Welche Kombination beschreibt die im Schwachstellenmanagement verwendeten Begriffe CVE und CVSS richtig?

Antwort: A. CVE ist eine gemeinsame Kennung, die jeder einzelnen Schwachstelle zugewiesen wird, und CVSS ist ein gemeinsames Verfahren, das den Schweregrad einer Schwachstelle mit einer Zahl von 0,0 bis 10,0 bewertet

CVE (Common Vulnerabilities and Exposures) ist eine Kennung der Form „CVE-Jahr-Nummer“, die jeder öffentlich bekannt gemachten Schwachstelle zugewiesen wird, damit dieselbe Schwachstelle über Produkte und Organisationen hinweg mit derselben Nummer bezeichnet werden kann. CVSS (Common Vulnerability Scoring System) ist ein gemeinsames Verfahren, das den Schweregrad einer Schwachstelle mit einer Zahl von 0,0 bis 10,0 bewertet, ausgehend von Faktoren wie den Voraussetzungen für einen Angriff und den Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Der CVSS-Basiswert spiegelt die Eigenschaften der Schwachstelle selbst wider; über die Reihenfolge, in der Korrekturen eingespielt werden, wird daher auch danach entschieden, wie gefährlich sie in der eigenen Umgebung tatsächlich ist (etwa ob das Gerät aus dem Internet erreichbar ist oder ob bereits Angriffe beobachtet wurden). Schwachstellenmanagement wiederholt einen Zyklus: ein Verzeichnis der eingesetzten Software und Versionen führen (Bestandsverzeichnis), Informationen zu neuen Schwachstellen sammeln, ihre Auswirkungen bewerten, Patches einspielen und bestätigen, dass sie eingespielt wurden.