Ga naar hoofdinhoud

K008 - Kwetsbaarheid

Concept Status

K008 - Kwetsbaarheid is een concept dat nog niet volledig is geïmplementeerd in de GEMMA Softwarecatalogus. De functionaliteiten zijn in ontwikkeling.

Beschrijving​

Een kwetsbaarheid is een beveiligingslek of zwakte in een applicatie of module die door kwaadwillenden kan worden misbruikt. Kwetsbaarheden worden geregistreerd met CVE-codes en CVSS-scores om de ernst en impact te beoordelen.

Schema Eigenschappen​

naam
required
string (Naam) <= 200 characters

Naam van de kwetsbaarheid

beschrijvingKort
required
string (Samenvatting) <= 255 characters

Korte beschrijving van de kwetsbaarheid

beschrijvingLang
string <markdown> (Beschrijving) <= 5000 characters

Uitgebreide beschrijving van de kwetsbaarheid

cveCode
string (CVE Code) <= 20 characters ^CVE-\d{4}-\d{4,}$

CVE (Common Vulnerabilities and Exposures) identificatiecode

cvssScore
number (CVSS Score) [ 0 .. 10 ]

CVSS (Common Vulnerability Scoring System) score van 0.0 tot 10.0

required
Array of objects (Getroffen Modules)

De modules die door deze kwetsbaarheid getroffen worden

{
  • "naam": "Bijvoorbeeld: SQL Injection",
  • "beschrijvingKort": "Bijvoorbeeld: Korte beschrijving van de kwetsbaarheid",
  • "beschrijvingLang": "Bijvoorbeeld: Uitgebreide beschrijving van de kwetsbaarheid",
  • "cveCode": "Bijvoorbeeld: CVE-2021-44228",
  • "cvssScore": "Bijvoorbeeld: 9.8",
  • "modules": [
    ]
}

Basis Informatie​

  • Naam: Naam van de kwetsbaarheid (verplicht)
  • Korte beschrijving: Korte beschrijving van de kwetsbaarheid (verplicht)
  • Uitgebreide beschrijving: Uitgebreide beschrijving in markdown formaat
  • CVE Code: CVE (Common Vulnerabilities and Exposures) identificatiecode
  • CVSS Score: CVSS (Common Vulnerability Scoring System) score van 0.0 tot 10.0

Relaties​

  • Getroffen Modules: De modules (applicaties) die door deze kwetsbaarheid getroffen worden (verplicht)

CVSS Score Classificatie​

🟢 Laag (0.1 - 3.9)​

Beperkte impact op de beveiliging van het systeem.

Kenmerken:

  • Minimale schade bij misbruik
  • Beperkte toegang tot gevoelige informatie
  • Lokale exploitatie vereist
  • Geen significante impact op beschikbaarheid

🟡 Gemiddeld (4.0 - 6.9)​

Matige impact die aandacht vereist.

Kenmerken:

  • Gedeeltelijke toegang tot systeem of data
  • Mogelijk verlies van integriteit
  • Remote exploitatie mogelijk
  • Beperkte impact op beschikbaarheid

🟠 Hoog (7.0 - 8.9)​

Ernstige kwetsbaarheid die prioriteit heeft.

Kenmerken:

  • Significante impact op confidentialiteit
  • Mogelijk volledig verlies van integriteit
  • Remote exploitatie waarschijnlijk
  • Merkbare impact op beschikbaarheid

🔴 Kritiek (9.0 - 10.0)​

Zeer ernstige kwetsbaarheid die onmiddellijke actie vereist.

Kenmerken:

  • Volledig verlies van confidentialiteit
  • Totaal verlies van integriteit
  • Volledige remote controle mogelijk
  • Totale impact op beschikbaarheid

Voorbeelden van Kwetsbaarheden​

🌐 Web Applicatie Kwetsbaarheden​

  • SQL Injection: Ongevalideerde database queries
  • Cross-Site Scripting (XSS): Malicious scripts in web pagina's
  • Cross-Site Request Forgery (CSRF): Ongeautoriseerde acties via andere sites

🔐 Authenticatie Kwetsbaarheden​

  • Weak Password Policy: Zwakke wachtwoord vereisten
  • Session Fixation: Sessie hijacking mogelijkheden
  • Broken Authentication: Gebroken authenticatie mechanismen

📊 Data Kwetsbaarheden​

  • Sensitive Data Exposure: Onbeschermde gevoelige data
  • Insufficient Logging: Onvoldoende audit trails
  • Data Injection: Ongevalideerde data input

Persona Perspectief​

🔒 Voor Security Officers (Mark - Information Security Officer)​

  • Doel: Kwetsbaarheden identificeren en prioriteren voor remediation
  • Gebruik: CVSS scores gebruiken voor risico beoordeling en planning
  • Belang: Proactieve beveiliging en compliance met security standaarden

🏛️ Voor Gemeenten (Maria - ICT-coördinator)​

  • Doel: Inzicht in beveiligingsrisico's van gebruikte applicaties
  • Gebruik: Kwetsbaarheden controleren bij software selectie
  • Belang: Veilige ICT-omgeving en risicomanagement

🏢 Voor Leveranciers (Jan - Directeur ICT Solutions)​

  • Doel: Transparantie over bekende kwetsbaarheden en fixes
  • Gebruik: Kwetsbaarheden registreren en updates communiceren
  • Belang: Vertrouwen en verantwoordelijkheid tonen

⚙️ Voor Functioneel Beheer (Peter - Functioneel Beheerder)​

  • Doel: Overzicht van security status in de catalogus
  • Gebruik: Kwetsbaarheden valideren en categoriseren
  • Belang: Data kwaliteit en betrouwbaarheid van security informatie

Gerelateerde Concepten​

Gerelateerde Functionaliteiten​