Kirish: Common Vulnerability Scoring System nima?
Common Vulnerability Scoring System (CVSS) — kiberxavfsizlikdagi zaifliklar (vulnerability) uchun xavf darajasini raqamli mezonlar asosida baholashga mo‘ljallangan standart hisoblash tizimidir. Maqsad — turli manbalar va jamoalar bir xil turdagi zaifliklarni solishtirishlari uchun bir xil “tillar to‘plami”ni berish.
CVSS natijasi odatda “bal” (masalan, 0 dan 10 gacha) va xavf toifasi bilan ifodalanadi. Bu bal avtomatik “qay darajada tez tuzatish kerak” kabi qarorlarni to‘liq o‘rnini bosa olmaydi, lekin ustuvorlik (priority)ni shakllantirishda amaliy yordam beradi.
CVSS oilasi: CVSS v2, CVSS v3 va v4 farqi
CVSS turli versiyalarda chiqib, mezonlar tuzilishi va hisoblash usuli yangilanib borgan. CVSS v2 (2007-yillar atrofida) dan keyin CVSS v3 (2015-yil atrofida) amaliyotda keng tarqaldi, so‘ng CVSS v4 (2023-yil atrofida) ishlab chiqildi va mezonlar modernizatsiya qilindi.
Odatda nashrlar va skanerlar CVSS v3.x (masalan, v3.1) yoki CVSS v4 qiymatlarini ko‘rsatadi. Agar siz mahsulot rejalashtirishida “bal”ga tayanayotgan bo‘lsangiz, qaysi versiya ishlatilayotganini tekshirish shart: bir xil “10” ko‘rsatsa ham, mexanizm turlicha bo‘lishi mumkin.
CVSS qanday ishlaydi: hisoblash zanjiri (asosiy bo‘limlar)
CVSS hisoblashida bir nechta “komponent” ishlatiladi. Amaliy tavsif sifatida CVSS v3.xda odatda 3 ta bo‘lim ko‘rsatiladi: Base (asosiy), Temporal (vaqt bo‘yicha), Environmental (muhit bo‘yicha). Base — eng barqaror qism; Temporal va Environmental esa real foydalanish sharoitiga bog‘liq bo‘lishi mumkin.
Hisoblash mantig‘ini tushunish uchun CVSS v3.xdagi Base ball mantiqiy ketma-ketligini ko‘rish foydali: avvalo hujumning boshlang‘ich sharti (Attack Vector) aniqlanadi, so‘ng ta’sir yo‘nalishlari (Impact) va zaiflikning ekspluatatsiya qilinishi (Exploitability) baholanadi. So‘ng natijalar formula orqali 0 dan 10 gacha raqamga aylantiriladi.
Base metriku: Exploitability va Impact
CVSS Base odatda ikki katta blokka ajraladi: ekspluatatsiya imkoniyati (Exploitability) va ta’sir (Impact). Exploitability blokida odatda 3 ta metrik: Attack Vector, Attack Complexity va Privileges Required ko‘riladi; Impact blokida esa odatda CIA yo‘nalishlari (Confidentiality, Integrity, Availability) bo‘yicha zararlanish darajasi belgilanadi.
Masalan, Attack Vector “Network” bo‘lsa, hujum masofadan amalga oshirilishi mumkinligini bildiradi; “Local” esa zaiflik faqat foydalanuvchi mashinasida yoki mahalliy sharoitda ishlatilishini anglatadi. Shunga o‘xshash, Privileges Required “None” bo‘lsa, tajovuzkor qo‘shimcha huquq olmasdan ham yo‘llanma (exploit)ga o‘tishi mumkin degan signal beriladi.
Tarix: CVSS qanday paydo bo‘lgan va nimaga almashtirilgan?
CVSS konsepsiyasi zaifliklar bo‘yicha “xuddi bir xil savolga turlicha javob” muammosini kamaytirish uchun paydo bo‘lgan: bir hisobotda “juda kritik” deyilgan, boshqasida “o‘rtacha” deyilgan, ammo mezonlar farq qilgan. Shu sabab 2000-yillar oxirida standartlashgan ballash tizimi ehtiyoji kuchaydi.
