Общая система оценки уязвимостей

Общая система оценки уязвимостей ( CVSS ) — это бесплатный и открытый отраслевой стандарт для оценки серьезности безопасности компьютерных систем уязвимостей . CVSS пытается присвоить уязвимостям степень серьезности, позволяя службам реагирования расставлять приоритеты ответов и ресурсов в соответствии с угрозой. Оценки рассчитываются по формуле, которая зависит от нескольких показателей , которые приблизительно определяют простоту и воздействие эксплойта. Баллы варьируются от 0 до 10, где 10 — самая тяжелая степень. Хотя многие используют только базовую оценку CVSS для определения серьезности, также существуют временные оценки и оценки окружающей среды, которые учитывают наличие мер по смягчению последствий и степень распространенности уязвимых систем в организации соответственно.

Текущая версия CVSS (CVSSv4.0) была выпущена в ноябре 2023 года. ^[1]

История

Исследования Национального консультативного совета по инфраструктуре (NIAC) в 2003/2004 году привели к запуску версии 1 CVSS (CVSSv1) в феврале 2005 года. ^[2] с целью быть «разработанным для предоставления открытых и универсально стандартных оценок серьезности уязвимостей программного обеспечения». Этот первоначальный проект не подвергался экспертному рассмотрению или рассмотрению другими организациями. В апреле 2005 года NIAC выбрал Форум групп реагирования на инциденты и безопасности ( FIRST ) в качестве хранителя CVSS для будущего развития. ^[3]^[4]

Отзывы поставщиков, использующих CVSSv1 в производстве, показали, что в первоначальном проекте CVSS были «серьезные проблемы». Работа над CVSS версии 2 (CVSSv2) началась в апреле 2005 года, а окончательная спецификация была выпущена в июне 2007 года. ^[5]

Дальнейшие отзывы привели к началу работы над CVSS версии 3. ^[6] в 2012 году, а в июне 2015 года был выпущен CVSSv3.0. ^[7]^[2]

Терминология

Оценка CVSS измеряет три проблемные области:

базовые метрики качеств, присущих уязвимости,
временные метрики для характеристик, которые изменяются в течение срока службы уязвимости, и
метрики среды для уязвимостей, которые зависят от конкретной реализации или среды.

Для каждой из этих групп показателей генерируется числовая оценка. Векторная строка (или просто «вектор» в CVSSv2) представляет значения всех метрик в виде блока текста.

Версия 2

Полную документацию по CVSSv2 можно получить на сайте FIRST. ^[8] Краткое изложение представлено ниже.

Базовые метрики

Вектор доступа

Вектор доступа (AV) показывает, как можно использовать уязвимость.

Ценить	Описание	Счет
Местный (Л)	Злоумышленник должен иметь либо физический доступ к уязвимой системе (например, атаки FireWire ), либо локальную учетную запись (например, атака повышения привилегий ).	0.395
Соседняя сеть (А)	Злоумышленник должен иметь доступ к широковещательному домену или домену коллизий уязвимой системы (например, подмена ARP , атаки Bluetooth).	0.646
Сеть (Н)	Уязвимый интерфейс работает на уровне 3 или выше сетевого стека OSI. Эти типы уязвимостей часто описываются как доступные для удаленного использования (например, удаленное переполнение буфера в сетевой службе).	1.0

Сложность доступа

Метрика сложности доступа (AC) описывает, насколько легко или сложно воспользоваться обнаруженной уязвимостью.

Ценить	Описание	Счет
Высокий (Н)	Существуют специализированные условия, такие как состояние гонки с узким окном или потребность в методах социальной инженерии , которые легко заметят знающие люди.	0.35
Средний (М)	Существуют некоторые дополнительные требования к атаке, такие как ограничение на источник атаки или требование, чтобы уязвимая система работала с необычной конфигурацией, отличной от настройки по умолчанию.	0.61
Низкий (Л)	Особых условий для эксплуатации уязвимости не существует, например, когда система доступна большому количеству пользователей или уязвимая конфигурация распространена повсеместно.	0.71

Аутентификация

Метрика аутентификации (Au) описывает количество раз, которое злоумышленник должен пройти аутентификацию на цели, чтобы использовать ее. Он не включает (например) аутентификацию в сети для получения доступа. Для уязвимостей, которые можно использовать локально, для этого значения следует устанавливать значение «Одиночная» или «Множественная» только в том случае, если после первоначального доступа требуется дополнительная аутентификация.

