CVSS 3.1-Rechner
Wählen Sie die Metriken aus, erhalten Sie den Vektor und den Basiswert – identisch mit dem Referenzrechner von FIRST.org – und lesen Sie unter der Zahl in einfachem Englisch, was sie bedeutet.
Lesen eines Vektors von links nach rechts
Ein Vektor ist eine Folge von Feldern, die durch Schrägstriche getrennt sind. Jeder beantwortet eine Frage, immer in der gleichen Reihenfolge. Nehmen Sie das für Log4Shell, CVE-2021-44228:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
| Feld | Wert | Was es sagt |
|---|---|---|
| AV | Netzwerk | Aus dem Internet angreifbar, ohne sich im selben Netzwerk zu befinden. |
| Wechselstrom | Niedrig | Es müssen keine Bedingungen erfüllt werden: Der Angriff ist jedes Mal erfolgreich. |
| PR | Keine | Auf dem Zielcomputer ist kein Konto erforderlich. |
| Benutzeroberfläche | Keine | Niemand muss klicken. |
| S | Geändert | Der Fehler breitet sich über die Bibliothek hinaus aus und erreicht die gesamte Maschine. |
| C / I / A | Hoch × 3 | Lesen, ändern und herunterfahren: Nichts hält. |
Der obige Rechner schreibt diese Zeichenfolge bei jedem Klick in Klartext unter die Partitur um. Laden Sie den Fall „Log4Shell“ und ändern Sie dann ein einzelnes Feld, um den Mechanismus zu sehen:
- Geltungsbereich geändert → unverändert (
S:C→S:U): 10,0 wird 9.8. Es ist das einzige Feld, das die beiden häufigsten Werte des NVD voneinander trennt. - Privilegien keine → hoch (
PR:N→PR:H): 10,0 wird 9.1. Das Erfordernis eines Administratorkontos kostet fast einen ganzen Punkt.
Was die Zahl bedeutet
Der Basiswert liegt zwischen 0,0 und 10,0 und ist in fünf Stufen unterteilt. Bei diesen Bändern handelt es sich um Konventionen: Nichts unterscheidet grundsätzlich eine 6,9 von einer 7,0, außer einem in der Spezifikation festgelegten Schwellenwert.
| Punktzahl | Schweregrad | Was es in der Praxis bedeutet |
|---|---|---|
| 9.0 – 10.0 | Kritisch | Vollständiger Kompromiss, oft ohne Konto und ohne Klick. Ein erfolgreicher Exploit lässt keine Wünsche offen. |
| 7.0 – 8.9 | Hoch | Starke Auswirkungen, aber eine Bedingung fehlt: ein Konto, ein Klick, lokaler Zugriff. |
| 4.0 – 6.9 | Mittel | Teilweise Auswirkungen oder mehrere Bedingungen müssen erfüllt sein. |
| 0.1 – 3.9 | Niedrig | Geringfügiges Leck, begrenzter Denial-of-Service oder stark eingeschränkte Ausnutzung. |
| 0.0 | Keine | Es wurden keine Auswirkungen auf die Vertraulichkeit, Integrität oder Verfügbarkeit gemeldet. |
Basis, zeitlich, umgebungsbedingt: drei Ebenen, nur eine dreht sich um Sie
Die Basispunktzahl beschreibt den Fehler als veröffentlicht. Es ist das, was jeder zitiert, und es ändert sich nicht mehr.
Die zeitliche Partitur passt es an den Zustand der Welt an: Ein funktionsfähiger Exploit ist im Umlauf, oder umgekehrt wurde ein offizieller Fix veröffentlicht. In unserem 9.8-Beispiel sinkt die Punktzahl, wenn man einen offiziellen Fix als verfügbar deklariert 9.4.
Die Umweltbewertung ist der Einzige, der über Ihren Nachlass spricht. Es beruht auf zwei Hebeln: den Anforderungen (welchen Wert Vertraulichkeit, Integrität und Verfügbarkeit auf Ihrem jeweiligen System haben) und den geänderten Metriken (was Ihre Bereitstellung an der tatsächlichen Gefährdung ändert). Zwei Beispiele, berechnet mit dem oben genannten Tool, ausgehend von derselben 9,8:
- Der Dienst ist nur über einen VPN: Modified Attack Vector erreichbar, der auf eingestellt ist Lokal → 8.4.
- Es handelt sich um eine Staging-Umgebung ohne reale Daten: die drei darin festgelegten Anforderungen Niedrig → 8.0.
