CVSS (Common Vulnerability Scoring System) är en klassificering utformad att tillhandahålla en öppen och standardmetod som gör det möjligt att uppskatta effekten av sårbarheter som identifierats i informationsteknologi.
Det vill säga , hjälper det att kvantifiera allvaret som dessa sårbarheter kan representera. För närvarande använder den version 2, även om den tredje redan är under utveckling.
CVSS består av tre grupper av mått; Bas, Temporary och Environmental, var och en bestående av en uppsättning mätvärden.
Beskrivningen av dessa gruppmått är som följer:
- Bas: Det representerar de inneboende och grundläggande egenskaperna hos en konstant sårbarhet över tid och användarmiljöer.
- Tillfälliga: Representerar egenskaperna hos en föränderlig sårbarhet över tid, men inte mellan användarmiljöer.
- Miljö: Det representerar egenskaperna hos en relevant och unik sårbarhet för en viss användarmiljö.
Det primära syftet med CVSS basgrupp är att kommunicera och definiera de grundläggande egenskaperna hos en sårbarhet.
Detta mål fokuserar på att karakterisera sårbarheter för att ge användarna en tydlig och intuitiv representation av en sårbarhet.
Och även, användare kan åberopa tillfälliga grupper och miljögrupper för att tillhandahålla kontextuell information, som mer exakt återspeglar risken för en unik miljö.
Detta möjliggör mer välgrundade beslut när man försöker minska riskerna för sårbarheter.
Hur fungerar CVSS?
När basmåtten har tilldelat värden, beräknar basekvationen en poäng med ett intervall från 0 till 10, och den skapar en vektor.
Vektorn underlättar ramverkets “öppna” natur. Det är en textsträng som innehåller de tilldelade värdena för varje mätvärde och användningen av den är för att kommunicera exakt hur poängen härrör för varje sårbarhet. Därför måste vektorn alltid visas med sårbarhetspoängen.
Om så önskas kan baspoängen förfinas genom att tilldela värden till tids- och miljömåtten.
Detta är användbart för att ge ytterligare sammanhang för en sårbarhet, med en mer exakt återspegling av risken som sårbarheten utgör i användarens miljö.
Den kräver dock inte detta. Beroende på syftet kan baspoängen och vektorn vara tillräckliga.
Om den behöver ett sammanfattande resultat kan den temporära ekvationen kombinera temporära mätvärden med ett baspoäng för att producera ett godkänt resultat med ett intervall från 0 till 10.
På samma sätt, om den behöver ett miljöpoäng, kan miljöekvationen kombinera miljömåtten med den tillfälliga poängen för att producera ett miljöpoäng med ett intervall från 0 till 10.
Vem äger Common Vulnerability Scoring System?
CVSS är i förvar och vård av Forum of Incident Response and Security Teams (FIRST) eller Forum of Incident Response and Security Teams.
Inte en enda organisation “äger” CVSS och medlemskap i FIRST kräver inte användning eller implementering av CVSS.
Det enda kravet för organisationer är att publicera poäng enligt riktlinjerna. Och ange poängen utöver poängvektorn, så att andra kan förstå hur poängen härleddes.
Vem använder CVSS?
Olika organisationer använder CVSS, och var och en av dem finner värde i olika sätt.
Här är några exempel: leverantörer av sårbarhetsnyhetsbrev, leverantörer av programvara, användarorganisationer, sårbarhetshantering och skanning , och forskare.