Ценить	Описание	Счет
Несколько (М)	Использование уязвимости требует, чтобы злоумышленник прошел аутентификацию два или более раз, даже если каждый раз используются одни и те же учетные данные.	0.45
Одиночный (С)	Злоумышленнику необходимо один раз пройти аутентификацию, чтобы воспользоваться уязвимостью.	0.56
Нет (Н)	Аутентификация злоумышленнику не требуется.	0.704

Показатели воздействия

Конфиденциальность

Метрика конфиденциальности (C) описывает влияние на конфиденциальность данных, обрабатываемых системой.

Ценить	Описание	Счет
Нет (Н)	На конфиденциальность системы это не влияет.	0.0
Частичный (П)	Раскрывается значительная часть информации, но масштабы потерь ограничены, поэтому не все данные доступны.	0.275
Завершить (С)	Происходит тотальное раскрытие информации, обеспечивающее доступ к любым/всем данным в системе. Альтернативно, получается доступ только к некоторой ограниченной информации, но раскрытая информация оказывает прямое и серьезное воздействие.	0.660

Честность

Метрика Целостность (I) описывает влияние на целостность эксплуатируемой системы.

Ценить	Описание	Счет
Нет (Н)	Никакого влияния на целостность системы это не оказывает.	0.0
Частичный (П)	Модификация некоторых данных или системных файлов возможна, но объем модификации ограничен.	0.275
Завершить (С)	Полная потеря целостности; злоумышленник может изменить любые файлы или информацию в целевой системе.	0.660

Доступность

Метрика доступности (A) описывает влияние на доступность целевой системы. Атаки, которые потребляют пропускную способность сети, циклы процессора, память или любые другие ресурсы, влияют на доступность системы.

Ценить	Описание	Счет
Нет (Н)	На доступность системы это не влияет.	0.0
Частичный (П)	Снижение производительности или потеря некоторых функций.	0.275
Завершить (С)	Происходит полная потеря доступности атакуемого ресурса.	0.660

Расчеты

Эти шесть показателей используются для расчета возможности использования и влияния уязвимости. Эти промежуточные баллы используются для расчета общего базового балла.

${\textsf {Exploitability}}=20\times {\textsf {AccessVector}}\times {\textsf {AccessComplexity}}\times {\textsf {Authentication}}$

${\textsf {Impact}}=10.41\times (1-(1-{\textsf {ConfImpact}})\times (1-{\textsf {IntegImpact}})\times (1-{\textsf {AvailImpact}}))$

$f({\textsf {Impact}})={\begin{cases}0,&{\text{if }}{\textsf {Impact}}{\text{ = 0}}\\1.176,&{\text{otherwise }}\end{cases}}$

${\textsf {BaseScore}}={\textsf {roundTo1Decimal}}(((0.6\times {\textsf {Impact}})+(0.4\times {\textsf {Exploitability}})-1.5)\times f({\textsf {Impact}}))$

Метрики объединяются для создания вектора CVSS для уязвимости.

Пример

Уязвимость переполнения буфера затрагивает программное обеспечение веб-сервера, которое позволяет удаленному пользователю получить частичный контроль над системой, включая возможность вызвать ее завершение:

Метрика	Ценить	Описание
Вектор атаки	Сеть	Доступ к уязвимости возможен из любой сети, которая имеет доступ к целевой системе — обычно из всего Интернета.
Сложность атаки	Низкий	Особых требований для доступа нет.
Аутентификация	Никто	Для использования уязвимости не требуется аутентификация.
Конфиденциальность	Частичный	Злоумышленник может прочитать некоторые файлы и данные в системе.
Честность	Частичный	Злоумышленник может изменить некоторые файлы и данные в системе.
Доступность	Полный	Злоумышленник может привести к тому, что система и веб-служба станут недоступными/перестанут отвечать на запросы, выключив систему.