Amaliy yo‘nalishda CVSS v2 paydo bo‘lgach, jamoalar uni keng ishlata boshladi. Keyinroq aniqlik va moslashuvchanlik talablar ortgani sabab CVSS v3 (2015-yil atrofida keng yoyilgan) kiritildi: u metrikalar tuzilishini yaxshiladi va real xavfga yaqinroq tasvirlashga mo‘ljallandi. Eng so‘nggi bosqich sifatida CVSS v4 mezonlarni yana ham qayta ko‘rib chiqdi va tizimni modern muhitlar hamda tahlil uslublariga moslashtirishni ko‘zladi.
Amaliy: CVSS ballini ishlatishda qanday sozlash va qaror qabul qilish kerak?
Amaliyotda eng ko‘p xato qilinadigan joy — “Base ball”ni ko‘r-ko‘rona ustuvorlikka tenglashtirish. Base ball muhitdan qat’i nazar zaiflikning umumiy xususiyatini tasvirlaydi. Sizning serverlaringizga kirish yo‘li, tarmoq segmentatsiyasi, foydalanuvchilar profili va mavjud himoya mexanizmlari esa ko‘pincha Temporal va Environmental metrikalar orqali hisobga olinadi.
Shuning uchun amaliy yo‘l quyidagicha: (1) avval Base ballga qarab ishlar ro‘yxatini filtrlang, (2) keyin Environmental/Context bilan o‘zingizning muhitga moslang, (3) so‘ng ekspluatatsiya ehtimoli va mavjud deteksiya/mitigatsiya holatiga qarab jadval tuzing.
Environmental (muhitga bog‘liq) sozlashda tipik mezonlar
Environmental sozlamalarda odatda aktivingiz (asset) qiymati, zaiflikdan kutiladigan ta’sirning siz uchun dolzarbligi va “exposure” darajasi aks ettiriladi. Masalan, hujum masofadan bo‘lsa ham, agar segmentatsiya sababli tizimingizga yo‘l yopilgan bo‘lsa, real xavf Base ball ko‘rsatganidan pastroq chiqishi mumkin.
Yana bir misol: CIA bo‘yicha (maxfiylik, yaxlitlik, mavjudlik) siz uchun eng muhim yo‘nalish qaysi ekanini belgilang. Agar zaiflik Integrityga ta’sir qilsa, lekin real operatsiyangizda Integrity eng katta xavf bo‘lsa, Environmental ta’sir ko‘rsatkichi yuqoriroq chiqadi.
CVSSga tayanishda uchta tipik xato
- Versiyani tekshirmaslik: v3.x va v4 orasida metrik talqini va hisoblash yondashuvi farq qilishi mumkin.
- “10” deganidan shoshilinch tuzatishni kafolat deb qabul qilish: real ekspozitsiya, mitigatsiya va deteksiya imkoniyatlari ham rol o‘ynaydi.
- Environmental sozlamani umuman ishlatmaslik: tashkilotning o‘ziga xos aktiv qiymati va tarmoq holati hisobga olinmasa, prioritizatsiya noto‘g‘ri bo‘lib qoladi.
Taqqoslash: CVSS o‘rnini bosadigan yoki o‘xshash yondashuvlar nimasi bilan farq qiladi?
CVSS — zaiflikning “tayyor bahosi”ni beradi. Biroq ba’zi tashkilotlar “real risk”ni hisoblashda aktiv qiymati, tahdid manbalari ehtimoli, atrof-muhit sharoiti va hodisa tarixini birlashtiradigan risk modellaridan foydalanadi. Bu yondashuvlar CVSS bilan birga ishlatilganda ustuvorlik yanada to‘g‘ri chiqadi.
