de Deutsch en English
binsec GmbH

Common Vulnerability Scoring System (CVSS)

Wie bei einer Schätzung üblich, werden verschiedene Pentester zu unterschiedlichen Risikobewertungen gelangen, da ihre Wahrnehmung und Erfahrungen uneinheitlich sind – selbst, wenn sie sich auf dasselbe Bewertungsschema beziehen. Jedoch benötigen gerade regulatorische Stellen wie das Regierungspräsidium Darmstadt ein einheitliches System, da sie konkrete Anforderungen und Maßnahmen definieren müssen. Infolgedessen fordern sie von Pentestern eine Risikobewertung nach dem Common Vulnerability Scoring System (CVSS) durchzuführen. Bei diesem handelt es sich um ein metrisches Bewertungsschema, welches einer Schwachstelle eine Punktzahl bzw. einen Score zwischen 0 und 10 zuweist – je höher der Score desto gravierender ist das Risiko einer Schwachstelle:

Score Risiko
9,0 - 10 Kritisch
7,0 - 8,9 Hoch
4,0 - 6,9 Mittel
0,1 - 3,9 Gering

Eine CVSS-Bewertung kann auch als Vektorzeichenfolge dargestellt werden. Hierbei handelt es sich um eine komprimierte Textdarstellung der Werte, mit denen das Risiko einer Schwachstelle abgeleitet wurde. Eine Schwachstelle würde beispielsweise mit einer 10.0 bzw. in Vektorschreibweise mit CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:H bewertet werden, wenn diese jederzeit über das Internet ohne Zugangsdaten in einem Dienst ausgenutzt werden kann und als Folge die drei Schutzziele der Informationssicherheit (Vertraulichkeit, Integrität und Verfügbarkeit) verletzen würde. Der o.g. CVSS-Vektor setzt sich dabei aus den folgenden Merkmalen zusammen:

  • Attack Vector (AV): Network (N)
  • Attack Complexity (AC): Low (L)
  • Privileges Required (PR): None (N)
  • User Interaction (UI): None (N)
  • Scope (S): Changed (C)
  • Confidentiality (C): High (H)
  • Integrity (I): High (H)
  • Availability (A): High (H)

Für eine detaillierte Beschreibung der Kriterien und der Scorewertberechnung möchten wir auf die offizielle Dokumentation des Common Vulnerability Scoring System verweisen: CVSS Calculator

Letzte Änderung: 2022-12-15

Pentest Training

Werfen Sie einen Blick auf die Kapitel vom Pentest Training und lernen Sie Pentesting:

  1. Vorwort
  2. Einführung
  3. Rechtliche Rahmenbedingungen
  4. Hacking vs. Penetration-Testing
  5. Klassifizierung
  6. Aussagekraft von Penetrationstest
  7. Penetration-Testing-Standards
  8. Der Hacking-Leitfaden
  9. Vorführung eines Pentests
  10. Risikobewertung von identifizierten Schwachstellen
  11. Aufbau Dokumentation und Berichterstellung
  12. Plauderei aus dem Nähkästchen: Insights von Dubius Payment Ltd.

Kursinformationen Penetrationstest

Über das Pentest Training

Entdecken Sie die Welt des Penetration Testing. Lernen Sie Netzwerke zu infiltrieren sowie erfolgreich Systeme und Anwendungen zu penetrieren. Eignen Sie sich das notwendige Hacking-Handwerkszeug an und setzen Sie es bei der Durchführung von profesionellen Penetrationstest ein. Werden Sie zum Penetrationstester. Hier finden Sie die öffentlichen und kostenlosen Unterlagen zum Pentest Training der binsec academy GmbH. Die binsec academy GmbH bietet die dazugehörigen virtuellen Labor-Umgebungen und Zertifizierungen an. Das vermittelte Wissen zu Hacking and Penetration Testing ist aber allgemeingültig.

Über binsec academy GmbH

Die binsec academy GmbH ist der europäische Anbieter für Online Security Trainings mit virtuellen Labor-Umgebungen. Kernbestandteil aller Security Trainings ist die Vermittlung von Praxis, Praxis und nochmals Praxis. Im Wiki finden Sie hier die öffentlichen und frei verfügbaren Kurs-Materialien. Die Theorie in die Praxis umsetzen, können sie auf binsec-academy.com.

Keywords