Это даст подоценку эксплуатационной способности 10 и подоценку воздействия 8,5, что дает общий базовый балл 9,0. Вектором базовой оценки в этом случае будет AV:N/AC:L/Au:N/C:P/I:P/A:C. Оценка и вектор обычно представляются вместе, чтобы позволить получателю полностью понять природу уязвимости и при необходимости рассчитать свою собственную экологическую оценку.

Временные метрики

Значение временных показателей меняется в течение срока существования уязвимости по мере разработки, раскрытия и автоматизации эксплойтов, а также по мере появления средств и исправлений.

Возможность использования

Метрика возможности использования (E) описывает текущее состояние методов эксплуатации или автоматизированного кода эксплуатации.

Ценить	Описание	Счет
Недоказано (U)	Код эксплойта недоступен, или эксплойт является теоретическим.	0.85
Проверка концепции (P)	Доступны коды для проверки концепции или демонстрационные атаки, но они непрактичны для широкого использования. Не работает против всех случаев уязвимости.	0.9
Функциональный (Ф)	Функциональный код эксплойта доступен и работает в большинстве ситуаций, когда присутствует уязвимость.	0.95
Высокий (Н)	Уязвимость может быть использована автоматическим кодом, в том числе мобильным (например, червем или вирусом).	1.0
Не определено (НД)	Это сигнал игнорировать данную оценку.	1.0

Уровень исправления

Уровень исправления (RL) уязвимости позволяет снизить временную оценку уязвимости по мере появления мер по снижению рисков и официальных исправлений.

Ценить	Описание	Счет
Официальное исправление (O)	Доступно полное решение поставщика — либо исправление, либо обновление.	0.87
Временное исправление (T)	Поставщик предлагает официальное, но временное исправление/устранение последствий.	0.90
Обходной путь (W)	Существует неофициальное решение или способ устранения проблемы, не принадлежащий поставщику, возможно, разработанный или предложенный пользователями затронутого продукта или другой третьей стороной.	0.95
Недоступно (U)	Решение отсутствует или невозможно применить предложенное решение. Это обычное начальное состояние уровня исправления при обнаружении уязвимости.	1.0
Не определено (НД)	Это сигнал игнорировать данную оценку.	1.0

Сообщить о доверии

Достоверность отчета (RC) об уязвимости измеряет уровень уверенности в существовании уязвимости, а также достоверность технических деталей уязвимости.

Ценить	Описание	Счет
Неподтверждено (UC)	Один неподтвержденный источник или несколько противоречивых источников. Слухи об уязвимости.	0.9
Неподтвержденный (UR)	Несколько источников, которые в целом сходятся во мнении: может существовать определенная неопределенность относительно уязвимости.	0.95
Подтверждено (С)	Признано и подтверждено продавцом или производителем соответствующего продукта.	1.0
Не определено (НД)	Это сигнал игнорировать данную оценку.	1.0

Расчеты

Эти три метрики используются вместе с уже рассчитанной базовой оценкой для получения временной оценки уязвимости с соответствующим вектором.

Формула, используемая для расчета временного показателя:

${\textsf {TemporalScore}}={\textsf {roundTo1Decimal}}({\textsf {BaseScore}}\times {\textsf {Exploitability}}\times {\textsf {RemediationLevel}}\times {\textsf {ReportConfidence}})$

Пример

Продолжая приведенный выше пример, если поставщик был впервые проинформирован об уязвимости путем публикации кода проверки концепции в списке рассылки, начальная временная оценка будет рассчитана с использованием значений, показанных ниже:

Метрика	Ценить	Описание
Возможность использования	Подтверждение концепции	Для подтверждения концепции предоставляется неавтоматизированный код, демонстрирующий базовую функциональность эксплойта.
Уровень исправления	Недоступно	У поставщика еще не было возможности предоставить меры по устранению или исправлению.
Сообщить о доверии	Неподтвержденный	Был единственный отчет об уязвимости.

