CVE ในความปลอดภัยเครือข่ายคืออะไร

CVE ย่อมาจากอะไร?

Common Vulnerabilities and Exposures (ช่องโหว่และการเปิดเผยที่พบเห็นร่วมกัน) เป็นระบบมาตรฐานระบุชื่อช่องโหว่ด้านความปลอดภัยซอฟต์แวร์/เฟิร์มแวร์ ที่เผยแพร่สาธารณะ

รูปแบบ CVE ID

CVE-YYYY-NNNN (YYYY = ปี, NNNN = ลำดับ 4 หลักขึ้นไป)
ตัวอย่าง: CVE-2021-44228 (Log4Shell), CVE-2014-0160 (Heartbleed)

ตัวอย่าง CVE

• CVE-1999-0067
• CVE-2014-12345
• CVE-2016-7654321

นักวิจัยและผู้จัดจำหน่ายผลิตภัณฑ์ความปลอดภัยใช้ CVE ID อ้างอิงข้ามฐานข้อมูล (Cross-reference)

CVE ทำงานอย่างไร?

1. ผู้ค้นพบช่องโหว่รายงานให้ MITRE (ผู้ดูแล CVE)
2. MITRE ตรวจสอบและกำหนด CVE ID เฉพาะตัว
3. เผยแพร่ใน CVE List (Public Dictionary) พร้อมคำอธิบายและ Reference
4. ฐานข้อมูล NVD (National Vulnerability Database) จะเพิ่มข้อมูล CVSS Score, Affected Versions, Remediation

จุดประสงค์ของ CVE

• ให้ ตัวระบุมาตรฐาน (Standard Identifier) สำหรับช่องโหว่แต่ละช่อง
• ช่วยให้เครื่องมือ/ฐานข้อมูลความปลอดภัยต่างๆ สื่อสารได้ (Interoperability)
• เป็น Baseline สำหรับประเมินครอบคลุมของเครื่องมือความปลอดภัย
• ทรัพยากรฟรี สาธารณะ สำหรับองค์กรทุกขนาด

ใครดูแล CVE?

• MITRE Corporation ดูแล CVE List และเว็บไซต์สาธารณะ
• ได้รับการสนับสนุนจาก U.S. DHS (Department of Homeland Security) ผ่าน US-CERT

CVE และการโจมตี (CVE Attack)

CVE เองไม่ใช่การโจมตี แต่เป็น ฐานข้อมูลช่องโหว่ ที่ผู้โจมตีอาจนำไปสร้าง Exploit การโจมตีที่ใช้ CVE เฉพาะ เรียกว่า "CVE-XXXX-XXXX Exploit"

CVE Compliance

องค์กร/ซอฟต์แวร์ที่ "CVE Compatible" หมายถึงรองรับการใช้ CVE ID ในการรายงาน การสแกน และการจัดการช่องโหว่

ช่องโหว่ทั้งหมดมี CVE ไหม?

ไม่ทั้งหมด มีช่องโหว่หลายพันรายการที่ยังไม่ได้รับ CVE ID (การศึกษาเมื่อปี 2015 พบ ~6,000 ช่องโหว่ไม่มี CVE)