Sårbarhedsvurdering

En sårbarhedsvurdering omsætter rå fund til risikoprioriterede beslutninger. NIST SP 800-115 grupperer de underliggende teknikker i gennemgangsteknikker (gennemgang af dokumentation, logs, regelsæt og konfiguration), identifikation og analyse af mål (opdagelse, identifikation af porte og tjenester, sårbarhedsscanning) og validering af sårbarheder (adgangskodeknækning, penetrationstest). En vurdering trækker primært på de to første og validerer udvalgte fund; en penetrationstest koncentrerer sig om den tredje. Input omfatter autentificerede og uautentificerede scanningsresultater, konfigurationsbaselines, arkitekturdiagrammer, interviews med systemejere og aktivfortegnelsen, som leverer den forretningskontekst, ingen scanner har.

Prioriteringen er dér, arbejdet ligger. En CVSS-basisscore beskriver en fejls iboende alvor under værst tænkelige antagelser; CVSS v4.0 (FIRST, 2023) adskiller base-, threat-, environmental- og supplemental-metrikker, netop fordi basisscoren alene er en dårlig målestok for risiko. Moderne programmer kombinerer derfor flere signaler: bevis for udnyttelse (CISA's katalog over Known Exploited Vulnerabilities), sandsynlighed for udnyttelse (FIRST's EPSS, et dagligt opdateret estimat af sandsynligheden for udnyttelse inden for 30 dage), eksponering (mod internettet eller internt, nåbar fra brugernetværk eller kun fra et administrationssegment), kompenserende kontroller og aktivets kritikalitet - hvilke data og forretningsfunktioner der afhænger af systemet. Beslutningsrammer som CISA's Stakeholder-Specific Vulnerability Categorization (SSVC) udtrykker dette som et beslutningstræ med udfaldene Track, Track*, Attend og Act i stedet for én numerisk tærskel.

Validering fjerner falske positiver, før der bruges kræfter på afhjælpning: et versionsbaseret fund kan være irrelevant, fordi en backportet rettelse er installeret, det sårbare modul ikke er indlæst, eller funktionen er slået fra. Omvendt er fravær af fund ikke bevis for fravær - uscannede aktiver, manglende legitimationsoplysninger og specialudviklede applikationer giver alle tavse huller, og derfor skal dækningen rapporteres sammen med fundene.

Resultatet er en afhjælpningsplan med ejere og frister samt eksplicitte risikobeslutninger for det, der ikke kan rettes i tide: afbødning (segmentering, virtuel patching, konfigurationsændring) eller formel risikoaccept med ejer og udløbsdato. Dermed kobles vurderingen til organisationens risikostyring: ISO/IEC 27002:2022 kontrol 8.8 (håndtering af tekniske sårbarheder) kræver, at man indhenter oplysninger om sårbarheder, vurderer eksponeringen og træffer passende foranstaltninger, og NIS2 art. 21, stk. 2, litra e, nævner håndtering og offentliggørelse af sårbarheder blandt de obligatoriske foranstaltninger. Vurderinger gentages, fordi hver ny CVE, udrulning og konfigurationsændring ændrer billedet; en enkeltstående vurdering er et øjebliksbillede af et bevægeligt mål.