Это даст временную оценку 7,3 с временным вектором E:P/RL:U/RC:UC (или полным вектором AV:N/AC:L/Au:N/C:P/I:P /A:C/E:P/RL:U/RC:UC).

Если затем поставщик подтверждает наличие уязвимости, то оценка повышается до 8,1 с временным вектором E:P/RL:U/RC:C.

Временное исправление от поставщика снизит оценку обратно до 7,3 (E:P/RL:T/RC:C), тогда как официальное исправление снизит ее еще больше до 7,0 (E:P/RL:O/RC:C). . Поскольку невозможно быть уверенным в том, что каждая затронутая система исправлена или исправлена, временной показатель не может снизиться ниже определенного уровня в зависимости от действий поставщика и может увеличиться, если будет разработан автоматический эксплойт для уязвимости.

Экологические показатели

Метрики окружающей среды используют базовую и текущую временную оценку для оценки серьезности уязвимости в контексте способа развертывания уязвимого продукта или программного обеспечения. Эта мера рассчитывается субъективно, как правило, заинтересованными сторонами.

Потенциальный сопутствующий ущерб

Показатель потенциала сопутствующего ущерба (CDP) измеряет потенциальные потери или воздействие либо на физические активы, такие как оборудование (и жизни), либо финансовые последствия для пострадавшей организации в случае использования уязвимости.

Ценить	Описание	Счет
Нет (Н)	Нет возможности потери имущества, доходов или производительности.	0
Низкий (Л)	Незначительный ущерб активам или незначительная потеря дохода или производительности.	0.1
Низкий-средний (LM)	Умеренный ущерб или утрата	0.3
Средне-высокий (MH)	Значительный ущерб или утрата	0.4
Высокий (Н)	Катастрофический ущерб или утрата	0.5
Не определено (НД)	Это сигнал игнорировать данную оценку.	0

Целевое распределение

Метрика целевого распределения (TD) измеряет долю уязвимых систем в среде.

Ценить	Описание	Счет
Нет (Н)	Целевых систем не существует, или они существуют только в лабораторных условиях.	0
Низкий (Л)	1–25 % систем подвержены риску	0.25
Средний (М)	26–75% систем подвержены риску	0.75
Высокий (Н)	76–100 % систем подвержены риску	1.0
Не определено (НД)	Это сигнал игнорировать данную оценку.	1.0

Модификатор подоценки воздействия

Три дополнительных показателя оценивают конкретные требования безопасности к конфиденциальности (CR), целостности (IR) и доступности (AR), что позволяет точно настроить оценку среды в соответствии со средой пользователя.

Ценить	Описание	Счет
Низкий (Л)	Утрата (конфиденциальности/целостности/доступности), вероятно, окажет лишь ограниченное влияние на организацию.	0.5
Средний (М)	Утрата (конфиденциальности/целостности/доступности), вероятно, окажет серьезное воздействие на организацию.	1.0
Высокий (Н)	Утрата (конфиденциальности/целостности/доступности) может иметь катастрофические последствия для организации.	1.51
Не определено (НД)	Это сигнал игнорировать данную оценку.	1.0

Расчеты

Пять показателей окружающей среды используются вместе с ранее оцененными базовыми и временными показателями для расчета показателя окружающей среды и создания соответствующего вектора окружающей среды.

${\textsf {AdjustedImpact}}=\min(10,10.41\times (1-(1-{\textsf {ConfImpact}}\times {\textsf {ConfReq}})\times (1-{\textsf {IntegImpact}}\times {\textsf {IntegReq}})\times (1-{\textsf {AvailImpact}}\times {\textsf {AvailReq}})))$

${\textsf {AdjustedTemporal}}={\textsf {TemporalScore}}{\text{ recomputed with the }}{\textsf {BaseScore}}{\text{s }}{\textsf {Impact}}{\text{ sub-equation replaced with the }}{\textsf {AdjustedImpact}}{\text{ equation}}$

