Risikostufen für Schwachstellen
Klassifizierungsschema für Schwachstellen
Als Grundlage für die Bewertung von Schwachstellen dienen Informationen über den Status einer Schwachstelle, Art ihrer Ausnutzung, die durch die Ausnutzung erzielbare Schadenswirkung sowie konkrete Angriffsvoraussetzungen.
Ermittlung des Eintrittspotenzials
- Zur Ermittlung des Eintrittspotenzials werden grundsätzlich zwei Dimensionen in die Bewertung mit einbezogen
- der Status der Schwachstelle sowie
- die Art der Schwachstelle
Der Status einer Schwachstelle durchläuft einen Lebenszyklus
- dessen vier Zustände nachfolgend exemplarisch beschrieben werden
theoretisch
In dieser Phase wird z.B. ein (Programmier-)Fehler entdeckt, der eventuell zu einem Sicherheitsloch führen kann.
ausnutzbar
Erfolgt ein Proof of Concept einer Sicherheitslücke, so spricht DAF von einer ausnutzbaren Schwachstelle.
aktiv
Gibt es Anzeichen dafür, dass die Schwachstelle bereits ausgenutzt wird, so handelt es sich um eine aktive Schwachstelle (es ist beispielsweise ein Exploit verfügbar).
exploit veröffentlicht
Diese Phase ist erreicht, wenn für die Schwachstelle ein Angriffstool veröffentlicht wurde. Es wird dann von einer Schwachstelle mit veröffentlichem Exploit gesprochen. Insgesamt sinkt der Angriffsaufwand.
Die Art der Schwachstelle
- Die Dimension der Art der Ausnutzung bildet die unterschiedlichen Arten ab, eine Schwachstelle ausnutzen zu können.
- Man unterscheidet hier manuelle, automatisierte oder eine selbstreplizierend Ausnutzung.
- Bei der manuellen Ausnutzung muss der Angreifer nicht-automatisierbare Schritte ausführen, um den Angriff auf die Gegebenheiten des Angriffsziels anzupassen.
- Automatisierte Angriffe hingegen erlauben es, dass eine Schwachstelle sozusagen auf Knopfdruck ausgenutzt werden kann.
- Selbstreplizierende Angriffe schließlich können z.B. durch Wurmprogramme und Bots durchgeführt werden, die nach einem erfolgreichen Angriff ein System übernehmen bzw. nutzen, um darüber weitere Systeme anzugreifen.
- Aus den oben beschriebenen Dimensionen läßt sich ein Eintrittspotenzial (Dringlichkeit) ermitteln und wie folgt auf einer entsprechenden Skala von sehr gering bis sehr hoch abbilden.
- Die folgende Tabelle zeigt einen Überblick über die verschiedenen Kombinationen und enthält Vorschläge zur Ermittlung der Dringlichkeit bzw. des Eintrittspotenzials einer Schwachstelle.
Ermittlung des Schadenspotenzials
Die Bewertung des Schadenspotenzials erfolgt in direkter Abhängigkeit von der durch die Ausnutzung der Schwachstelle erzielten Auswirkung. Die notwendigen Angriffsvoraussetzungen für ein erfolgreiches Ausnutzen einer Sicherheitslücke werden bei dieser Herangehensweise als gegeben (worst case - Ansatz) angesehen. Zur Bewertung des Schadenspotenials betrachtet DAF, welche Sicherheitsziele verletzt werden können und in welchem Kontext dies geschehen kann. Neben den häufig aus der Literatur bekannten Sicherheitszielen: Integrität, Vertraulichkeit und Verfügbarkeit werden hier zusätzlich Verletzungen in Bezug auf die Systemkontrolle (teilweise oder vollständige Kontrolle durch einen Angreifer) sowie die Umgehung von Sicherheitsdiensten - z.B. durch das Außerkraftsetzen einer Firewall - betrachtet. Sicherheitsverletzungen können auftreten in Bezug auf:
- Person (Benutzer)
- Dienst (Anwendung)
- IT-System
- Netzwerk
- Die folgende Tabelle gibt einen Überblick über mögliche Kombinationen und enthält
Ermittlung des aktuellen Schadenspotenzials (Risikos)
Das aktuelle Schadenspotenzial berücksichtigt nun, in Abgrenzung zum oben beschriebenen allgemeinen Schadenspotenzial die in Abb.1 dargestellte Kombination der Faktoren "Eintrittspotenzial" und "Schadenspotenzial". In unseren CERT-Bund Veröffentlichungen wird die klientel-unabhängige Bewertung als "Risikostufe" angegeben.
Ermittlung des klientel-spezifischen Risikos
Liegen einem CERT detaillierte Informationen über die örtlichen Gegebenheiten beim Empfänger einer Sicherheitsmeldung vor, kann eine zielgruppenspezifische Bewertung des Risikos erfolgen. Unter Berücksichtigung der Angriffsvoraussetzungen und der eingesetzten IT-Systeme kann die Wahrscheinlichkeit für einen erfolgreichen Angriff beim Empfänger abgeschätzt werden. Zusammen mit der durch DAF eingeführten Messgröße -- aktuelles Schadenspotenzial -- kann das spezifische Risiko, bezogen auf eine Schwachstelle, abgeleitet werden.