为什么通用漏洞评分系统(CVSS)必要但不足

最后更新：2025年3月12日

Derek Illum

安全

准确衡量漏洞带来的风险并非易事。组织通常默认使用通用漏洞评分系统(CVSS)来理解漏洞的规模和范围。但尽管CVSS是一个有用的工具，它本身也存在局限性。

漏洞评分如何工作？

漏洞评分系统是用于确定软件或系统漏洞相关风险的工具。数字评分帮助IT和安全团队了解如何以及在哪里分配资源以应对潜在风险。

漏洞评分考虑的因素包括：利用漏洞的复杂性、对受影响系统的潜在影响、以及攻击成功是否需要管理员权限或用户交互。

CVSS是多种评分方法框架之一，但已成为行业领先的标准。这是因为它为漏洞沟通带来了高度的一致性。

什么是通用漏洞评分系统(CVSS)？

CVSS已成为计算漏洞严重性的首选方法。其理念是基于0到10的数字标尺，标准化利益相关者评估和排名漏洞的方式。

CVSS考虑哪些因素？

CVSS使用多个标准为企业基础设施中的漏洞分配重要性，例如：

• 攻击向量：漏洞的来源是什么？例如，是存在于本地机器上、跨网络远程存在，还是其他情境？
• 访问复杂性：利用过程有多困难或复杂？
• 身份验证：利用是否需要用户身份验证？
• 影响：威胁可能如何影响系统的机密性、完整性或可用性？
• 用户交互：事件是否需要用户采取行动，例如点击钓鱼邮件中的链接？

每个领域都被分配分数，然后汇总生成整体CVSS严重性评级。

CVSS命名法

CVSS分数通常分为严重性级别：

• 低(0.1–3.9)：轻微风险，潜在危害较小
• 中(4.0–6.9)：表示应采取措施的中等风险
• 高(7.0–8.9)：需要立即处理的严重漏洞
• 严重(9.0–10)：由于广泛利用的严重潜在性而具有高度紧急性的漏洞

还有其他漏洞评分系统吗？

存在其他漏洞评分方法，如利用预测评分系统(EPSS)。但现实是，没有哪个系统像CVSS那样获得广泛采用。

漏洞评分系统的不足之处

CVSS确实提供了漏洞的基本评估。但不幸的是，它在多个方面存在不足，这使得单独使用它是不够的。

静态评分和盲点

CVSS的一个不足之处是它使用静态、固定的评分模型。系统在首次识别漏洞时分配严重性分数。尽管情况发生变化，这个分数永远不会更新。正如您可能想象的那样，这是有缺陷的，因为今天被归类为"低"的漏洞将来可能转变为更高优先级。简而言之，CVSS只捕捉了一个时间点的画面，没有考虑环境的变化。

例如，一个"5.0"的中等分数乍一看可能似乎不重要。进一步来说，如果发现并升级了利用，固有风险会急剧增加。没有额外情境的好处，决策者可能会错误地优先处理漏洞。

什么是风险情境？

CVSS的另一个潜在不足是它可能不会针对组织的特定操作环境或风险情境进行调整。漏洞的风险通常取决于组织和情境。例如，银行面向公众的服务器上的漏洞比部门内部少数人使用的内部服务器上的相同漏洞风险更大。对于处理敏感数据的组织（如医院），“低严重性"漏洞可能是灾难性的。暴露医疗记录的可能性比其他类型的客户数据泄露具有更高的监管风险。监管情境表明了提升的组织风险。

简而言之，风险情境很重要。每个适用的漏洞必须在适当的组织和使用情境中进行判断——可能纳入组织更广泛的风险管理工作。

计算漏洞分数

CVSS在优先级排序方面存在不足，通过这个例子可以生动说明：

CVSS分数为5.0可能表示中等严重性。仅基于这个静态数字做出决策可能导致漏洞被过早忽略。漏洞可能仍然未解决，并为组织带来潜在和错误分类的风险。

相比之下，领导者应该参与漏洞的情境。管理层可能会注意到CVSS 5.0漏洞在利用源中趋势上升，具有相关的勒索软件利用，并且存在于高度关键的服务器上。这些额外的"红旗"条件意味着漏洞可能威胁组织的运营——因此必须根据风险适当优先处理。

简而言之，仅依赖CVSS等同于隧道视野，可能使组织处于脆弱状态。

更好的漏洞评分方法

一刀切的漏洞评分有其局限性。Ivanti的漏洞风险评级(VRR)通过利用动态情境和环境因素来评估风险，超越了静态CVSS分数。

用于生成漏洞风险评级的因素有哪些？

VRR通过在传统CVSS输入之上分层情境来定义：

• CVSS分数：用作初始基线
• 可利用性：漏洞是否正在被积极利用？
• 趋势：漏洞是否出现在利用工具包、勒索软件活动或其他恶意工具中？
• 严重性动态：随着新风险的出现，VRR会更新，使其对最新威胁具有响应性和相关性

VRR为组织提供现实世界的优先级排序。在实践中，这意味着高风险漏洞不会从裂缝中溜走，而低风险问题不会给可能已经分散的团队增加额外压力。

主动漏洞管理从这里开始

智能漏洞管理应该关注的不只是填补空白。它还关乎拓宽您的视野。静态、通用的评分系统不再支持现代IT环境的需求。

使用Ivanti的VRR，组织可以获得很多好处。首先，您可以放心，修复工作与现实世界的风险保持一致。对组织健康和安全状况的可见性使您在保持领先于威胁方面具有优势。更不用说证明降低风险的能力对于网络保险和合规性至关重要。

提升漏洞管理水平意味着要超越CVSS的局限性。