Quyidagi jadvalda CVSS va “risk scoring”ga yaqin yondashuvlar o‘rtasidagi asosiy farqlar umumiy tarzda ko‘rsatilgan.
| Mavzu | CVSS | Riskga yo‘naltirilgan scoring |
|---|---|---|
| Asos | Zaiflik xususiyatlari (ekspluatatsiya yo‘li va ta’sir) | Zaiflik + tahdid ehtimoli + aktiv qiymati + nazoratlar |
| O‘rganiladigan vaqt | Base/Temporal/Environmental komponentlari orqali tuziladi | Ko‘pincha hodisa va monitoring ma’lumotlari bilan yangilanadi |
| Natija | Standartlashtirilgan bal va toifa | Real kontekstga yaqinroq risk indeksi |
| Solishtrish | Turli tashkilotlar o‘rtasida aniqroq solishtiriladi | Model farq qilgani sabab solishtirish qiyinroq bo‘lishi mumkin |
FAQ
CVSS ballini qayerdan ko‘rishadi?
Ko‘pincha zaifliklar katalogi va hisobotlarda CVSS Base/Temporal/Environmental natijalari bilan birga beriladi. Shuningdek, skanerlar va SBOM asosidagi tizimlar ham CVSS qiymatini chiqarishi mumkin. Har doim ko‘rsatilgan versiyani (masalan, v3.1 yoki v4) ko‘ring.
CVSS “zarar bo‘ladi” deb kafolatlaptimi?
Yo‘q. CVSS hujumning potentsial ta’sirini baholaydi, lekin real ekspluatatsiya bo‘lishi yoki bo‘lmasligi uchun tahdid manbasi, ekspozitsiya darajasi va mavjud himoya nazoratlari kabi omillar ham kerak bo‘ladi.
Base ballni nega har doim birinchi o‘rinda ishlatishmaydi?
Chunki Base ball muhitga bog‘liq bo‘lmagan umumiy xususiyatni beradi. Agar tizimlar segmentatsiya qilingan, kirish yo‘li cheklangan yoki vaqtinchalik mitigatsiyalar mavjud bo‘lsa, real xavf Temporal va Environmental komponentlar bilan qayta baholanishi maqsadga muvofiq.
Temporal komponent nimani anglatadi?
Temporal metrikalar zaiflikning vaqt bo‘yicha holatini hisobga oladi. Masalan, ekspluatatsiya uchun ishlaydigan vositalar paydo bo‘lgan-bo‘lmagani, ishlab chiqilgan tuzatma mavjudligi kabi omillar Temporal qiymatga ta’sir qilishi mumkin.
Environmental komponentni to‘g‘ri sozlamasam nima bo‘ladi?
Odatda prioritizatsiya xatoga uchraydi: muhim aktivlar yetarlicha “og‘ir” bo‘lmay qolishi yoki aksincha, ahamiyati past aktivlar yuqori tartibga chiqib ketishi mumkin. Environmental sozlashni aktivlar ro‘yxati va real tarmoq ekspozitsiyasiga tayangan holda qilish kerak.
CVSS v3.x va v4 o‘rtasida natijalar to‘g‘ridan-to‘g‘ri solishtiriladimi?
Faqat qisman. Ikkala versiyada ham 0–10 oralig‘idagi bal ko‘rsatilsa-da, metrikalar talqini va hisoblash mexanizmi farq qilishi mumkin. Shuning uchun solishtirishda aynan qaysi versiya ishlatilganini tekshirish lozim.
Xulosa
CVSS — zaifliklarni baholash uchun standartlashtirilgan raqamli tizim bo‘lib, u Base/Temporal/Environmental komponentlar orqali “umumiy potentsial” va “sizning muhitdagi real dolzarblik”ni ajratishga yordam beradi. Uni to‘g‘ri qo‘llash uchun versiya va komponentlar (Base vs Environmental)ni ajratib o‘qish muhim.
Agar siz zaifliklarni prioritizatsiya qilmoqchi bo‘lsangiz, CVSS ballini birlamchi filtr sifatida ishlating, so‘ng esa ekspozitsiya, mitigatsiya va aktiv qiymatiga tayangan kontekstli yondashuv bilan yakuniy qarorga keling.
