Общие уязвимости и воздействия (CVE)

Простыми словами

CVE даёт известной уязвимости общий идентификатор, по которому разные вендоры, сканеры и базы могут говорить об одной записи. Номер CVE не показывает, насколько опасна уязвимость именно для конкретной организации.

Как применяется

Идентификатор CVE используют для сопоставления бюллетеней, затронутых версий, результатов сканирования и исправлений. Приоритет определяют дополнительно по экспозиции актива, наличию эксплуатации и последствиям.

Пример применения

В согласованных границах проверки специалист опирается на понятие «CVE (Common Vulnerabilities and Exposures)», сохраняет воспроизводимое доказательство и передаёт владельцу системы риск и способ исправления.

Не путать с

  • Управление уязвимостямиУправление уязвимостями — непрерывный процесс выявления, оценки, приоритизации, устранения и контроля слабостей в ИТ-среде.
  • Сканирование уязвимостейСканирование уязвимостей — автоматизированная проверка систем на известные слабости, ошибки конфигурации и признаки отсутствующих исправлений.
  • Приоритизация уязвимостейПриоритизация уязвимостей — определение очередности устранения с учётом риска, доступности эксплойта, ценности актива и компенсирующих мер.

Как это работает

  1. Зарезервировать идентификаторCNA назначает уникальный номер обнаруженной публично раскрываемой уязвимости.
  2. Опубликовать записьОписание связывает CVE с продуктом, затронутыми версиями и доступными ссылками.
  3. Сопоставить источникиВендоры и инструменты используют номер для одной и той же уязвимости.
  4. Оценить локальный рискОрганизация отдельно проверяет наличие, экспозицию, эксплуатацию и нужное исправление.

Частые вопросы

Что такое «CVE (Common Vulnerabilities and Exposures)» простыми словами?

Проще говоря, «CVE (Common Vulnerabilities and Exposures)» помогает команде найти или подтвердить слабое место, оценить реальный риск и проверить исправление. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.

Как «CVE (Common Vulnerabilities and Exposures)» применяют на практике?

В практике ИБ термин «CVE (Common Vulnerabilities and Exposures)» используют так: его применяют при поиске слабых мест, подтверждении эксплуатации, оценке риска и контроле исправлений. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.

Чем «CVE (Common Vulnerabilities and Exposures)» отличается от близких понятий?

«CVE (Common Vulnerabilities and Exposures)» описывает следующее: система идентификаторов публично известных уязвимостей; запись CVE не является сама по себе оценкой риска. «Управление уязвимостями» означает: непрерывный процесс выявления, оценки, приоритизации, устранения и контроля слабостей в ИТ-среде. Понятия могут использоваться вместе, но у них разные объект, назначение или этап работы.

CVE — система идентификаторов публично известных уязвимостей; запись CVE не является сама по себе оценкой риска.