Nhận định CVE là gì? Nguyên lý hoạt động ra sao? Thế nào là 1 CVE đủ điều kiện?

Trong suốt quá trình Internet phát triển cho đến nay, đã không ít cuộc tấn công an ninh mạng được tạo ra, gây nhiều hậu quả xấu. Vì vậy, CVE được sinh ra giúp hỗ trợ các lập trình viên giải quyết vấn đề này. Vậy chính xác CVE là gì, nguyên lý hoạt động ra sao và như thế nào là một CVE đủ điều kiện? Bài viết dưới đây sẽ giải đáp tất tần tật cho bạn!

1. CVE là gì?

CVE là cụm từ viết tắt của Common Vulnerabilities and Exposures, tạm dịch là Những lỗ hổng và rủi ro thường thấy. Đây là chương trình được tạo ra bởi MITRE vào năm 1999, với mục tiêu là nhận dạng và phân loại các lỗ hổng thường thấy có trên cả phần cứng lẫn phần mềm của máy tính.

Cơ sở dữ liệu của CVE được xây dựng từ lỗ hổng liên quan đến các vụ tấn công an ninh như đọc dữ liệu của người dùng (mã thẻ ngân hàng, địa chỉ, điện thoại), chiếm quyền điều khiển hệ thống mục tiêu,…

2. Hệ thống CVE hoạt động như thế nào?

Mỗi dữ liệu được lưu trên cơ sở dữ liệu của CVE sẽ được gắn với một CVE ID nhất định. Các thông tin truy xuất từ CVE ID thì khá ngắn gọn, và cũng không chứa thông tin về kỹ thuật, hay là rủi ro về kỹ thuật cho người dùng biết.

Tuy nhiên, CVE ID có cung cấp đường dẫn đến các cơ sở dữ liệu khác đáng tin cậy có chứa đầy đủ thông tin. Vậy có thể hiểu cơ sở CVE như là người trung gian thực hiện nhiệm vụ sắp xếp và kiểm duyệt thông tin cho người dùng.

3. Thế nào là 1 CVE đủ điều kiện?

– Lỗ hổng có thể sửa được một cách độc lập

Lỗ hổng này có thể khắc phục được mà không ảnh hưởng đến hệ thống chung, và cũng không ảnh hưởng hay gây ra các lỗi khác trên hệ thống phần mềm và phần cứng.

– Lỗ hổng này đã gây ra hậu quả

Lỗ hổng phải gây ra một hậu quả về mặt an ninh cụ thể hệ thống máy tính ở thực tế, và phải có sự chứng thực của cá nhân, tổ chức bị tác động, hoặc qua văn bản được xác nhận.

– Lỗ hổng chỉ tác động lên một sản phẩm

Lỗ hổng này chỉ được phép tác động lên một sản phẩm nhất định, và nếu nó tác động lên nhiều sản phẩm khác nhau thì chúng cần được tách ra riêng lẻ với mỗi CVE ID khác nhau.

Xem thêm