingen 2024: BYOD, cyberdreigingen en zero trust
Maar: CVE scores meten niet het risico van een kwetsbaarheid, aldus NIST. Eind vorig jaar werd met de introductie van CVSS 4.0 veelgehoorde feedback verwerkt door FIRST, al sinds 2005 verantwoordelijk voor dergelijke vernieuwingen te brengen aan het scoresysteem. Naast aandacht voor OT en IoT gevaren zou de score nuttiger gemaakt worden om het daadwerkelijke gevaar van een kwetsbaarheid te beoordelen.
De verwachting is dus dat CVSS 4.0 beter overeenkomt met de realiteit van cybergevaren. Daar komen we later op terug. Hoe dan ook is de aanname dat hogere CVE scores gevaarlijker zijn, een hardnekkige. Eind vorig jaar bleek uit een CyRC rapport dat minder software systemen kwetsbaarheden bevatten dan voorheen. Tegelijkertijd steeg het percentage kritieke kwetsbaarheden, dat door een security advocate van Synopsys wordt vergeleken met een daling in verkeersongelukken en een toename in sterfgevallen.
Verder lezen bij de bronLees ons boek
Gemeenten. Bewustzijn. Privacy.
Nieuwsbrief
Deze versturen we 3-4x per jaar.
Recente blogs
Meer recente berichten
Impact van generative AI op cybersecurity landschap groeit | Verder lezen | |
Politie luidt noodklok over encryptie op digitale platforms in Nederland | Verder lezen | |
Voorwaarden burgers en zorgverleners bij delen gegevens | Verder lezen | |
Tot 10 miljoen boete voor onaangepaste cyberbeveiliging | Verder lezen | |
Hoe AI de SOC expert te hulp schiet | Verder lezen | |
Kinderporno opsporen met detectiesoftware op mobiel: experts tegen EU wetsvoorstel | Verder lezen | |
Zoom scherpt privacybeleid voor Europese gebruikers verder aan als resultaat van samenwerking met SURF | Verder lezen | |
Applicatiebeveiliging in Nederland schiet flink tekort | Verder lezen | |
Nederlandse cyberexperts waarschuwen voor aanval gijzelsoftware | Verder lezen | |
Betaaldienst Klarna moet toch hogere boete betalen voor overtreden AVG | Verder lezen |