如何計算CVSS標準中的影響度量標準

Question

我正在嘗試計算CVSS標準中的影響度量標準（機密性，可用性和完整性）。

任何人都可以建議如何做到這一點？

Answer 1

首先，CVSS v2和v3之間存在區別，所以您需要指定您使用哪一個（一個'完成'另一個'高'作爲CIA的可能影響）。

無論如何，爲了評估正確的影響，您需要了解漏洞和標準。官方標準有很多不同的例子。

這裏有一對：假設您有一個漏洞，允許您通過從遠程發送格式錯誤的請求來崩潰Apache Web服務器。如果我們必須爲Web服務器本身分配一個CVSS分數，機密性不會受到影響，因爲沒有任何內容泄漏，Integrity不會受到影響，因爲沒有數據被操縱。然而，可用性將完全受到影響，因爲服務器不再響應。但是，我們假設我們必須爲同一個問題分配一個CVSS，這次我們只爲操作系統（例如運行http服務器的服務器本身）執行此操作。雖然機密性和完整性仍然沒有受到影響，但服務器的可用性只會部分受到影響。儘管Web服務器可能不再響應，但其他服務可能（例如SSH，Mailserver等）。

這是爲了說清楚，CVSS不能自動計算，但必須針對與受影響的軟件組件相關的每個漏洞進行評估。標準中還有其他一些缺陷，所以我強烈建議你閱讀它！

Answer 2

您應該使用標準中提供的定義，因爲您遵循標準以標準化和普遍同意的方式傳達結果。 參考此文檔：https://www.first.org/cvss/specification-document