A sérülékenységek súlyosságának meghatározására használatos nemzetközi CVSS pontozási rendszer az ipari irányítástechnikai- és vezérlőrendszerek (ICS – Industrial Control Systems) esetében félrevezető lehet, ami negatív következményekkel járhat a szervezetekre nézve ─ mutatott rá Ilan Barda, a Radiflow vezérigazgatója egy kiberbiztonsági konferencián. Véleményét több kiberbiztonsági szakértő is osztja, például Moreno Carullo, a Nozomi Networks társalapítója és vezérigazgatója, aki a pontszámítási rendszer előnyeinek elismerése mellett is úgy véli, azt inkább csak iránymutatásra kellene használni, és alapvetően mindenkinek a saját környezetéhez mérten magának kell meghatároznia egy adott sérülékenység súlyosságát. A félrevezető pontozásra David Atch, a CyberX kutatója példaként említette a CVE-2015-5374 számú sérülékenységet, amely annak ellenére, hogy kihasználásával a hírhedt Industroyer/Crashoverride malware Siemens SIPROTEC eszközökön DoS kondíciót teremthet, csupán 7.8-as CVSS pontszámmal rendelkezik. Atch szerint mivel a SIPROTEC eszközök jelentős szereppel bírnak egyes energiatermelő rendszerekben, ez egyáltalán nem tükrözi a valós kockázatot. Egyes szakemberek megoldásként olyan kockázat alapú megközelítést javasolnak, amely a fenyegetés modellezést is felhasználva segít az adott szervezet legértékesebb assetei és folyamatai számára legnagyobb fenyegetést jelentő támadási vektorok figyelembevételére a sebezhetőségek értékelésekor, mások úgy vélik az iparnak egy új pontozási szisztémát kell létrehoznia, amely jobban fókuszál az ICS rendszerek kritikus tényezőire.
A kritikus ipari rendszerek esetében félrevezetőek lehetnek a CVSS pontszámok
2018. november 20. 15:42
