Mikä on CVE (Common Vulnerabilities and Exposures)?

CVE tarkoittaa Common Vulnerabilities and Exposures. Se on järjestelmä, joka seuraa kyberturvallisuuden haavoittuvuuksia, jotka ovat jo yleisesti tunnettuja.

Jokaisella CVE-tietueella on oma tunnus, kuten CVE-2024-492881, ja se selittää tietyn heikkouden ohjelmistossa, laitteistossa tai laiteohjelmistossa, jota hyökkääjät voivat käyttää järjestelmän hyväksikäyttöön.

CVE-ohjelman käynnisti MITRE Corporation, Yhdysvaltain liittovaltion rahoittama voittoa tavoittelematon organisaatio, joka keskittyy kyberturvallisuuteen ja teknologiaan. Nykyään MITRE jatkaa CVE-järjestelmän hallintaa CVE-johtokunnan valvonnassa—ryhmä, johon kuuluu turvallisuusasiantuntijoita, toimittajia ja globaaleja sidosryhmiä. Organisaatiot, toimittajat, turvallisuustyökalut ja tutkijat ympäri maailmaa käyttävät CVE

haavoittuvuuksien seuraamiseen ja korjausten hallintaan.

Miksi CVE on tärkeä kyberturvallisuudessa

Ennen CVE

tutkijat ja organisaatiot luottivat erillisiin nimeämisjärjestelmiin, mikä teki vaikeaksi seurata haavoittuvuuksia eri työkalujen ja raporttien välillä.

CVE auttaa ratkaisemaan tämän ongelman tarjoamalla:

• Johdonmukaiset tunnisteet jokaiselle haavoittuvuudelle
• Keskitetty näkyvyys globaaliin turvallisuustietokantaan
• Helpompi yhteistyö toimittajien, tutkijoiden ja kyberturvallisuuteen osallistuvien organisaatioiden kesken.

CVE muodostaa perustan turvallisuustyökaluille, kuten haavoittuvuusskannereille, SCA, ASPM ja korjausten hallintajärjestelmille, jotka luottavat CVE-tunnuksiin riskien havaitsemisessa ja priorisoinnissa.

Kuinka CVE toimii?

Jokainen CVE-tietue haavoittuvuustietokannassa sisältää

• CVE-tunnus - ainutlaatuinen tunniste haavoittuvuudelle
• Kuvaus - selitys haavoittuvuudesta
• Viitteet - luotettavat ulkoiset lähteet, jotka tarjoavat yksityiskohtaista tietoa haavoittuvuudesta
• CVSS-pisteet - vakavuusluokitus, joka kertoo kuinka vakava tai vaikutus haavoittuvuus on, jos sitä hyödynnetään.

Kaikki CVE

tallennetaan julkisesti osoitteessa cve.org, ja ne peilataan myös National Vulnerability Database (NVD) -tietokantaan, jota ylläpitää NIST (National Institute of Standards and Technology), joka on Yhdysvaltain kauppaministeriön ei-sääntelyvirasto.

Tunnetut vs. tuntemattomat haavoittuvuudet

Tunnetut haavoittuvuudet

Haavoittuvuudet, joista tietoturvaorganisaatiot ja tutkijat ovat tietoisia ja joihin voidaan tarjota korjauksia haavoittuvuuksien korjaamiseksi.

Tunnetut haavoittuvuudet ovat usein jo julkaistu tietokannoissa kuten CVE tai NVD.

Esimerkki:

CVE-2017-5638 — Apache Struts -haavoittuvuus, jota hyödynnettiin Equifax-murrossa (2017).

Tuntemattomat (Zero-Day) haavoittuvuudet

Nämä ovat löytämättömiä tai paljastamattomia virheitä; ne ovat olemassa ohjelmistossa, mutta eivät vielä dokumentoitu CVE-tietokannoissa.

Hyökkääjät voivat hyödyntää niitä ennen kuin toimittaja julkaisee korjauksen. Tämä on virhe, joka on erittäin vaarallinen.

Esimerkki:

Selaimen haavoittuvuutta käytetään hyökkääjien toimesta ennen kuin Google tai Microsoft julkaisee korjauksen.

Liittyvät termit

• NVD (Kansallinen haavoittuvuustietokanta)
• CVSS (Yhteinen haavoittuvuuksien pisteytysjärjestelmä)
• Nollapäivähaavoittuvuus
• Hyödynnös
• Korjausten hallinta
• Haavoittuvuuksien hallinta
• Yhteinen heikkouksien luokittelu (CWE)

FAQ: CVE