Wie gehen Sie bei der Priorisierung verantwortungsvoll mit CVSS um?

Beginnen Sie mit der Anwendbarkeit und lassen Sie die Richtlinien die endgültige Reihenfolge bestimmen.

Eine sinnvolle Reihenfolge ist:

  1. Überprüfen Sie, ob die Sicherheitslücke auf das Produkt zutrifft.
  2. Überprüfen Sie den CVSS-Basiswert und den CVSS-Vektor für dieses Produkt.
  3. aktuelle Bedrohungsinformationen und tatsächliche Umweltfaktoren hinzufügen;
  4. zusätzlichen Kontext einbeziehen, z. B. Sicherheit, Wiederherstellbarkeit und rechtliche Verpflichtungen;
  5. Wenden Sie Ihre eigenen Richtlinien für Priorität, Behandlung und Risikoakzeptanz an.
  6. Protokollieren Sie die Entscheidung und Begründung.

Dadurch entsteht keine automatische Reparaturliste, sondern eine Entscheidung, der man folgen kann. FIRST empfiehlt die Verwendung von Bedrohungs- und Umweltmetriken für ein aussagekräftigeres Ergebnis und nennt das Ergebnis ein Input für die eigene Verletzlichkeit und den Umgang mit Risiken.