در حال بارگذاری...
نحوه ارزیابی تأثیر آسیب‌پذیری‌ها و محاسبه ریسک با استفاده از CVSS و ماتریس‌های ریسک.
اهداف این درس
تأثیر (Impact) پیامدهای بهره‌برداری از آسیب‌پذیری است و ریسک (Risk) ترکیب تأثیر و احتمال بهره‌برداری. ارزیابی ریسک برای اولویت‌بندی رفع آسیب‌پذیری‌ها ضروری است.
ترکیب تأثیر و احتمال بهره‌برداری از آسیب‌پذیری.
| مؤلفه | توضیح | مثال تأثیر |
|---|---|---|
| محرمانگی (Confidentiality) | دسترسی غیرمجاز به اطلاعات | سرقت داده‌های کاربران |
| یکپارچگی (Integrity) | تغییر غیرمجاز اطلاعات | تغییر موجودی حساب |
| دسترسی‌پذیری (Availability) | عدم دسترسی به سرویس | انکار سرویس |
CVSS (Common Vulnerability Scoring System) سیستم استاندارد امتیازدهی آسیب‌پذیری‌ها است. از ۰ تا ۱۰ امتیازدهی می‌شود.
| معیار | توضیح | مقادیر |
|---|---|---|
| Attack Vector | نوع حمله | Network, Adjacent, Local, Physical |
| Attack Complexity | پیچیدگی حمله | Low, High |
| Privileges Required | سطح دسترسی مورد نیاز | None, Low, High |
| User Interaction | نیاز به تعامل کاربر | None, Required |
| Scope | دامنه تأثیر | Unchanged, Changed |
| Confidentiality | تأثیر بر محرمانگی | None, Low, High |
| Integrity | تأثیر بر یکپارچگی | None, Low, High |
| Availability | تأثیر بر دسترسی‌پذیری | None, Low, High |
1آسیب‌پذیری: SQL Injection در فرم ورود23Attack Vector: Network (0.85)4Attack Complexity: Low (0.77)5Privileges Required: None (0.85)6User Interaction: None (0.85)7Scope: Changed (1.08)8Confidentiality: High (0.56)9Integrity: High (0.56)10Availability: High (0.56)1112امتیاز Base: 9.8 (بحرانی)| تأثیر پایین | تأثیر متوسط | تأثیر بالا | تأثیر بحرانی | |
|---|---|---|---|---|
| احتمال بالا | متوسط | بالا | بحرانی | بحرانی |
| احتمال متوسط | پایین | متوسط | بالا | بحرانی |
| احتمال پایین | پایین | پایین | متوسط | بالا |
| احتمال بسیار پایین | اطلاعاتی | پایین | پایین | متوسط |
هشدار
هرگز ریسک را فقط بر اساس تأثیر فنی ارزیابی نکنید. تأثیر کسب‌وکار هم باید در نظر گرفته شود.
توصیه عملی
از ابزارهای محاسبه CVSS مثل FIRST CVSS Calculator استفاده کنید تا امتیازدهی دقیق و استاندارد داشته باشید.
ریسک = تأثیر × احتمال
CVSS از ۰ تا ۱۰ امتیازدهی می‌شود.
تأثیر شامل محرمانگی، یکپارچگی و دسترسی‌پذیری است.
ارزیابی ریسک باید از دید کسب‌وکار هم انجام شود.
CVSS از چند بخش تشکیل شده است؟
CVSS چیست و چگونه کار می‌کند؟
CVSS (Common Vulnerability Scoring System) سیستم استاندارد امتیازدهی آسیب‌پذیری‌ها است. از سه بخش Base، Temporal و Environmental تشکیل شده.
تأثیر آسیب‌پذیری شامل چه مواردی است؟
محرمانگی (Confidentiality)، یکپارچگی (Integrity) و دسترسی‌پذیری (Availability) که به CIA triad معروف است.
تفاوت severity و risk چیست؟
Severity شدت آسیب‌پذیری است اما risk ترکیب severity و احتمال بهره‌برداری است. یک آسیب‌پذیری با severity بالا ممکن است risk پایین داشته باشد.