İçeriğe geç
parazade
Siber Güvenlik & Dolandırıcılık

CVSS Ne Demek?

Yayın: · Son güncelleme:

CVSS Ne Demek? Kısaca

CVSS (Common Vulnerability Scoring System), güvenlik açıklarının ne kadar ciddi olduğunu 0 ile 10 arasında bir puanla ifade eden açık ve ortak bir derecelendirme sistemidir.

CVSS nedir?
İçindekiler
  1. CVSS ne demek?
  2. Puan aralıkları nasıl yorumlanır?
  3. Örnek: yama önceliği
  4. Nelere dikkat etmeli?

CVSS ne demek?

CVSS, Türkçede "ortak zafiyet puanlama sistemi" olarak anlatılabilir. Bir açığın ne kadar kolay kullanılabildiğini ve kullanıldığında ne kadar zarar verebileceğini tek bir puanda toplar. Standart, uluslararası bir güvenlik topluluğu olan FIRST tarafından yönetilir ve zaman içinde yeni sürümlerle güncellenir.

Puanın amacı, yüzlerce açık arasından hangisinin önce kapatılması gerektiğine karar vermeyi kolaylaştırmaktır.

Puan aralıkları nasıl yorumlanır?

Puan Ciddiyet
0,0 Yok
0,1 - 3,9 Düşük
4,0 - 6,9 Orta
7,0 - 8,9 Yüksek
9,0 - 10,0 Kritik

Puan hesaplanırken saldırının internet üzerinden yapılıp yapılamadığı, kullanıcı etkileşimi gerektirip gerektirmediği ve gizlilik, bütünlük ile erişilebilirliğe etkisi gibi ölçütler değerlendirilir.

Örnek: yama önceliği

Bir şirketin aynı hafta iki açıkla karşılaştığını varsayalım. Birincisi internetten, hiçbir şifre gerektirmeden sunucuda kod çalıştırmaya izin veriyor ve 9,8 puan almış. İkincisi yalnız ofis içindeki bir yazıcıyı etkiliyor ve 4,3 puan almış. Ekip mantıklı olarak önce birinci açığı kapatır.

Nelere dikkat etmeli?

CVSS genel bir ciddiyet ölçüsüdür, sizin sisteminize özel riski göstermez. Kritik puanlı bir açık, kullanmadığınız bir özellikteyse sizin için daha az acil olabilir. Bu yüzden kurumlar puanı kendi ortamlarıyla birlikte değerlendirir ve zafiyet yönetimi sürecine bu bilgiyle karar verir.

Sıkça Sorulan Sorular

CVSS ne demek, kim belirler?

CVSS, ortak zafiyet puanlama sistemidir. Standart FIRST tarafından yönetilir; bir açığın puanı ise genellikle üretici, güvenlik araştırmacısı ya da NVD gibi veritabanları tarafından hesaplanır.

CVSS puanı yüksekse panik yapmalı mıyım?

Panik gerekmez ama hızlı davranmak gerekir. Kullandığınız yazılımı etkileyen kritik puanlı bir açık için yama yayımlandıysa onu öncelikle uygulayın.

İlgili terimler

CVECVE (Common Vulnerabilities and Exposures), kamuya açıklanmış siber güvenlik açıklarına benzersiz bir kimlik numarası veren uluslararası bir listedir. Her açık CVE-yıl-sıra numarası biçiminde kodlanır.Güvenlik Açığı(Security Vulnerability)Güvenlik açığı (zafiyet), bir yazılımda, donanımda, ağ yapılandırmasında ya da iş sürecinde bulunan ve saldırganın izinsiz erişim veya zarar için kullanabileceği zayıf noktadır.Zafiyet Yönetimi(Vulnerability Management)Zafiyet yönetimi, bir kurumdaki güvenlik açıklarının sürekli olarak tespit edildiği, risk düzeyine göre önceliklendirildiği, giderildiği ve giderildiğinin doğrulandığı döngüsel güvenlik sürecidir.Risk Değerlendirmesi(Security Risk Assessment)Risk değerlendirmesi, bir kurumun bilgi varlıklarını, bunlara yönelik tehditleri ve açıkları belirleyip her riskin gerçekleşme olasılığını ve etkisini ölçerek hangi önlemlerin öncelikli olduğuna karar verme sürecidir.Puan(Reward Points)Puan, bankaların kredi kartı ve bazı banka kartı harcamaları karşılığında müşterilerine verdiği, alışverişte ya da borç ödemede para yerine kullanılabilen ödüldür. Genellikle belirli bir puan bir Türk lirası değerinde sayılır.DoS Saldırısı(DoS Attack)DoS (Denial of Service, hizmet engelleme) saldırısı, bir web sitesini, sunucuyu ya da ağ hizmetini aşırı istek veya hatalı veri göndererek gerçek kullanıcılara hizmet veremez hâle getirme girişimidir.