${\textsf {EnvironmentalScore}}={\textsf {roundTo1Decimal}}(({\textsf {AdjustedTemporal}}+(10-{\textsf {AdjustedTemporal}})\times {\textsf {CollateralDamagePotential}})\times {\textsf {TargetDistribution}})$

Пример

Если бы вышеупомянутый уязвимый веб-сервер использовался банком для предоставления услуг онлайн-банкинга и у поставщика было доступно временное исправление, то экологический рейтинг можно было бы оценить как:

Метрика	Ценить	Описание
Потенциальный сопутствующий ущерб	Средне-высокий	Это значение будет зависеть от того, к какой информации сможет получить доступ злоумышленник в случае эксплуатации уязвимой системы. В данном случае я предполагаю, что некоторая личная банковская информация доступна, поэтому это оказывает значительное влияние на репутацию банка.
Целевое распределение	Высокий	На всех веб-серверах банка установлено уязвимое программное обеспечение.
Требование конфиденциальности	Высокий	Клиенты ожидают, что их банковская информация будет конфиденциальной.
Требование целостности	Высокий	Финансовая и личная информация не должна быть изменена без разрешения.
Требование доступности	Низкий	Недоступность услуг онлайн-банкинга, скорее всего, станет неудобством для клиентов, но не катастрофическим.

Это даст оценку окружающей среды 8,2 и экологический вектор CDP:MH/TD:H/CR:H/IR:H/AR:L. Этот балл находится в диапазоне 7,0–10,0 и, следовательно, представляет собой критическую уязвимость в контексте бизнеса пострадавшего банка.

Критика версии 2

Несколько поставщиков и организаций выразили недовольство CVSSv2.

Risk Based Security, которая управляет базой данных уязвимостей с открытым исходным кодом , и Open Security Foundation совместно опубликовали публичное письмо в адрес FIRST относительно недостатков и сбоев CVSSv2. ^[9] Авторы указали на отсутствие детализации в некоторых показателях, что приводит к тому, что векторы и оценки CVSS не позволяют должным образом различать уязвимости разных типов и профилей риска. Также было отмечено, что система оценки CVSS требует слишком много знаний о точном влиянии уязвимости.

Oracle представила новое значение метрики «Частичное+» для конфиденциальности, целостности и доступности, чтобы заполнить очевидные пробелы в описании между частичным и полным в официальных спецификациях CVSS. ^[10]

Версия 3

Чтобы устранить некоторые из этих критических замечаний, в 2012 году была начата разработка CVSS версии 3. Окончательная спецификация была названа CVSSv3.0 и выпущена в июне 2015 года. Помимо документа со спецификациями, также были выпущены руководство пользователя и документ с примерами. ^[11]

Несколько показателей были изменены, добавлены и удалены. Числовые формулы были обновлены, чтобы включить новые показатели, сохранив при этом существующий диапазон оценок от 0 до 10. Рейтинги серьезности текста: «Нет» (0), «Низкий» (0,1–3,9), «Средний» (4,0–6,9), «Высокий» (7,0–8,9) и «Критический» (9,0–10,0). ^[12] были определены аналогично категориям NVD, определенным для CVSSv2, которые не были частью этого стандарта. ^[13]

Изменения по сравнению с версией 2

Базовые метрики

В базовый вектор были добавлены новые метрики «Взаимодействие с пользователем» (UI) и «Требуемые привилегии» (PR), чтобы помочь различать уязвимости, для использования которых требуется взаимодействие с пользователем или права пользователя или администратора. Ранее эти концепции были частью метрики вектора доступа CVSSv2. Пользовательский интерфейс может принимать значения None или Required; атаки, не требующие входа в систему в качестве пользователя, считаются более серьезными. PR может принимать значения «Нет», «Низкий» или «Высокий»; Аналогичным образом, атаки, требующие меньшего количества привилегий, являются более серьезными.

В базовом векторе также была введена новая метрика Scope (S), которая была разработана, чтобы прояснить, какие уязвимости могут быть использованы, а затем использованы для атаки на другие части системы или сети. Эти новые метрики позволяют базовому вектору более четко выразить тип оцениваемой уязвимости.

