Kalkulator CVSS 3.1
Po wybraniu ośmiu metryk bazowych kalkulator pokazuje wynik CVSS 3.1, poziom zagrożenia i wektor. Link aktualizuje się na bieżąco, więc wynik można łatwo udostępnić.
Nic nie opuszcza przeglądarki: wynik jest obliczany na tej stronie.
Jak to działa
Common Vulnerability Scoring System (CVSS) ocenia techniczną wagę podatności w skali od 0,0 do 10,0. Wersja 3.1 opiera wynik na ośmiu metrykach. Cztery opisują sposób wykorzystania podatności, jedna określa, czy skutki wykraczają poza podatny komponent (zakres), a trzy opisują wpływ na poufność, integralność i dostępność. Kalkulator korzysta ze wzorów i reguły zaokrąglania ze specyfikacji FIRST CVSS v3.1.
Jak czytać wynik
Wyniki odpowiadają poziomom zagrożenia: od 0,1 do 3,9 to poziom niski, od 4,0 do 6,9 średni, od 7,0 do 8,9 wysoki, a od 9,0 do 10,0 krytyczny. Wektor zapisuje każdy wybór, dzięki czemu inni widzą, jak uzyskano wynik. Jest on też przechowywany w adresie strony, więc skopiowany link odtwarza wynik.
Wynik bazowy opisuje podatność, a nie ryzyko dla Państwa organizacji. Przy ustalaniu, co naprawić najpierw, liczą się też ekspozycja, istniejące zabezpieczenia, aktywne wykorzystywanie podatności i wartość systemu, którego dotyczy.
Pytania
Używać CVSS 3.1 czy 4.0?
CVSS 4.0 opublikowano w 2023 roku, ale wiele biuletynów i baz podatności nadal korzysta z wersji 3.1. Warto używać wersji, której oczekują odbiorcy, i zawsze podawać wektor razem z wynikiem.
Co oznacza Zakres: Zmieniony?
Podatny komponent i komponent, którego dotyczą skutki, podlegają różnym obszarom uprawnień, np. gdy system gościa wydostaje się z maszyny wirtualnej do hosta. Podnosi to wynik.
Dlaczego mój wynik różni się od wyniku producenta?
Zwykle z powodu innego wyboru metryki, najczęściej wektora ataku, uprawnień lub zakresu. Lepiej porównywać wektory niż liczby.
Czy obsługiwane są metryki czasowe i środowiskowe?
Jeszcze nie. Wektory, które je zawierają, nadal się wczytają; te metryki zostaną pominięte i pokazany zostanie tylko wynik bazowy.
Potrzebują Państwo więcej, niż pokaże narzędzie?
Narzędzie sprawdza jedną rzecz. Nasi konsultanci patrzą na całość.
Testy penetracyjnePowiązane artykuły
-
Cyber Resilience Act: plan na 2026 dla producentów produktów
Co zespoły produktowe powinny wdrożyć przed startem obowiązków CRA: dowody z wytwarzania, obsługa podatności, aktualizacje, dokumentacja.
-
CVSS, EPSS i KEV – jak ustalać priorytety podatności
Dlaczego sam wynik bazowy CVSS słabo wyznacza priorytety, jak EPSS i katalog CISA KEV dodają kontekst zagrożeń i w jakiej kolejności łatać systemy.