CWSS : Common Wireless Security Scoring

Equivalentes de los CVSS

Una vez identificados los riesgos de seguridad es necesario poder asignarle una clasificación de riesgos en base a un grupo de parámetros objetivos. La estandarización del mecanismo de asignación de riesgos permitirá que diferentes personas puedan clasificar del mismo modo la seguridad o inseguridad de una infraestructura Wireless.

OWISAM propone hacer uso de un sistema de clasificación de riesgos compatible con CVSS [1], el estándar de facto a día de hoy. CVSS hace uso de los siguientes elementos para signar el riesgo de una vulnerabilidad:

• Metricas Base:: "Exploitability Metrics" e "Impact Metrics"

• Metricas de entorno:: "General Modifiers" e "Impact Subscore Modifiers"

• Métricas temporales:: Temporal Score Metrics

La propuesta es modificar dos elementos de las métricas base

Related exploit range (AccessVector): Se modificará este elemento por "Cobertura de red" (NetworkCoverage): Los valores pueden ser, Alta, media, baja.

• Baja: Necesidad de estar en una ubicación muy cercana al punto de acceso

• Media: Fuera del perímetro del edificio/local/oficina.

• Alta: visibilidad con antena direccional.

Attack complexity (AccessComplexity): Se modificará este elemento con "credenciales de acceso" (Credentials) con valores: Muy compleja , compleja, débil, predecible.

Muy compleja: No existe viabilidad técnica para obtener, adivinar o descifrar dicha clave a largo plazo.

Compleja: Existe una posibilidad de que la clave se pueda adivinar, o descifrar a medio plazo.

Débil: Un ataque orientado a la adivinación o descifrado de claves de acceso podría obtenerla a corto plazo.

Predecible: La contraseña no existe, es trivial, o puede adivinarse en base a otros parámetros operativos.

Este sistema de clasificación de riesgos, compatible con CVSS, se ha denominado CWSS (Common Wireless Security Scoring)