CVSS(Common Vulerability Scoring System,通用漏洞评估方法)，是由NIAC 发布、FITST维护的开放式行业标准，CVSS 的发布为信息安全产业从业人员交流网络中所存在的系统漏洞的特点与影响提供了一个开放式的评价方法。
1.度量（Metrics）
CVSS3.0由三个基本尺度组成,
基本（Base）：代表着漏洞的原始属性，不受时间与环境的影响，又由Exploitability可执行性与影响程度Impact 度量。
时间（Temporal）：反应漏洞随着时间推移的影响而不受环境影响，举个简单的例子，随着一个漏洞软件的补丁不断增加，该漏洞的CVSS分数会随之减少。
环境（Environmental）：代表特定环境下执行漏洞的分数，允许根据相应业务需求提高或者降低该分值。
2.分数（Scoring）
Base分值由专业的分析人员给出，分数在0.0-10.0之间，可以在美国国家漏洞数据库官网上搜到相应CVE漏洞的分值
计算方法可见下表：
对于时间与环境的分值是一种可选项，可根据具体的商业环境来选择。
3.Base Merics具体计算方法
| 攻击向量（AV） | 网络（N）/邻居（A）/本地（L）/物理（P） | 0.85 / 0.62 / 0.55 / 0.2 |
| 攻击复杂度（AC） | 低（L）/高（H） |
0.77 / 0.44 |
| 权限要求（PR） |
无（N）/低（L）/高（H） | 0.85 / 0.62(0.68) / 0.27(0.50) |
| 用户交互（UI） |
不需要（N）/需要（R） | 0.85 / 0.62 |
| 影响范围（UI） | 不改变（U）/改变（C） | 根据Impact sub score和ISC取值 |
| 机密性（C） |
无（N）/低（L）/高（H） | 0 / 0.22 / 0.56 |
| 完整性（I） | 无（N）/低（L）/高（H） | 0 / 0.22 / 0.56 |
| 可用性（A） |
无（N）/低（L）/高（H） | 0 / 0.22 / 0.56 |
4.Time具体计算方法
| 利用代码的成熟度（E） | 未验证（U）/PoC（P）/EXP（F）/自动化利用（H） | 0.91 / 0.94 / 0.97 / 1 |
| 修复方案（RL） |
正式补丁（O）/临时补丁（T）/缓解措施（W）/不可用（U） | 0.95 / 0.96 / 0.97 / 1 |
| 来源可信度（RC） | 未知（U）/未完全确认（R）/已确认（C） |
0.92 / 0.96 / 1 |
5.Environmental具体计算方法
| 环境分数（可选） | |
|---|---|
| 机密性要求(CR) | 未定义(X) 低(L) 中(M) 高(H) |
| 完整性要求(IR) | 未定义(X) 低(L) 中(M) 高(H) |
| 可用性要求(AR) | 未定义(X) 低(L) 中(M) 高(H) |
| 修改基础度量指标
(Modified Base Metrics) |
Modified Attack Vector (MAV) Modified Attack Complexity (MAC) Modified Privileges required (MPR) Modified User Interaction (MUI) Modified Scope (MS) Modified Confidentiality (MC) Modified Integrity (MI) Modified Availability (MA) |
CVSS 3.0 官方文档：https://www.first.org/cvss/specification-document
版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 [email protected] 举报，一经查实，本站将立刻删除。
