| name | prioritizing-vulnerabilities-with-cvss-scoring |
| description | 通用漏洞评分系统（CVSS）是由 FIRST（事件响应和安全团队论坛）维护的行业标准框架，用于评估漏洞严重性。CVSS v4.0 于 2023 年 11 月发布，引入了更精确的评分指标。 |
| domain | cybersecurity |
| subdomain | vulnerability-management |
| tags | ["vulnerability-management","cve","cvss","risk","prioritization","nist"] |
| version | 1.0 |
| author | mahipal |
| license | Apache-2.0 |
使用 CVSS 评分确定漏洞优先级
概述
通用漏洞评分系统（CVSS）是由 FIRST（事件响应和安全团队论坛）维护的行业标准框架，用于评估漏洞严重性。CVSS v4.0（2023 年 11 月发布）引入了更精细的指标以实现更准确的评分。本技能涵盖计算 CVSS 分数、解读向量字符串，以及将 CVSS 与 EPSS 和 CISA KEV 等上下文因素结合用于有效的漏洞优先级排序。
前置条件
- 了解常见漏洞类型（缓冲区溢出、注入、XSS 等）
- 熟悉网络概念（攻击向量、协议）
- 访问 NVD（国家漏洞数据库）进行 CVE 查询
- 需要优先排序的漏洞扫描结果
核心概念
CVSS v4.0 指标组
1. 基础指标（固有严重性）
表示漏洞的固有特征：
可利用性指标：
- 攻击向量（AV）：网络（N）、相邻（A）、本地（L）、物理（P）
- 攻击复杂性（AC）：低（L）、高（H）
- 攻击要求（AT）：无（N）、存在（P）- v4.0 新增
- 所需权限（PR）：无（N）、低（L）、高（H）
- 用户交互（UI）：无（N）、被动（P）、主动（A）- v4.0 扩展
影响指标（受影响系统）：
- 机密性（VC）：无（N）、低（L）、高（H）
- 完整性（VI）：无（N）、低（L）、高（H）
- 可用性（VA）：无（N）、低（L）、高（H）
影响指标（后续系统）：
- 机密性（SC）：无（N）、低（L）、高（H）
- 完整性（SI）：无（N）、低（L）、高（H）
- 可用性（SA）：无（N）、低（L）、高（H）
2. 威胁指标（动态上下文）
- 利用成熟度（E）：已被攻击（A）、概念验证（P）、未报告（U）
3. 环境指标（组织特定）
基础指标的修改版本，反映本地部署上下文，以及：
- 机密性要求（CR）：高（H）、中（M）、低（L）
- 完整性要求（IR）：高（H）、中（M）、低（L）
- 可用性要求（AR）：高（H）、中（M）、低（L）
4. 补充指标（参考信息）
- 安全性（S）：存在（P）、可忽略（X）
- 可自动化（AU）：是（Y）、否（N）
- 恢复性（R）：自动（A）、用户（U）、不可恢复（I）
- 价值密度（V）：分散（D）、集中（C）
- 漏洞响应工作量（RE）：低（L）、中（M）、高（H）
- 提供商紧迫性（U）：红、琥珀、绿、透明
CVSS v4.0 严重性评级
| 分数范围 | 严重性 |
|---|
| 0.0 | 无 |
| 0.1 - 3.9 | 低 |
| 4.0 - 6.9 | 中 |
| 7.0 - 8.9 | 高 |
| 9.0 - 10.0 | 严重 |
CVSS v4.0 向量字符串格式
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
此示例表示一个网络可利用漏洞，无需权限、无需用户交互、无攻击要求，对受影响系统的机密性、完整性和可用性具有高影响。
工作流程
步骤 1：评估基础指标
对每个漏洞进行评估：
示例：CVE-2024-3094（XZ Utils 后门）
攻击向量： 网络（N） - 可通过网络利用
攻击复杂性： 高（H） - 需要特定条件
攻击要求： 存在（P） - 需要特定构建/配置
所需权限： 无（N） - 无需认证
用户交互： 无（N） - 无需受害者操作
受影响系统影响：
机密性： 高（H） - 完全访问 SSH 密钥
完整性： 高（H） - 任意代码执行
可用性： 高（H） - 完全系统入侵
后续系统影响：
机密性： 高（H） - 可能横向移动
完整性： 高（H） - 全网络入侵
可用性： 无（N） - 无下游可用性影响
向量：CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:N
步骤 2：应用威胁情报上下文
使用实际威胁数据丰富 CVSS：
利用成熟度： 已被攻击（A） - 野外主动利用
EPSS 评分： 0.94 - 30 天内被利用的概率为 94%
CISA KEV： 已列入 - 联邦机构强制修复
步骤 3：计算环境评分
根据组织上下文调整：
机密性要求： 高（H） - 处理 PII/财务数据
完整性要求： 高（H） - 关键业务流程
可用性要求： 中（M） - 具有 DR/故障转移能力
修改后的攻击向量：网络（N） - 面向互联网部署
步骤 4：多因素优先级矩阵
将 CVSS 与其他优先级因素结合：
| 因素 | 权重 | 来源 |
|---|
| CVSS 基础评分 | 25% | NVD/扫描器 |
| EPSS 评分 | 25% | FIRST EPSS API |
| 资产重要性 | 20% | 资产清单/CMDB |
| CISA KEV 列入 | 15% | CISA 目录 |
| 网络暴露 | 15% | 网络分段数据 |
步骤 5：定义修复 SLA
| 优先级 | CVSS 范围 | EPSS | 资产层级 | SLA |
|---|
| P1 - 紧急 | 9.0-10.0 | >0.5 | 一级 | 24-48 小时 |
| P2 - 严重 | 7.0-8.9 | >0.3 | 一至二级 | 7 天 |
| P3 - 高 | 7.0-8.9 | <0.3 | 二至三级 | 14 天 |
| P4 - 中 | 4.0-6.9 | 任意 | 任意 | 30 天 |
| P5 - 低 | 0.1-3.9 | 任意 | 任意 | 90 天 |
最佳实践
- 切勿仅依赖 CVSS 基础评分进行优先级排序
- 始终纳入威胁情报（EPSS、KEV、漏洞利用数据库）
- 在 CMDB 中维护准确的资产重要性评级
- 针对特定部署上下文调整环境指标
- 使用 CVSS v4.0 向量字符串在团队间精确沟通
- 记录评分依据以便审计追踪和一致性
- 当新威胁情报可用时重新评估评分
- 培训修复团队解读 CVSS 指标和向量字符串
常见陷阱
- 将 CVSS 基础评分视为唯一优先级因素
- 忽略反映组织风险的环境指标
- 不在利用成熟度变化时更新威胁指标
- 混淆 CVSS 严重性与实际组织风险
- 使用过时的 CVSS v2.0 评分而非 v3.1/v4.0
- 过度依赖扫描器提供的评分而不验证
相关技能
- prioritizing-patches-with-exploit-prediction-scoring
- implementing-risk-based-vulnerability-management
- implementing-vulnerability-remediation-sla