Метрики конфиденциальности, целостности и доступности (C, I, A) были обновлены, чтобы иметь оценки, состоящие из «Нет», «Низкий» или «Высокий», а не «Нет», «Частичный» и «Полный», как в CVSSv2. Это обеспечивает большую гибкость при определении влияния уязвимости на показатели ЦРУ.

«Сложность доступа» была переименована в «Сложность атаки» (AC), чтобы было понятно, что права доступа были вынесены в отдельную метрику. Эта метрика теперь описывает, насколько повторяемым может быть использование этой уязвимости; AC имеет высокий уровень, если злоумышленнику требуется идеальное время или другие обстоятельства (кроме взаимодействия с пользователем, которое также является отдельной метрикой), которые невозможно легко воспроизвести при будущих попытках.

В вектор атаки (AV) было включено новое значение метрики «Физический» (P) для описания уязвимостей, для работы которых требуется физический доступ к устройству или системе.

Временные метрики

Временные метрики практически не изменились по сравнению с CVSSv2.

Экологические показатели

Метрики окружающей среды CVSSv2 были полностью удалены и заменены, по сути, второй базовой оценкой, известной как модифицированный вектор. Модифицированная база предназначена для отражения различий внутри организации или компании по сравнению с миром в целом. Были добавлены новые показатели, отражающие важность конфиденциальности, целостности и доступности для конкретной среды.

Критика версии 3

В своем блоге в сентябре 2015 года Координационный центр CERT обсудил ограничения CVSSv2 и CVSSv3.0 для использования при оценке уязвимостей в новых технологических системах, таких как Интернет вещей. ^[14]

Версия 3.1

Небольшое обновление CVSS было выпущено 17 июня 2019 года. Целью CVSSv3.1 было уточнение и улучшение существующего стандарта CVSSv3.0 без введения новых метрик или значений метрик, что позволило беспрепятственно принять новый стандарт путем оценки как поставщиков, так и потребителей. Удобство использования было главным фактором при улучшении стандарта CVSS. Некоторые изменения, внесенные в CVSSv3.1, призваны улучшить ясность понятий, представленных в CVSSv3.0, и тем самым повысить общую простоту использования стандарта.

Компания FIRST использовала мнения отраслевых экспертов, чтобы продолжать совершенствовать и совершенствовать CVSS, чтобы сделать его все более применимым к уязвимостям, продуктам и платформам, разрабатываемым за последние 15 лет и за его пределами. Основная цель CVSS — предоставить детерминированный и воспроизводимый способ оценки серьезности уязвимости для множества различных групп, позволяя потребителям CVSS использовать эту оценку в качестве входных данных для более широкой матрицы принятия решений по рискам, исправлению и смягчению последствий, специфичных для их конкретных целей. особая среда и толерантность к риску.

Обновления спецификации CVSSv3.1 включают уточнения определений и объяснение существующих базовых показателей, таких как вектор атаки, требуемые привилегии, область действия и требования безопасности. Также был определен новый стандартный метод расширения CVSS, названный CVSS Extensions Framework, позволяющий провайдеру оценки включать дополнительные метрики и группы метрик, сохраняя при этом официальные базовые, временные и экологические метрики. Дополнительные показатели позволяют таким отраслевым секторам, как конфиденциальность, безопасность, автомобилестроение, здравоохранение и т. д., оценивать факторы, выходящие за рамки основного стандарта CVSS. Наконец, глоссарий терминов CVSS был расширен и уточнен, чтобы охватить все термины, используемые в документации CVSSv3.1.

Версия 4.0

В июне 2023 года была выпущена общедоступная предварительная версия CVSSv4.0, содержащая ряд улучшений. ^[15] Версия 4.0 была официально выпущена в ноябре 2023 года. ^[1]

Принятие

Версии CVSS были приняты в качестве основного метода количественной оценки серьезности уязвимостей широким кругом организаций и компаний, в том числе:

Национальная база данных уязвимостей (NVD) ^[16]
База данных уязвимостей с открытым исходным кодом (OSVDB) ^[17]
Координационный центр CERT , ^[18] который, в частности, использует базовые, временные и экологические метрики CVSSv2.

