CVE là gì? Đặc điểm và lợi ích của CVE

Hiện nay vấn đề bảo mật thông tin đang là chủ đề bàn tán sôi nổi trên các diễn đàn công nghệ. Mỗi ngày, có hàng trăm lỗ hổng bảo mật được phát hiện ra. Cùng với đó, có rất nhiều mã CVE đã được công bố. Khi ta thấy một số CVE tức là đã xác định ra một lỗ hổng bảo mật nhất định.

Trong bài viết này, hãy cùng chúng tôi tìm hiểu chi tiết hơn về thuật ngữ này.

CVE là gì?

CVE là viết tắt của Common Vulnerabilities and Exposures, đó là một danh sách các lỗ hổng bảo mật và các mở rộng của phần mềm và hệ thống máy tính. Nó được quản lý bởi National Cyber Security Centre (NCSC) của Mỹ và cung cấp mã số duy nhất cho mỗi lỗ hổng để cho phép tìm kiếm và tham chiếu nhanh chóng.

CVE được công bố công khai và hoàn toàn miễn phí tới người dùng. Từ đó, giúp các chuyên gia về bảo mật tìm ra những giải pháp ngăn chặn sự tấn công từ những yếu tố độc hại. Điều này nhằm nâng cao bảo mật, loại bỏ chung các lỗ hổng có thể xảy ra.

Các yếu tố tạo nên một CVE

Vậy khi nào một Common Vulnerabilities and Exposures trở thành một lỗ hổng bảo mật. CVE cần phải hội tụ những yếu tố dưới đây:

• Trước hết, lỗ hổng bảo mật này được xác định có ảnh hưởng xấu tới vấn đề bảo mật. Điều này có nghĩa là những lỗ hổng này phải có sự công nhận từ nhà cung cấp và được lập thành văn bản chính thức. Đồng thời chỉ ra rằng chúng có tác động tiêu cực đến vấn đề an toàn thông tin.
• Thứ hai, đây phải là lỗ hổng được sửa tách biệt so với các lỗi khác. Ta có thể hiểu việc khắc phục những lỗ hổng CVE cần phải độc lập với việc khắc phục những lỗi khác. Và khi fix chúng sẽ không tác động đến toàn bộ hệ thống chung.
• Cuối cùng, lỗ hổng bảo mật ảnh hưởng tới một cơ sở mã (codebase). Một lỗ hổng được phép ánh xạ lên một codebase nhất định. Trong trường hợp nó tác động lên nhiều codebase, ta cần phải gắn mã định danh CVE cho từng cái riêng lẻ.

Tìm hiểu về CVE Identifier

Common Vulnerabilities and Exposures Identifier là mã số định danh của lỗ hổng bảo mật. Một mã định danh chỉ được gắn với một CVE nhất định.

Những mã định danh CVE này được xác nhận bởi tổ cơ quan đánh số CNA. Đây là cơ quan bao gồm các nhà cung cấp trong lĩnh vực CNTT hay các tổ chức nghiên cứu như trường học, công ty về bảo mật thậm chí là một cá nhân nào đó. Và nó cũng có thể được công bố bởi chính MITRE.

Cách thức biểu thị mã định danh CVE là CVE-[Năm]-[Số].

Trong đó:

• Năm được hiểu là năm mà lỗ hổng bảo mật được phát hiện ra và được báo cáo.
• Số biểu thị cho số thứ tự được CNA quy định.

Để dễ hình dung hơn ta lấy ví dụ minh họa về mã định danh: CVE-2019-0708. Với ví dụ này ta có thể hiểu, đây là mã định danh ứng với lỗ hổng được phát hiện vào năm 2019 và được chỉ định bởi tổ chức CNA với mã số là 0708. Đây là một CVE với một lỗ hổng trong quá trình thực hiện Remote Desktop Protocol (RDP) – Giao thức Máy tính Từ xa phát triển bởi Microsoft. CVE-2019-0708 còn được biết đến rộng rãi với tên gọi BlueKeep.

Lợi ích của CVE

Common Vulnerabilities and Exposures (CVE) gắn liền với những lỗ hổng bảo mật đã được công khai. Chính vì thế mã CVE có tác dụng vô cùng to lớn. Nó giúp cho các chuyên gia tìm ra giải pháp ngăn chặn sự xâm nhập của những yếu tố độc hại. Một số lợi ích cụ thể của CVE có thể kể đến đó là:

CVE cung cấp đầy đủ những thông tin chi tiết về các lỗ hổng bảo mật. Như vậy, nó cung cấp cho tất cả các tổ chức những chi tiết có lợi. Từ đó, tạo cơ sở cho các tổ chức có thể đánh giá đúng mức độ của các công cụ bảo mật có thích hợp với các lỗ hổng này không. Ngoài ra, họ cũng có thể biết được các công cụ cần phải bao gồm những gì và mức độ thành công của tổ chức đó trong việc khắc phục với lỗ hổng là bao nhiêu.

Mỗi CVE đều được gắn với một ID cụ thể. Từ việc sử dụng ID CVE cho một lỗ hổng, các tổ chức có tìm hiểu và chọn lọc những thông tin về nó một cách dễ dàng, nhanh chóng và hiệu quả. Đồng thời cùng với những tổ chức khác tìm ra những giải pháp và cách khắc phục những lỗ hổng này kịp thời. Từ đó, gia tăng sự bảo mật và an toàn cho họ.

Tổng kết về CVE

Dựa trên những thông tin về lỗ hổng CVE, các chuyên gia có thể tìm kiếm các dấu hiệu tấn công và tìm ra chính xác các lỗ hổng bảo mật. Trên đây là những thông tin liên quan đến Common Vulnerabilities and Exposures (CVE) mà chúng tôi mang đến.