IT-Sicherheit Grundlagen: Schwachstellen erkennen

Schwachstellen sind ein wesentlicher Aspekt der IT-Sicherheit. Erst sie erlauben potenziellen Bedrohungen zu einer tatsächlichen Gefahr zu werden. Dieser Blogeintrag erklärt wesentliche Grundlagen dazu und gibt einen ersten Überblick in dieses weitreichende Thema.

Was sind Schwachstellen, Schwächen und Exploits in der IT-Sicherheit?

Es gibt drei zentrale Begriffe bei der Thematik:

Schwachstelle (Vulnerability): Eine konkrete Sicherheitslücke in einem bestimmten System, einer Softwareversion oder einem Prozess. Sie macht eine bestimmte Schwäche in einem realen Produkt zur Angriffsfläche.

Schwäche (englisch: Weakness): Eine grundsätzliche Kategorie von Designfehlern oder Implementierungsproblemen in Software oder Hardware. Ein klassisches Beispiel: „Buffer Overflow“ oder „Fehlende Eingabeprüfung“. 

Exploit: Die konkrete Möglichkeit zur Ausnutzung einer Schwachstelle – oft als fertiges Skript oder Werkzeug. Exploits werden nicht selten auch im Web veröffentlicht, wodurch ungepatchte Schwachstellen noch gefährlicher werden.

Wie werden IT-Sicherheitsschwachstellen mit CVE eindeutig benannt?

Um über Schwachstellen reden zu können, muss man ihnen einen bestimmten referenzierbaren Namen geben können. Dafür wurde das CVE-System (Common Vulnerabilities and Exposures) entwickelt. Es ist seit 1999 in Betrieb und stellt sicher, dass es weltweit eindeutige Bezeichner für konkrete Sicherheitslücken gibt.

Eine CVE-Kennung folgt dem Format CVE-[Jahr]-[laufende Nummer], also zum Beispiel CVE-2014-0160. Das Jahr gibt dabei den Zeitpunkt der Eintragung an. Die laufende Nummer ist fortlaufend.

CVE-Einträge werden von sogenannten CVE Numbering Authorities (CNAs) vergeben – das sind Organisationen wie Softwarehersteller, nationale CERTs oder Sicherheitsunternehmen, die Kennungen zuweisen dürfen.

Wie klassifizieren CWE und CPE Schwächen und betroffene Systeme?

CWE (Common Weakness Enumeration) klassifiziert die Art einer Schwäche, also den zugrundeliegenden Fehler. Eine konkrete Schwachstelle wie CVE-2014-0160 verweist auf CWE-125 – Out-of-bounds Read. Schwachstellen können anhand ihres Typs besser eingeschätzt werden.

CPE (Common Platform Enumeration) beschreibt das betroffene System in einem maschinenlesbaren Format. Ein CPE-Bezeichner wie cpe:2.3:a:openssl:openssl:*:*:*:*:*:*:*:* gibt an, dass es sich um eine Anwendung (a) des Herstellers openssl, Produkt openssl handelt. Die „*“ sind Wildcards für in diesem Beispiel Versions- und Plattform-Informationen.

Wie bewertet CVSS die Kritikalität von IT-Sicherheits-Schwachstellen?

Schwachstelle ist nicht gleich Schwachstelle und sie unterscheiden sich insbesondere in den durch ihre Ausnutzung möglichen Auswirkungen. Dafür gibt es das Common Vulnerability Scoring System (CVSS). 

CVSS besteht aus drei Teilscores:

•       Base Score: Beschreibt die intrinsischen Eigenschaften der Schwachstelle wie die Ausnutzbarkeit (lokal, remote) und Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. 

•       Temporal Score: Berücksichtigt zeitlich veränderliche Aspekte, beispielsweise ob bereits ein Exploit verfügbar ist, ein Patch existiert und wie zuverlässig die Informationslage ist.

•       Environmental Score: Er erlaubt es Organisationen, den Base Score auf ihre spezifische Infrastruktur anzupassen. Beispiel: Ein System ohne Internetanbindung bekommt effektiv ein niedrigeres Risikoprofil.

Der CVSS liefert einen standardisierten numerischen Score zwischen 0,0 und 10,0, der die Kritikalität einer Schwachstelle abbildet. Dabei wird oft nur der Base-Score angegeben, da die beiden anderen wichtigen Teilscores sich zeitlich verändern oder nur in bestimmten Umgebungen gültig sind.

