为什么通用漏洞评分系统（CVSS）是必要的——但也是不足的

最后更新：2025年3月12日

作者：Derek Illum

准确衡量漏洞带来的风险绝非易事。许多组织默认使用通用漏洞评分系统（CVSS）来评估漏洞的规模和范围。尽管CVSS是一个有用的工具，但它自身也存在局限性。

漏洞评分如何工作？

漏洞评分系统用于确定软件或系统漏洞的相关风险。数值评分帮助IT和安全团队了解如何以及在哪里分配资源以应对潜在风险。

漏洞评分考虑的因素包括利用漏洞的复杂性、对受影响系统的潜在影响，以及攻击成功是否需要管理员权限或用户交互。

CVSS是多种评分方法框架之一，但已成为行业领先的标准。这是因为它为漏洞沟通引入了高度的一致性。

什么是通用漏洞评分系统（CVSS）？

CVSS已成为计算漏洞严重性的首选方法。其目的是基于0到10的数值尺度，标准化利益相关者评估和排名漏洞的方式。

CVSS考虑哪些因素？

CVSS使用多个标准为企业基础设施中的漏洞分配重要性，例如：

• 攻击向量：漏洞的来源是什么？例如，它是存在于本地机器上、跨网络远程存在，还是其他上下文？
• 访问复杂性：利用过程的难度或复杂性如何？
• 身份验证：利用是否需要用户身份验证？
• 影响：威胁可能如何影响系统的机密性、完整性或可用性？
• 用户交互：事件是否需要用户采取行动，例如点击网络钓鱼电子邮件中的链接？

每个领域都被分配分数，然后汇总生成整体CVSS严重性评级。

CVSS命名法

CVSS分数通常分为严重性级别：

• 低（0.1–3.9）：风险较小，潜在损害轻微。
• 中（4.0–6.9）：表示中等风险，应采取行动。
• 高（7.0–8.9）：严重漏洞，需要立即采取行动。
• 严重（9.0–10）：由于广泛利用的严重潜在可能性，具有高度紧迫性的漏洞。

还有其他漏洞评分系统吗？

存在其他漏洞评分方法，如利用预测评分系统（EPSS）。然而，现实是，没有人像CVSS那样得到广泛采用。

漏洞评分系统的不足之处

CVSS确实提供了漏洞的基本评估。不幸的是，它在多个方面存在不足，这使得单独使用它时不够充分。

静态评分和盲点

CVSS的一个不足之处是它使用静态、固定的评分模型。系统在首次识别漏洞时分配严重性分数。尽管情况发生变化，这个分数从不更新。正如你可能想象的那样，这是有缺陷的，因为今天被分类为“低”的漏洞可能在未来转变为更高优先级。简而言之，CVSS只捕捉了一个时间点的画面，没有考虑环境的变化。

例如，一个“5.0”的中等分数乍一看可能似乎不重要。进一步下去，如果发现并升级了利用，固有风险会急剧增加。没有额外上下文的益处，决策者可能会错误地优先处理漏洞。

什么是风险上下文？

CVSS的另一个潜在不足是它可能不调整组织的特定操作环境或风险上下文。漏洞的风险通常取决于组织和上下文。例如，银行面向公众的服务器上的漏洞将比部门内部少数人使用的内部服务器上的相同漏洞带来更大的风险。对于处理敏感数据的组织，如医院，“低严重性”漏洞可能是灾难性的。暴露医疗记录的可能性比其他类型的泄露客户数据带来更高的监管风险。监管上下文告知了提升的组织风险。

简而言之，风险上下文很重要。每个适用的漏洞必须在适当的组织和使用上下文中进行判断——可能融入组织更广泛的风险管理工作中。

计算漏洞分数

CVSS在优先排序方面存在不足，如下例所示：

CVSS分数5.0可能表示中等严重性。仅基于这个静态数字做出决策可能导致漏洞被过早地忽略。漏洞可能未被解决，并对组织构成潜在和错误分类的风险。

相反，领导者应参与漏洞的上下文。管理层可能注意到CVSS 5.0漏洞在利用源中趋势上升，有相关的勒索软件利用，并且存在于高度关键的服务器上。这些额外的“红旗”条件意味着漏洞可能威胁组织的运营——因此必须根据风险适当优先排序。

简而言之，仅依赖CVSS等同于隧道视野，可能使组织易受攻击。

更好的漏洞评分方法

一刀切的漏洞分数有局限性。Ivanti的漏洞风险评级（VRR）通过利用动态上下文和环境因素来评估风险，超越了静态CVSS分数。

用于生成漏洞风险评级的因素有哪些？

VRR通过在传统CVSS输入之上分层上下文来定义：

• CVSS分数：用作初始基线。
• 可利用性：漏洞是否正在被积极利用？
• 趋势：漏洞是否出现在利用工具包、勒索软件活动或其他恶意工具中？
• 严重性动态：随着新风险的出现，VRR会更新，使其对最新威胁具有响应性和相关性。

VRR为组织提供现实世界的优先排序。在实践中，这意味着高风险漏洞不会溜走，而低风险问题不会给可能已经分散的团队增加额外压力。

主动漏洞管理从这里开始

智能漏洞管理应关注不仅仅是填补空白。它也关乎拓宽你的视野。静态、通用的评分系统不再支持现代IT环境的需求。

使用Ivanti的VRR，组织可以获得很多好处。首先，你可以放心，修复工作与现实世界的风险保持一致。对组织健康和风险态势的可见性使你在保持领先于威胁方面具有优势。更不用说，展示降低风险的能力对于网络保险和合规性至关重要。

提升漏洞管理水平意味着要超越CVSS的局限性。