CVSS-Rechner
Wählen Sie die Metriken aus, erhalten Sie den Vektor, die Punktzahl und den Schweregrad – und dann den einfachen englischen Satz, der sagt, was die Punktzahl bedeutet. Vier Versionen: 4.0, 3.1, 3.0 und 2.0.
Ein Vektor, keine Zahl
Über eine Punktzahl allein lässt sich nicht streiten: Sie kommt von oben und niemand weiß, woher sie kommt. Der Vektor hingegen kann Feld für Feld überprüft werden. Es ist die Zeichenfolge, die der Zahl vorangestellt ist:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Es liest sich von links nach rechts wie ein Satz: Vom Internet aus angreifbar, ohne Schwierigkeiten, ohne Konto, ohne Klick vom Opfer, und der Fehler breitet sich über die anfällige Komponente hinaus aus und nimmt Lesezugriff, Schreibzugriff und Verfügbarkeit mit sich. Das ist Log4Shell, und es erhält die Note 10,0. Der obige Rechner schreibt diese Übersetzung bei jedem Klick unter die Partitur.
Machen Sie es sich zur Gewohnheit: in einem Ticket, einem Bericht oder einem Austausch mit einem Anbieter, Zitieren Sie den Vektor. Eine Zahl ohne ihren Vektor ist keine Information, sondern eine Meinung.
Welche Version soll ich wählen?
Die Regel passt in eine Zeile: Verwenden Sie die Version, die Ihre Quelle veröffentlicht. Das Vektorpräfix sagt Ihnen immer, welches. Wenn Sie selbst einen Fehler bewerten und nichts Sie einschränkt, verwenden Sie 3.1: Es ist die Version, die jeder, mit dem Sie arbeiten, lesen kann.
| Version | Veröffentlicht | Verwenden Sie es wann |
|---|---|---|
| 4.0 | 2023 | Der Vektor des Datensatzes beginnt mit CVSS:4.0/. Eine wachsende Zahl von Anbietern veröffentlicht es zusammen mit 3.1. |
| 3.1 | 2019 | Standard. Es handelt sich um die Version, die vom NVD und von fast jedem im Umlauf befindlichen CVE verwendet wird. |
| 3.0 | 2015 | Sie reproduzieren eine Bewertung aus den Jahren 2015 bis 2019. Die Kennzahlen entsprechen denen von 3,1. |
| 2.0 | 2007 | Sie lesen einen Datensatz aus der Zeit vor 2016. Nur drei Schweregrade. |
Die Punktzahl, die Sie erhalten, und was dann?
CVSS beantwortet eine einzige Frage: Wie groß ist der Schaden, wenn dieser Fehler ausgenutzt wird? Es wurde nie behauptet, die anderen beiden zu beantworten, die tatsächlich über die Reihenfolge der Korrekturen entscheiden: wird es heute ausgenutzt? und Wie wahrscheinlich ist es, dass es morgen ausgenutzt wird?
| Standard | Was es Ihnen sagt | Typ |
|---|---|---|
| CVE | Welche Schwachstelle (eindeutige Kennung) | Identifikation |
| CVSS | Wie schwerwiegend ist es (0 bis 10) | Intrinsischer Schweregrad |
| EPSS | Wahrscheinlichkeit einer Ausnutzung innerhalb von 30 Tagen | Vorhersage |
| KEV | Ausbeutung bereits in freier Wildbahn beobachtet | Festgestellte Tatsache |
In der Praxis gilt über eine Arbeitswoche hinweg folgende Reihenfolge: Alles, was im KEV-Katalog enthalten ist und in Ihrem Bestand ausgeführt wird, wird zuerst bearbeitet; als nächstes alles mit einem EPSS über 0,1; CVSS bricht den Gleichstand zwischen zwei gleichermaßen wahrscheinlichen Fehlern. Siehe wie die gezielte CVE-Überwachung Ihres Anwesens aufgebaut ist.
Die vier Taschenrechner
FAQ
Welche CVSS-Version sollte ich verwenden?
Die von Ihrer Quelle veröffentlichte. Wenn der Datensatz einen Vektor enthält, der mit beginnt CVSS:4.0/, verwenden Sie 4.0; mit CVSS:3.1/, verwenden Sie 3.1. Wenn nichts angegeben ist und Sie selbst einen Fehler bewerten, verwenden Sie 3.1: Dies ist die Version, die jeder, mit dem Sie arbeiten, lesen kann.
Was ist ein CVSS-Vektor?
Es ist die Liste der Entscheidungen, die zur Partitur geführt haben, in reproduzierbarer Form: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Über die Zahl allein lässt sich nicht streiten; der Vektor kann. Darauf sollte in einem Ticket, einem Bericht oder einem Austausch mit einem Anbieter verwiesen werden.
Erfolgt die Berechnung auf Ihren Servern?
Nein. Alles läuft in Ihrem Browser: Der von Ihnen erstellte Vektor wird nirgendwohin gesendet und es ist keine Anmeldung erforderlich. Der „Link kopieren“-Button kodiert einfach den Vektor in der Seitenadresse.
Bedeutet eine hohe Punktzahl, dass das Problem dringend behoben werden muss?
Nein. CVSS misst potenzielle Schäden, nicht die Wahrscheinlichkeit einer Ausnutzung. Ein Fehler mit der Bewertung 7,5, der bereits ausgenutzt wird, kommt vor einem Fehler mit der Bewertung 9,8, den niemand angreift. Um zu entscheiden, vergleichen Sie es mit EPSS und die KEV-Katalog.
Kann ich hier eine berechnete Punktzahl teilen?
Ja. Die Schaltfläche „Link kopieren“ erzeugt eine Adresse, die den Rechner genau auf Ihrem Vektor wieder öffnet: Fügen Sie ihn in ein Ticket ein, und die andere Person sieht die gleichen angekreuzten Kästchen wie Sie.
Free-Plan, keine Karte
Holen Sie sich nur das CVEs, das betroffen ist Ihr tatsächlicher Nachlass.
Deklarieren Sie Ihre Komponenten einmal. Wir benachrichtigen Sie, sobald ein Fehler einen von KEV und EPSS bereits priorisierten Fehler auf dem Kanal Ihrer Wahl betrifft. Die erste Warnung erlischt bei der nächsten Synchronisierung.
- Free, keine Kreditkarte
- Gebaut und gehostet in Frankreich
- Exportieren Sie Ihre Daten jederzeit