Aktuell ist CVSS v4.0 die neueste Version, in der Praxis ist aber noch vielfach CVSS v3.1 anzutreffen. Version 4.0 bringt ein verfeinerteres Metriken-Schema und ergänzt die Teilscores um eine Supplemental-Gruppe für Faktoren wie Sicherheitsrelevanz und Automatisierbarkeit. Eine Umstellung dauert in der Realität, da viele Hersteller und Schwachstellendatenbanken dies koordiniert angehen müssen.

Welche Alternativen zum CVE-System gibt es?

In jüngerer Zeit haben sich einige Alternativen zum CVE gebildet, insbesondere um die zentrale Abhängigkeit zum aktuellen CVE-System abzuschwächen. Ein paar wichtige werden im Folgenden genannt.

Global CVE (GCVE)

Das Global CVE (GCVE) Allocation System ist ein dezentralisierter Ansatz zur Identifikation und Nummerierung von Sicherheitsschwachstellen. Er erlaubt unabhängige Numbering Authorities, Schwachstellen-IDs zuzuweisen, ohne auf zentral vorab zugeteilte Blöcke angewiesen zu sein. Dabei wird auf vollständige Kompatibilität zum bisherigen CVE-System geachtet. So lässt sich CVE-2014-0160 als GCVE-0-2014-0160 darstellen. Das Projekt wurde vom CERT Luxembourg ins Leben gerufen. Dazu gibt es auch unter db.gcve.eu eine moderne öffentlich zugängliche Schwachstellendatenbank, die Informationen aus vielen öffentlichen Quellen aggregiert und korreliert.

GitHub Advisory Database

GitHub betreibt mit der GitHub Advisory Database ein eigenes System zur Erfassung und Benennung von Sicherheitslücken, insbesondere in Open-Source-Software. Jede Advisory erhält eine eindeutige GHSA-ID (GitHub Security Advisory).

Die Identifier für Schwachstellen haben hier keine fortlaufende Nummer, wie es bei der CVE der Fall ist, sondern eine zufällig vergebene ID. Die CVE-2014-0160 hat hier beispielsweise die ID GHSA-w8r8-w5w4-4w4v.

European Vulnerability Database

Seit einem guten Jahr gibt es nun auch ein Pendant zur bekannten US-Amerikanischen National Vulnerability Database (NVD), die European Vulnerability Database (EUVD). Ihr Dasein gründet unmittelbar auf der NIS2-Richtlinie (Artikel 12). Die EU beschloss darin, eine eigene Schwachstellendatenbank zu pflegen. Jeder CVE-Eintrag erhält dabei eine eigene EUVD-Kennung – etwa EUVD-2014-0217 für CVE-2014-0160. 

Warum sind CVE, CVSS und Co. für IT-Sicherheit unverzichtbar?

Die Vielfalt an Alternativen sollte hier nicht unbedingt als unnötig und verwirrend abgestempelt werden. Vielmehr bieten sie alle unterschiedliche, aber verlässliche Informationsquellen, um sich selbst über Schwachstellen informieren zu können. Heutzutage sollte man nicht ausschließlich nur die CVE (auch wenn das noch der de-facto-Standard ist), sondern auch die anderen Datenbanken und Quellen miteinbeziehen. 

Der grundlegende Ablauf im Umgang mit Schwachstellen bleibt jedoch derselbe: Schwächen (CWE) und Schwachstellen (CVE, GCVE, …) verstehen, ihre Kritikalität einordnen (CVSS) und die eigene Umgebung auf Betroffenheit prüfen (u.a. CPE).

Wer die Grundlagen der IT-Sicherheit und den Umgang mit Schwachstellen versteht, kann aktuelle Bedrohungslagen besser einordnen und gezielter reagieren. Die Grundlage für ein strukturiertes Vorgehen ist ein risikogetriebener Ansatz mit klarer Kenntnis über vorhandene Bedrohungen, Schwachstellen, konkreten Gefährdungen und ihrem jeweiligen Risiko für Ihr Unternehmen. Wir von der März Datenverarbeitung und der Specific-Group unterstützen Sie gerne bei der Bewertung Ihres IT-Sicherheitsstands und bei der Konzeption sicherer und moderner Software- und Netzlösungen. 

Dieser Grundlagenteil ist Teil unserer Webinarreihe „Bedrohungslage im Cybersecuritybereich“. Haben Sie das Webinar verpasst? Hier finden Sie die Aufzeichnung aus Q1 und Aufzeichnung aus Q2. Vertiefen Sie Ihr Wissen rund um aktuelle IT-Sicherheits- und Schwachstellen-Themen.