Wie gehen Sie bei der Priorisierung verantwortungsvoll mit CVSS um?
Beginnen Sie mit der Anwendbarkeit und lassen Sie die Richtlinien die endgültige Reihenfolge bestimmen.
Eine sinnvolle Reihenfolge ist:
- Überprüfen Sie, ob die Sicherheitslücke auf das Produkt zutrifft.
- Überprüfen Sie den CVSS-Basiswert und den CVSS-Vektor für dieses Produkt.
- aktuelle Bedrohungsinformationen und tatsächliche Umweltfaktoren hinzufügen;
- zusätzlichen Kontext einbeziehen, z. B. Sicherheit, Wiederherstellbarkeit und rechtliche Verpflichtungen;
- Wenden Sie Ihre eigenen Richtlinien für Priorität, Behandlung und Risikoakzeptanz an.
- Protokollieren Sie die Entscheidung und Begründung.
Dadurch entsteht keine automatische Reparaturliste, sondern eine Entscheidung, der man folgen kann. FIRST empfiehlt die Verwendung von Bedrohungs- und Umweltmetriken für ein aussagekräftigeres Ergebnis und nennt das Ergebnis ein Input für die eigene Verletzlichkeit und den Umgang mit Risiken.