安全漏洞评分系统CVSS

通用漏洞评分系统（Common Vulnerability Scoring System，CVSS）是由FIRST（Forum of Incident Response and Security Teams）提出的漏洞严重性评分算法，现在已成为ITU-T（b-ITU-T X.1521）和NIST（NISTIR 7435）的推荐标准，被广泛应用于软件安全、漏洞管理等领域，受到eBay、(Symantec)、思科(Cisco)、甲古文(Oracle)等众多厂商支援。 CVSS得分基于一系列维度上的测量结果，这些测量维度被称为量度（Metrics）。漏洞的最终得分最大为10，最小为0。 下面以CVSS 3.1为例，介绍其主要内容。CVSS主要包含以下3组评估指标： 基准类指标。 用于计算基准评分，主要从漏洞的内在特性（不会随时间的推移或环境的改变而变化），来评价漏洞的严重性。 时间类指标。 用于计算时间评分，主要根据与时间相关的因素（如漏洞利用工具的研制进展），对基准评分进行调整 环境类指标。 用于计算环境评分，主要根据特定的系统环境（如保护措施的部署），对基准评分和时间评分进行调整 安全漏洞评分系统CVSS是衡量软件安全漏洞严重性的重要工具，由FIRST组织提出，并成为ITU-T和NIST的推荐标准。CVSS通过一系列量度（Metrics）为漏洞提供0到10的分数，帮助安全专家和企业理解漏洞的潜在危害程度，以便优先处理和修复。10分代表最高级别的威胁，而0分则表示威胁相对较小。 **CVSS的指标构成** 1. **基准指标** - **可利用性（Exploitability）**：这部分关注攻击成功的可能性，包括攻击向量（Attack Vector, AV），它区分了网络、邻接、本地和物理四种攻击方式，网络攻击通常比本地攻击更容易实施，因此分数更高。 - **影响性（Impact）**：这部分评估漏洞被利用后对系统的影响，包括机密性、完整性和可用性三个维度。如果漏洞可能导致数据泄露、系统损坏或服务中断，其影响分数会增加。 - **范围（Scope）**：范围指标衡量漏洞影响的局限性，如果漏洞只影响到目标系统本身，还是波及到周边系统，范围的大小将影响总分。 2. **时间类指标** - **攻击复杂度（Attack Complexity, AC）**：评估攻击者利用漏洞的难易程度，分为简单和复杂两类。 - **预发布（Pre-Release）**：考虑漏洞被公开前的情况，如是否已有公开的漏洞利用工具。 - **缓解因素（Mitigation）**：分析现有防御措施对降低漏洞风险的效果。 3. **环境类指标** - **配置（Configuration, C）**：针对具体系统环境，例如系统是否已应用安全补丁或更新。 - **影响度（Impact, I）**：评估漏洞对特定环境的直接影响，可能与基准影响不同。 - **暴露度（Exposure, E）**：考量在特定环境中，系统暴露于攻击的风险程度。 **CVSS评分算法** CVSS评分算法综合考虑上述指标，通过一个复杂的计算公式得出最终分数。每个指标都有一个分值，这些分值经过特定权重计算，得出基础评分、临时评分和环境评分。基础评分基于漏洞的内在特性，不受时间和环境因素影响；临时评分考虑了时间类指标，如攻击工具的发展；环境评分则结合了具体环境下的安全措施，对前两者进行调整。 CVSS提供了一种标准化的方法，让组织可以更有效地评估和响应安全漏洞，确保资源能够合理分配到最具威胁的漏洞上。对于软件供应商如Oracle、思科和赛门铁克等，CVSS评分可以帮助他们确定哪些漏洞需要立即解决，从而提升产品的安全性。同时，对于用户来说，了解CVSS评分可以帮助他们评估风险，制定相应的防护策略。