См. также

Ссылки

^ Перейти обратно: ^а ^б «FIRST официально опубликовал последнюю версию Общей системы оценки уязвимостей (CVSS v4.0)» . ПЕРВЫЙ. Архивировано из оригинала 1 ноября 2023 г.
^ Перейти обратно: ^а ^б Джонсон, Понт; Лагерстрем, Роберт; Экстедт, Матиас; Франке, Ульрик (01 ноября 2018 г.). «Можно ли доверять общей системе оценки уязвимостей? Байесовский анализ» . Транзакции IEEE для надежных и безопасных вычислений . 15 (6): 1002–1015. дои : 10.1109/TDSC.2016.2644614 . ISSN 1545-5971 . S2CID 53287880 .
^ «Архив CVSS v1» . First.org, Inc. Проверено 15 ноября 2015 г.
^ «НАЦИОНАЛЬНЫЙ КОНСУЛЬТАТИВНЫЙ СОВЕТ ПО ИНФРАСТРУКТУРЕ / ПОВЕСТКА ДНЯ ЗАСЕДАНИЯ / Вторник, 12 апреля 2005 г. / 13:30–16:30 / Национальный пресс-клуб / Вашингтон, округ Колумбия» (PDF) . Агентство кибербезопасности и безопасности инфраструктуры . 12 апреля 2005 г. Проверено 18 июля 2022 г. MITRE и CERT/CC приносят определенную, но важную ценность. На основании этих предложений Рабочая группа настоятельно рекомендует этим организациям работать под эгидой Global FIRST для CVSS.
^ «История CVSS v2» . First.org, Inc. Проверено 15 ноября 2015 г.
^ «Объявление о создании специальной группы по интересам CVSS для разработки CVSS v3» . First.org, Inc. Архивировано из оригинала 17 февраля 2013 года . Проверено 2 марта 2013 г.
^ «Общая система оценки уязвимостей, обновление версии V3» . First.org, Inc. Проверено 13 ноября 2015 г.
^ «Полная документация CVSS v2» . First.org, Inc. Проверено 15 ноября 2015 г.
^ «CVSS — Недостатки, неисправности и сбои» (PDF) . Безопасность, основанная на рисках. 27 февраля 2013 г. Архивировано из оригинала (PDF) 11 марта 2022 г. Проверено 15 ноября 2015 г.
^ «Система оценки CVSS» . Оракул. 01.06.2010 . Проверено 15 ноября 2015 г.
^ «Спецификационный документ CVSS v3,.0» . Компания ПЕРВЫЙ, Inc. Проверено 15 ноября 2015 г.
^ «Общая система оценки уязвимостей v3.0: Документ со спецификациями (шкала оценки качественной серьезности)» . Первый.орг . Проверено 10 января 2016 г.
^ «Поддержка общей системы оценки уязвимостей NVD v2» . Национальная база данных уязвимостей . Национальный институт стандартов и технологий . Проверено 2 марта 2013 г.
^ «CVSS и Интернет вещей» . Координационный центр CERT. 02.09.2015 . Проверено 15 ноября 2015 г.
^ «Общая система оценки уязвимостей» . ПЕРВЫЙ — Форум групп реагирования на инциденты и обеспечения безопасности . Проверено 13 июня 2023 г.
^ «Главная национальная база данных уязвимостей» . Nvd.nist.gov . Проверено 16 апреля 2013 г.
^ «База данных уязвимостей с открытым исходным кодом» . ОСВДБ . Проверено 16 апреля 2013 г.
^ «Серьезность уязвимости при использовании CVSS» . Координационный центр CERT. 12 апреля 2012 г. Проверено 15 ноября 2015 г.

Внешние ссылки

[cvss4.0-1] Перейти обратно: ^а ^б «FIRST официально опубликовал последнюю версию Общей системы оценки уязвимостей (CVSS v4.0)» . ПЕРВЫЙ. Архивировано из оригинала 1 ноября 2023 г.