Das Ausfüllen dieser Felder dauert zwei Minuten und macht aus einer öffentlichen Bewertung ein Argument, das Sie vor dem Management verteidigen können.
In der Praxis, am Montagmorgen
Die Reihenfolge, die in einer echten Woche gilt, von der höchsten zur unwichtigsten:
- Wird der Fehler heute ausgenutzt? Wenn es sich um KEV handelt und das Produkt in Ihrer Umgebung läuft, bearbeiten Sie es unabhängig von der Punktzahl innerhalb von 48 Stunden.
- Wie wahrscheinlich ist es, dass es innerhalb von 30 Tagen ausgenutzt wird? Das ist EPSS. Über 0,1 planen Sie es.
- Wie groß ist der Schaden, wenn ja? Hier kommt CVSS ins Spiel, um den Gleichstand zwischen zwei gleichermaßen wahrscheinlichen Fehlern zu lösen.
Das ist die Reihenfolge, die unsere Plattform in Ihrem Namen anwendet, und der Grund, warum wir zunächst fragen, was Sie betreiben, und nicht, was Sie fürchten. Siehe wie gezieltes CVE-Monitoring aufgebaut ist.
Quellen
- CVSS 3.1-Spezifikation — FIRST.org, das maßgebliche Dokument.
- 3.1 Referenzrechner – um eine Punktzahl zu vergleichen.
- CVSS beim NVD — die Quelle der auf CVEs veröffentlichten Partituren.
FAQ
Sollte ein CVSS 9.8 vor einem 7.5 repariert werden?
Nicht automatisch. CVSS misst, was passieren würde wenn der Fehler ausgenutzt wurde, besteht nie die Wahrscheinlichkeit, dass dies der Fall sein wird. Eine 7,5 ist bereits im aufgeführt KEV-Katalog, und daher heute ausgenutzt wird, kommt vor einer theoretischen Version 9.8, für die noch niemand einen Exploit veröffentlicht hat. Die Reihenfolge, die funktioniert: bestätigte Ausbeutung, dann Wahrscheinlichkeit der Ausbeutung, dann Schweregrad.
Warum weicht meine Punktzahl von der des NVD ab?
Drei Ursachen, in der Reihenfolge ihrer Häufigkeit. Sie haben nicht genau denselben Vektor ausgewählt: Vergleichen Sie die beiden Zeichenfolgen Feld für Feld. Der CVE weist mehrere Punkte auf: der CNA (CVE-Nummerierungsbehörde, die Organisation, die die Kennung vergibt) und die NVD, die regelmäßig voneinander abweichen. Oder Sie vergleichen einen Basiswert mit einem Umweltwert.
Kann sich die Punktzahl eines CVE nach der Veröffentlichung ändern?
Ja, und zwar oft. Ein CNA veröffentlicht einen vorläufigen Vektor, der NVD bewertet ihn neu, der Anbieter bestreitet ihn manchmal. Auch die zeitlichen Kennzahlen ändern sich: Ein veröffentlichter Exploit erhöht den Reifegrad, ein offizieller Fix senkt den zeitlichen Wert wieder.
Sollten Sie die Umweltkennzahlen ausfüllen?
Es ist die einzige Ebene, die über Sie und nicht über den Fehler spricht, also ja, sobald die Entscheidung ein Budget oder ein Wartungsfenster festlegt. Bei einem Dienst, der nur über ein VPN erreichbar ist, wird unser Beispiel durch die Änderung des modifizierten Angriffsvektors von „Netzwerk“ auf „Lokal“ von 9,8 auf 8,4 gesenkt.
Erfolgt die Berechnung auf Ihren Servern?
Nein. Alles läuft in Ihrem Browser: Der von Ihnen erstellte Vektor wird nirgendwohin gesendet. Der „Link kopieren“-Button kodiert einfach den Vektor in der Seitenadresse.
Free-Plan, keine Karte
Holen Sie sich nur das CVEs, das betroffen ist Ihr tatsächlicher Nachlass.
Deklarieren Sie Ihre Komponenten einmal. Wir benachrichtigen Sie, sobald ein Fehler einen von KEV und EPSS bereits priorisierten Fehler auf dem Kanal Ihrer Wahl betrifft. Die erste Warnung erlischt bei der nächsten Synchronisierung.
- Free, keine Kreditkarte
- Gebaut und gehostet in Frankreich
- Exportieren Sie Ihre Daten jederzeit