Критичност
Какво всъщност означава „Критична“ и кой определя оценката.
Критичността помага да определите приоритета на корекциите. За да оцените резултатите, трябва да знаете как е определена. Публикуваме скалата си и обясняваме как я прилагаме към констатациите.
Констатациите се оценяват по бизнес риск — какво струва проблемът на вашата организация, ако бъде използван — като CVSS v3.1 информира оценката, но не я диктува.
| Оценка | Какво означава | Очаквана реакция |
|---|---|---|
| Критична (Critical) | Непосредствено тежко бизнес въздействие и реалистичен път за експлоатация. Обикновено води пряко до загуба на данни, финансова загуба или контрол над средата. | Отстранете незабавно и уведомете отговорните лица същия ден. Ако корекцията изисква време, приложете временни мерки за ограничаване на риска. |
| Висока (High) | Значително въздействие и реалистична възможност за експлоатация, макар да може да изисква позиция, акаунт или предварително условие. Често решаващото звено във верига. | Поправете в текущия цикъл. Не допускайте да влезе в общия списък със задачи. |
| Средна (Medium) | Умерено въздействие или сериозно въздействие, което зависи от условия извън пълния контрол на нападателя. | Планирайте отстраняване с договорен срок в следващия цикъл или два. |
| Ниска (Low) | Ограничено пряко въздействие. Укрепване на защитата и защита в дълбочина; полезно за нападател главно в комбинация с нещо друго. | Планирайте го наред със свързаната работа. |
| Информационна (Informational) | Няма пряко въздействие върху сигурността. Наблюдение или отклонение от добрата практика. | Отбележете го. Действайте по ваша преценка. |
CVSS
Как го използваме и къде спира
За констатациите, при които CVSS е приложим, включваме базова оценка и вектор наред с оценката ни за бизнес риска. Това позволява последователно сравнение на уязвимостите. Пропуските в контролите, установени при red team упражнения, се оценяват според оперативния им контекст, без да им се присвоява CVSS оценка.
Базовата оценка по CVSS описва техническите характеристики на уязвимостта. Тя не отчита напълно контекста на вашата организация: дали системата съдържа чувствителни данни, какви компенсиращи контроли действат и как прекъсването би засегнало бизнеса.
CVSS резултатът подпомага преценката за критичността. Ако бизнес рискът води до различна оценка, посочваме двете стойности и обясняваме разликата.
Широко известна уязвимост с висока CVSS оценка
в система, която не може да бъде достигната, не съдържа нищо и предстои да бъде изведена от употреба, ще бъде оценена като Ниска (Low) тук — и ще покажем как сме стигнали до него.
Проблем с по-ниска CVSS оценка
по пътя към най-чувствителните ви данни ще бъде оценен като Висока (High), защото точно толкова струва за някой, който ви атакува.
С какво ни обвързва това
Частта, която е лесно да се обърка
- Не преувеличаваме, за да оправдаем фактураНепроверените или маловажните сигнали затрудняват приоритизирането. Ако открием малко проблеми, докладът го посочва и описва извършените проверки, които подкрепят резултата.
- Не понижаваме оценката, за да изглежда резултатът по-добърНито нашият, нито вашият. Констатацията се оценява според това колко би ви струвала, ако бъде използвана, не според това как звучи в едно резюме.
- Констатациите, които не успяхме да възпроизведем, се отчитат като такиваЧестно, вместо да бъдат отхвърлени или преувеличени. Нещо, което сме видели веднъж и не можем да възпроизведем, ви е по-полезно като открит въпрос, отколкото като мълчание.
- Оценката се обяснява навсякъде, където се отклонява от резултатаКогато оценката ни за критичността се различава от базовата CVSS оценка, посочваме и двете и обясняваме причината.
Вижте го приложено
Всяка констатация в нашия примерен отчет от тест за проникване носи своята оценка, своя резултат и вектор по CVSS и обосновката зад двете. правилата на ангажимента излагат как сериозните констатации се ескалират, преди отчетът да бъде написан, а как се оформят ангажиментите описва какво даден ангажимент изобщо се опитва да докаже.
Често задавани въпроси
Въпроси за критичността
Използвате ли CVSS?
Да. Когато CVSS е приложим, включваме базова оценка и вектор по CVSS v3.1 наред с оценката ни за бизнес риска. Базовата оценка описва техническите характеристики на уязвимостта. Нашата оценка отчита и засегнатата система, данните и бизнес въздействието. Пропуските в контролите при red team упражнения се оценяват според оперативния контекст, без CVSS оценка.
Ами ако не сме съгласни с дадена оценка?
Обсъдете го с нас. Всяка оценка е придружена от обосновка. Допълнителна информация за компенсиращи контроли, мрежови ограничения или предстоящо извеждане на системата от употреба може да промени преценката. При необходимост актуализираме доклада.
Ще приеме ли нашият одитор тези оценки?
Предоставяме оценката, доказателствата и обосновката, както и CVSS оценка и вектор, когато са приложими. Вашият одитор или оценител решава дали доказателствата са достатъчни. Ние сме фирма за тестване, а не одитор или сертифициращ орган.
Означава ли критична констатация, че вече сме били компрометирани?
Не. Критичността описва възможното въздействие на атака. Тя не доказва, че такава вече е извършена. Ако открием признаци за реална компрометация, спираме засегнатата дейност, запазваме доказателствата и ви уведомяваме незабавно според правилата на ангажимента.
Искате това приложено към вашите системи?
Кажете ни какво искате да защитите. Опитен специалист ще ви помогне да определите обхвата и следващите стъпки. Обикновено отговаряме в рамките на един работен ден.
Поверителност от първия разговор
Можем да подпишем вашето NDA, преди да споделите чувствителни детайли. За запитването ви се прилага политиката ни за поверителност.
Как защитаваме информацията ви · Политика за поверителност