Hệ Thống Đánh Giá Lỗ Hổng Bảo Mật¶

Common Vulnerabilities and Exposures (CVE)¶

Common Vulnerabilities and Exposures (CVE) là một hệ thống danh mục tham chiếu tiêu chuẩn cho các lỗ hổng bảo mật đã được công khai. Mỗi CVE có một định danh duy nhất giúp dễ dàng chia sẻ thông tin giữa các công cụ, dịch vụ và cơ sở dữ liệu bảo mật.

Cấu Trúc CVE ID¶

Một CVE ID có định dạng: CVE-Năm-Số Ví dụ: CVE-2022-12345

Thông Tin Trong Bản Ghi CVE¶

Mỗi bản ghi CVE thường bao gồm:

ID định danh
Mô tả lỗ hổng
Tham chiếu đến các nguồn thông tin liên quan
Ngày công bố/cập nhật
Mức độ nghiêm trọng (thường dựa trên điểm CVSS)

Common Vulnerability Scoring System (CVSS)¶

CVSS là hệ thống chuẩn công nghiệp để đánh giá mức độ nghiêm trọng của các lỗ hổng bảo mật máy tính. Amazon Inspector sử dụng CVSS để gán điểm rủi ro cho các lỗ hổng được phát hiện.

Thang Điểm CVSS¶

CVSS sử dụng thang điểm từ 0.0 đến 10.0, được phân loại như sau:

Điểm CVSS	Mức độ nghiêm trọng
0.0	Không
0.1 - 3.9	Thấp
4.0 - 6.9	Trung bình
7.0 - 8.9	Cao
9.0 - 10.0	Nghiêm trọng

Các Thành Phần Điểm CVSS¶

Điểm CVSS được tính dựa trên ba nhóm chỉ số:

Chỉ số cơ bản: Đánh giá các đặc tính cố hữu của lỗ hổng
Vector tấn công (Attack Vector)
Độ phức tạp tấn công (Attack Complexity)
Quyền hạn yêu cầu (Privileges Required)
Tương tác người dùng (User Interaction)
Phạm vi ảnh hưởng (Scope)
Tác động đến bảo mật (Confidentiality)
Tác động đến tính toàn vẹn (Integrity)
Tác động đến tính sẵn sàng (Availability)
Chỉ số thời gian: Phản ánh các đặc tính thay đổi theo thời gian
Mức độ khai thác (Exploit Code Maturity)
Mức độ khắc phục (Remediation Level)
Độ tin cậy báo cáo (Report Confidence)
Chỉ số môi trường: Phản ánh ảnh hưởng cụ thể đến tổ chức của bạn
Các yếu tố sửa đổi chỉ số cơ bản
Các yêu cầu bảo mật cụ thể của tổ chức

Cách Amazon Inspector Sử Dụng Điểm CVSS¶

Amazon Inspector sử dụng điểm CVSS và các yếu tố bổ sung để tính toán điểm rủi ro cho mỗi phát hiện:

Điểm cơ bản CVSS: Mức độ nghiêm trọng của lỗ hổng
Khả năng khai thác: Mức độ dễ dàng khai thác lỗ hổng
Khả năng tiếp cận mạng: Liệu tài nguyên có thể truy cập từ internet không
Dữ liệu nhạy cảm: Liệu tài nguyên có xử lý dữ liệu nhạy cảm không

Amazon Inspector sẽ ưu tiên các lỗ hổng có điểm rủi ro cao hơn, giúp bạn tập trung nguồn lực vào việc khắc phục các vấn đề nghiêm trọng nhất trước.

Chiến Lược Xử Lý Lỗ Hổng¶

Khi nhận được báo cáo từ Amazon Inspector, bạn nên:

Ưu tiên xử lý các lỗ hổng dựa trên điểm rủi ro
Áp dụng bản vá bảo mật khi có
Triển khai các biện pháp giảm thiểu tạm thời nếu chưa có bản vá
Giám sát liên tục các lỗ hổng mới
Tài liệu hóa các hành động đã thực hiện để xử lý lỗ hổng