בעמוד הזה
מה זה CVE?
CVE (Common Vulnerabilities and Exposures) הוא מאגר ציבורי שמנוהל על ידי ארגון MITRE בתמיכת ממשלת ארה"ב. כל חולשה שמאושרת מקבלת מזהה בפורמט CVE, שנה ומספר רץ, ותיאור קצר. המאגר עצמו לא מדרג חומרה: את זה עושה ציון CVSS, בסולם של 0 עד 10.
בכל שנה מתפרסמות עשרות אלפי חולשות חדשות. אף ארגון לא יכול לתקן הכל מיד, ולכן מתעדפים: קודם חולשות שמנוצלות בפועל, כמו אלה שברשימת KEV של CISA, ואחר כך לפי חומרה ולפי החשיפה של המערכת.
דוגמה מהשטח
חולשה בשרת VPN. ספק ה-VPN מפרסם עדכון לחולשה חדשה עם ציון CVSS גבוה, ותוך ימים היא מתווספת לרשימת KEV כחולשה שמנוצלת בפועל. ארגון עם תהליך ניהול פגיעויות מזהה שיש לו את הגרסה הפגיעה, מתקין את העדכון באותו שבוע ובודק ביומנים שאף אחד לא ניצל אותה קודם.
CVE, CVSS ו-KEV
| מה זה | למה זה משמש | |
|---|---|---|
| CVE | מזהה ייחודי לחולשה | שפה משותפת לכל העולם |
| CVSS | ציון חומרה בין 0 ל-10 | הערכת הנזק האפשרי |
| KEV | רשימת חולשות שמנוצלות בפועל (CISA) | תעדוף: מה לתקן קודם |
רכיבים מרכזיים
איך זה עובד
- מלאי נכסים
רשימה מעודכנת של מערכות, תוכנות וגרסאות.
- סריקה וזיהוי
התאמה בין הנכסים לחולשות ידועות.
- תעדוף
קודם מה שמנוצל בפועל ונגיש מבחוץ.
- תיקון ואימות
התקנת עדכונים ובדיקה שהחולשה נסגרה.
שאלות נפוצות
מי מפרסם CVE?
MITRE מנהל את המאגר, וגופים מורשים (CNA), כמו יצרני תוכנה גדולים וחברות אבטחה, מקצים מזהים לחולשות במוצרים שלהם.
האם כל CVE מסוכן?
לא. חולשות רבות דורשות תנאים מיוחדים או גישה מוקדמת. לכן משלבים את ציון ה-CVSS עם מידע על ניצול בפועל ועם החשיבות של המערכת.
מה ההבדל בין סריקת חולשות למבדק חדירה?
סריקה מחפשת אוטומטית חולשות מוכרות. מבדק חדירה הוא עבודה של מומחה שמנסה לנצל חולשות בפועל, כולל חולשות לוגיות שאין להן CVE.