如何评估漏洞的严重程度——漏洞CVSS简述

目录

一、什么是漏洞的CVSS

二、漏洞的CVSS对于我们有什么用

三、如何评估漏洞的CVSS

3.1 CVSS版本

3.2 CVSS v3 介绍

---

一、什么是漏洞的CVSS

CVSS，即 Common Vulnerability Scoring System，常见漏洞评分系统。CVSS的基本组成形式是向量，因为CVSS由很多指标构成。

二、漏洞的CVSS对于我们有什么用

CVSS反应出漏洞的严重程度，对于开发者来说，可以帮助他们决定修复漏洞的先后顺序，对于用户来说，可以帮助用户快速了解漏洞的危害性。

三、如何评估漏洞的CVSS

3.1 CVSS版本

CVSS最开始是由FIRST机构提出，而后版本经过更新迭代，评估标准越来越合理。

至今，CVSS已经推出了v4版本。

3.2 CVSS v3 介绍

目前，NVD（National Vulnerablity Database）中存储的漏洞的CVSS大多数是v3版本（3.0 or 3.1），因此以v3为例，对CVSS评估做详细介绍

CVSS v3共有8个base metric，分别是Attack Vector(AV) / Attack Complexity(AC) / Privilege Required(PR) / User Interaction (UI) / Scope(S) / Confientially Impact (C) / Integrity Impact(I) / Availablly Impact(A),下面简要介绍，详细可参考CVSS v3.0 Specification Document。

Attack Vetcor:攻击向量，描述攻击者通过何种手段攻击漏洞

取值：Network/Adjacent/Local/Physical 

Attack Complexity：攻击复杂度：描述攻击者攻击漏洞的复杂度，比如需不需要特定情境下才能攻击，需不需要收集配置等等

取值：High/Low/None

Privilege Required:攻击者攻击漏洞是否需要特权

取值：High/Low/None

User Interatcion:攻击者攻击漏洞是否需要用户交互

取值：Required/None

Scope：漏洞的影响范围

取值：Changed/Unchanged

说明：changed表示漏洞的影响范围不仅限于该包含漏洞组件，反之

Confidently/Integrity/Avialability Impact:对于产品机密性、完整性、可用性影响

取值：High/Low/None