[:0-2] Перейти обратно: ^а ^б Джонсон, Понт; Лагерстрем, Роберт; Экстедт, Матиас; Франке, Ульрик (01 ноября 2018 г.). «Можно ли доверять общей системе оценки уязвимостей? Байесовский анализ» . Транзакции IEEE для надежных и безопасных вычислений . 15 (6): 1002–1015. дои : 10.1109/TDSC.2016.2644614 . ISSN 1545-5971 . S2CID 53287880 .

[cvssv1-3] «Архив CVSS v1» . First.org, Inc. Проверено 15 ноября 2015 г.

[4] «НАЦИОНАЛЬНЫЙ КОНСУЛЬТАТИВНЫЙ СОВЕТ ПО ИНФРАСТРУКТУРЕ / ПОВЕСТКА ДНЯ ЗАСЕДАНИЯ / Вторник, 12 апреля 2005 г. / 13:30–16:30 / Национальный пресс-клуб / Вашингтон, округ Колумбия» (PDF) . Агентство кибербезопасности и безопасности инфраструктуры . 12 апреля 2005 г. Проверено 18 июля 2022 г. MITRE и CERT/CC приносят определенную, но важную ценность. На основании этих предложений Рабочая группа настоятельно рекомендует этим организациям работать под эгидой Global FIRST для CVSS.

[cvssv2-5] «История CVSS v2» . First.org, Inc. Проверено 15 ноября 2015 г.

[cvss3-6] «Объявление о создании специальной группы по интересам CVSS для разработки CVSS v3» . First.org, Inc. Архивировано из оригинала 17 февраля 2013 года . Проверено 2 марта 2013 г.

[cvss3.1-7] «Общая система оценки уязвимостей, обновление версии V3» . First.org, Inc. Проверено 13 ноября 2015 г.

[cvssv2_specs-8] «Полная документация CVSS v2» . First.org, Inc. Проверено 15 ноября 2015 г.

[rbs_failures_cvssv2-9] «CVSS — Недостатки, неисправности и сбои» (PDF) . Безопасность, основанная на рисках. 27 февраля 2013 г. Архивировано из оригинала (PDF) 11 марта 2022 г. Проверено 15 ноября 2015 г.

[oracle_partialplus-10] «Система оценки CVSS» . Оракул. 01.06.2010 . Проверено 15 ноября 2015 г.

[cvssv3.0_specs-11] «Спецификационный документ CVSS v3,.0» . Компания ПЕРВЫЙ, Inc. Проверено 15 ноября 2015 г.

[cvss3.0_severities-12] «Общая система оценки уязвимостей v3.0: Документ со спецификациями (шкала оценки качественной серьезности)» . Первый.орг . Проверено 10 января 2016 г.

[nist_ranges-13] «Поддержка общей системы оценки уязвимостей NVD v2» . Национальная база данных уязвимостей . Национальный институт стандартов и технологий . Проверено 2 марта 2013 г.

[cert_cvss_iot-14] «CVSS и Интернет вещей» . Координационный центр CERT. 02.09.2015 . Проверено 15 ноября 2015 г.

[15] «Общая система оценки уязвимостей» . ПЕРВЫЙ — Форум групп реагирования на инциденты и обеспечения безопасности . Проверено 13 июня 2023 г.

[nvdb_main-16] «Главная национальная база данных уязвимостей» . Nvd.nist.gov . Проверено 16 апреля 2013 г.

[osvdb_main-17] «База данных уязвимостей с открытым исходным кодом» . ОСВДБ . Проверено 16 апреля 2013 г.

[cert_uses_cvss-18] «Серьезность уязвимости при использовании CVSS» . Координационный центр CERT. 12 апреля 2012 г. Проверено 15 ноября 2015 г.

[1]

[2]

[3]

[4]

[5]

[6]

[7]

[8]

[9]

[10]

[11]

[12]

[13]

[14]

[15]

[16]

[17]

[18]