Глоссарий по безопасности

Что такое CVSS?

CVSS (Common Vulnerability Scoring System) поддерживает организация FIRST. Это открытый стандарт, который выражает техническую серьёзность уязвимости числом от 0.0 до 10.0. Он даёт всем общий и воспроизводимый способ говорить о том, насколько опасна находка, чтобы «высокая серьёзность» означала примерно одно и то же в разных отчётах и инструментах.

Как строится оценка

Самые распространённые метрики базовой оценки описывают, как эксплуатируется уязвимость и на что она влияет: вектор атаки (network, adjacent, local, physical), сложность атаки, требуемые привилегии, участие пользователя, область действия и влияние на конфиденциальность, целостность и доступность. Вместе они дают базовую оценку от 0 до 10. Vexaro оценивает находки по CVSS 3.1. FIRST также публикует CVSS v4.0 (выпущен в 2023 году), поэтому в отчёте должна быть указана применённая версия.

Полосы серьёзности

CVSS 3.1 переводит число в качественные уровни: None (0.0), Low (0.1-3.9), Medium (4.0-6.9), High (7.0-8.9) и Critical (9.0-10.0). Именно их обычно имеют в виду, когда называют находку «критической» или «средней», и по ним отчёт можно сразу отсортировать по приоритету.

Base, Temporal и Environmental

Базовая оценка отражает собственную серьёзность уязвимости, которая со временем не меняется. Её уточняют две необязательные группы метрик. Temporal учитывает такие факторы, как зрелость эксплойта, а Environmental подстраивает оценку под вашу среду: например, проблема в системе, доступной только изнутри, может значить меньше, чем та же проблема на сервере, открытом в интернет. Хороший отчёт не останавливается на базовом числе и переводит серьёзность в бизнес-риск с учётом контекста.

Что такое CVSS и чем он не является

CVSS измеряет серьёзность программной уязвимости. Сам по себе он не оценивает риск и не рассчитан на находки, связанные только с конфигурацией или состоянием соответствия: их лучше оценивать по шкале серьёзности самого бенчмарка. Используйте базовую оценку как единую отправную точку, а затем взвешивайте эксплуатируемость и влияние в вашем контексте. Именно так её использует хороший отчёт о пентесте.

Часто задаваемые вопросы

CVSS (Common Vulnerability Scoring System) является открытым стандартом, который поддерживает FIRST. Он выражает техническую серьёзность уязвимости числом от 0.0 до 10.0, чтобы «высокая серьёзность» означала примерно одно и то же в разных отчётах и инструментах. Vexaro оценивает находки по CVSS 3.1. FIRST также публикует v4.0, поэтому в отчёте должно быть указано, какая версия применяется.

CVSS 3.1 переводит базовую оценку в качественные уровни: None (0.0), Low (0.1-3.9), Medium (4.0-6.9), High (7.0-8.9) и Critical (9.0-10.0). Именно их имеют в виду, когда называют находку «критической» или «средней», и по ним отчёт можно сразу отсортировать по приоритету.

Нет. CVSS измеряет техническую серьёзность уязвимости, а не риск как таковой, и не предназначен для находок, касающихся только конфигурации или состояния соответствия. Базовая оценка служит единой отправной точкой, а метрики Temporal и Environmental (например, доступна ли система только изнутри или открыта в интернет) помогают перевести её в бизнес-риск с учётом контекста.

Поговорите с реальным практиком.

Остался вопрос, на который эти страницы не ответили? Расскажите, что вы пытаетесь защитить, и мы укажем вам на правильный проект. Первая консультация бесплатна.