CVSS v4.0漏洞评估计算器的采用

不确定该如何奖励上报的漏洞？ 我们分析了跨行业的640多个漏洞赏金项目，助您做出明智决策。公平奖励研究人员——立即试用我们的漏洞赏金计算器！

工作原理

该框架存在多个版本和适配方案。最新版本（4.0）旨在评估安全漏洞在多个环境和维度（包括可利用性、影响等）的严重性，并提供相应的数值评分。

评分基于三个关键组别：

基础组：代表随时间推移和环境变化而保持不变的固有元素。
威胁组：代表随时间变化的漏洞特征。
环境组：代表特定环境中独有的漏洞特征。

当所有这些元素结合时，会生成指标并与现实世界的攻击模式和风险管理对齐，以反映漏洞严重级别，从而优先处理响应行动。这帮助组织解决长期存在的优先级问题，并为他们在发现补丁和漏洞时提供排名和分级的数据。相较于先前版本，这些变化提升了CVSS的整体可用性。

“关于优先级，CVSS数值评分的有用性与其生成评分所利用的CVSS指标直接相关。因此，数值CVSS评分应使用传达其生成所用指标的命名法来枚举。” — First.org

版本4.0新增了一个称为“补充组”的组别，代表补充指标的特征。然而，该补充材料不影响最终评分，但提供额外上下文。

CVSS v4.0相较于v3.0的价值

CVSS v4.0带来了改进的评分粒度、更好地与现实世界风险评估对齐，以及帮助组织做出更明智安全决策的额外指标。通过更清晰的严重性评估，研究人员和组织都能从更一致和透明的评估流程中受益。版本4.0通过引入新元素（如缓解努力和恢复），提供了对现实世界风险的增强视图和表示，这些元素改变了学习、适应和成长的能力，并可根据用户的需求和挑战进行定制。

CVSS v3.0和CVSS v4.0之间存在许多差异。根据FIRST.ORG网站提供的信息，变更包括以下内容：

范围移除：范围的概念被易受攻击系统（VC、VI、VA）和后续系统（SC、SI、SA）的概念所取代，在相关情况下捕获两者的影响。
评估软件库（及类似）中的漏洞：新指南解释了如何评估库中漏洞的影响。
多个CVSS基础（CVSS-B）评分：指南明确允许为影响多个产品版本、平台和/或操作系统的漏洞生成多个CVSS基础评分。
使用环境安全需求指标的指南：环境指标组包括三个安全需求指标：易受攻击系统的机密性需求（CR）、完整性需求（IR）和可用性需求（AR）。

CVSS v4.0与其他评分系统

网络安全领域存在多种类型的评分系统。许多框架对于满足合规性和法规至关重要，并且可以结合使用以提供全面的安全态势视图。

NIST：国家标准与技术研究院框架旨在帮助企业使用识别、保护、检测、响应和恢复功能来识别、管理和降低风险。虽然该框架最初旨在支持和保护美国国防部的基础设施，但现在已被全球多个行业用作框架。
MITRE ATT&CK框架：作为对手战术、技术和程序（TTP）的知识库，其“使命是通过聚集社区开发更有效的安全来解决问题，创造更安全的世界”。这些TTP基于现实世界的观察，全球可访问，并用作威胁模型和方法论的基础。该模型在私营部门和政府实体中广泛使用。
OWASP：开放Web应用程序安全项目是一个基金会，旨在通过提供最关键的Web应用程序风险的“前10名”列表来改进软件安全性。安全研究人员和漏洞赏金猎人通常将OWASP前10视为定义最关键的Web应用程序安全风险的官方排名。
EPSS：利用预测评分系统由FIRST创建，用于估计漏洞在野外被利用的可能性。目标是优先处理漏洞，提供严重性度量，并弥合威胁信息与现实世界利用数据之间的差距。该模型为每个漏洞的概率提供评分。数字越高，漏洞被利用的可能性越大。
DREAD：“损害、可复现性、可利用性、受影响用户和可发现性”是微软创建的框架，用于评估已识别威胁的严重性。该基于评分的系统用于衡量已识别威胁的潜在严重性。它通常与“攻击模拟过程”（PASTA）和“欺骗、篡改、抵赖、信息泄露、拒绝服务和权限提升”（STRIDE）框架协同工作。

每个框架都有其优点。但CVSS 4.0在漏洞评分方面的优势在于新增了基础指标和值，以提供影响指标的可见性和粒度。

Intigriti对CVSS 4.0的引入

虽然CVSS v3.0计算器一直是可靠的标准，但CVSS v4.0提供了精确和全面的漏洞评估，使客户在评估和优先处理漏洞方面具有更大的灵活性，确保与不断发展的安全需求和风险管理策略保持一致。

随着CVSS 4.0的引入，我们的目标是为客户提供改进的漏洞评估准确性，帮助他们更有效地优先处理修复工作。CVSS 4.0的增强评分系统允许更精确的漏洞评估，促进研究人员奖励的更好对齐，并使组织能够就修复和资源分配做出更明智的决策。

Intigriti首席黑客官Inti De Ceukelaire和产品营销经理Yannick Merckx指出：

“我们将继续监控行业趋势和不断变化的客户需求，以确保我们的平台不仅符合最佳实践和新兴标准，而且能预见未来需求。随着CVSS 4.0经过全面测试并被大部分客户采用，我们完全致力于在整个过渡期间支持他们，提供必要的工具和平台增强功能。”

注意事项与后续步骤

该计算器对所有Intigriti客户可用。配置在公司级别设置，意味着组织内的所有项目都采用新的严重性评估方法。公司可以在准备好时随时切换到CVSS 4.0。

有关我们采用CVSS 4.0的更多信息，请阅读此博客或在此处联系团队。

作者
Eleanor Barlow
高级网络安全技术作家

您可能还喜欢

DORA已到来——您准备好了吗？（2025年1月17日）继续阅读
您的企业应跟踪的12个事件响应指标（2024年10月17日）继续阅读
如何优化您的漏洞管理流程（2024年7月31日）继续阅读

CVSS v4.0漏洞评估计算器：精准量化漏洞严重性的新标准

本文深入解析CVSS v4.0漏洞评估框架的核心机制，对比v3.0版本的改进特性，探讨其与其他评分系统的协同作用，并介绍Intigriti平台对CVSS 4.0的实践应用，帮助组织实现更精准的漏洞优先级管理。