Введение
В настоящее время все большую актуальность приобретает задача разработки стандартизированных и эффективных методик управления информацией и событиями безопасности. Одной из таких инициатив является комплекс работ по созданию протокола SCAP (Security Content Automation Protocol). SCAP — это спецификация, которая объединяет ряд стандартов для унифицированного управления данными по безопасности. SCAP позволяет составить список используемых в системе платформ и приложений, задать особенности их конфигурации, неблагоприятно влияющие на защищенность, специфицировать список уязвимостей, оценить неблагоприятное влияние конфигураций и уязвимостей, выявить наиболее критичные уязвимости (обнаружить присутствие уязвимостей и присвоить им оценки критичности). Последний этап, связанный с эффективной оценкой и приоритезацией уязвимостей, является востребованной на сегодняшний день проблемой, так как позволяет сфокусироваться на наиболее важных для снижения общих бизнес-рисков проблемах безопасности.
В рамках протокола SCAP для этой цели предлагается использовать систему оценивания уязвимостей CVSS. Данная система относится к группе методик применения комплексных показателей оценки уязвимостей. CVSS компенсирует многие недостатки других методов оценки уязвимостей, расширяя их за счет включения дополнительных показателей и их четкого определения. Принятие общего метода оценки уязвимостей важно для унифицированного и эффективного управления рисками различными организациями.
Цель данной статьи проанализировать систему оценки уязвимостей CVSS и примеры практического применения данного стандарта.
< ... >
