CVSS-rekenmachine
Selecteer de statistieken, haal de vector, de score en de ernst op – en vervolgens de gewone Engelse zin die zegt wat de score betekent. Vier versies: 4.0, 3.1, 3.0 en 2.0.
Een vector, geen getal
Over een partituur op zichzelf valt niet te twisten: die komt van bovenaf en niemand weet waar vandaan. De vector daarentegen kan veld voor veld worden gecontroleerd. Het is de string die voorafgaat aan het getal:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Het leest van links naar rechts als een zin: aan te vallen vanaf internet, zonder problemen, zonder account, zonder klik van het slachtoffer, en de fout reikt verder dan de kwetsbare component, waarbij leestoegang, schrijftoegang en beschikbaarheid worden meegenomen. Dat is Log4Shell, en deze scoort 10,0. De rekenmachine hierboven schrijft deze vertaling bij elke klik onder de partituur uit.
Maak er een gewoonte van: in een ticket, een rapport of een uitwisseling met een verkoper, noem de vector. Een getal zonder vector is geen informatie, het is een mening.
Welke versie u moet kiezen
De regel past op één regel: gebruik de versie die uw bron publiceert. Het vectorvoorvoegsel vertelt u altijd welke. Als u zelf een fout constateert en niets u beperkt, gebruik dan 3.1: iedereen met wie u werkt, kan deze lezen.
| Versie | Gepubliceerd | Gebruik het wanneer |
|---|---|---|
| 4.0 | 2023 | De vector van het record begint met CVSS:4.0/. Een groeiend aantal leveranciers publiceert het naast 3.1. |
| 3.1 | 2019 | Standaard. Het is de versie die wordt gebruikt door de NVD en door bijna elke CVE die in omloop is. |
| 3.0 | 2015 | U reproduceert een score uit de periode 2015 tot 2019. De maatstaven zijn die van 3.1. |
| 2.0 | 2007 | U leest een record van vóór 2016. Slechts drie ernstniveaus. |
De score die je krijgt, en dan wat
CVSS beantwoordt een enkele vraag: Hoe groot is de schade als dit gebrek wordt uitgebuit? Het heeft nooit beweerd de andere twee te beantwoorden, die feitelijk de volgorde van de oplossingen bepalen: wordt het vandaag de dag uitgebuit? en Hoe groot is de kans dat het morgen wordt uitgebuit?
| Standaard | Wat het je vertelt | Typ |
|---|---|---|
| CVE | Welke kwetsbaarheid (unieke identificatie) | Identificatie |
| CVSS | Hoe ernstig het is (0 tot 10) | Intrinsieke ernst |
| EPSS | Waarschijnlijkheid van uitbuiting binnen 30 dagen | Voorspelling |
| KEV | Uitbuiting is al in het wild waargenomen | Vaststaand feit |
In de praktijk is de volgorde die gedurende een werkweek geldt als volgt: alles wat in de KEV-catalogus staat en in uw bezit is, wordt eerst afgehandeld; vervolgens alles met een EPSS boven 0.1; CVSS verbreekt de band tussen twee even waarschijnlijke tekortkomingen. Zie hoe CVE-monitoring gericht op uw landgoed is gebouwd.
De vier rekenmachines
Veelgestelde vragen
Welke CVSS-versie moet ik gebruiken?
Degene die uw bron publiceert. Als het record een vector bevat die begint met CVSS:4.0/, gebruik 4.0; met CVSS:3.1/, gebruik 3.1. Als er niets is gespecificeerd en u zelf een fout constateert, gebruik dan 3.1: het is de versie die iedereen waarmee u werkt, kan lezen.
Wat is een CVSS-vector?
Het is de lijst met keuzes die de partituur heeft opgeleverd, geschreven in een reproduceerbare vorm: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Over het aantal alleen valt niet te twisten; de vector kan. Dat is wat u moet vermelden in een ticket, een rapport of een uitwisseling met een leverancier.
Wordt de berekening op uw servers uitgevoerd?
Nee. Alles draait in uw browser: de vector die u bouwt, wordt nergens heen gestuurd en u hoeft zich niet aan te melden. De knop “Kopieer link” codeert eenvoudigweg de vector in het paginaadres.
Betekent een hoge score dat het dringend gerepareerd moet worden?
Nee. CVSS meet potentiële schade, niet de waarschijnlijkheid van uitbuiting. Een fout met een beoordeling van 7,5 die al wordt uitgebuit, komt vóór een fout met een beoordeling van 9,8 die niemand aanvalt. Om te beslissen, kruiscontrole met EPSS en de KEV-catalogus.
Kan ik een hier berekende score delen?
Ja. De knop “Kopieer link” produceert een adres dat de rekenmachine opnieuw opent op precies uw vector: plak het in een ticket en de andere persoon ziet dezelfde vakjes aangevinkt als u.
Free-abonnement, geen kaart
Koop alleen de CVEs die van invloed is uw werkelijke vermogen.
Declareer uw onderdelen eenmalig. We waarschuwen u zodra een fout een van hen treft, die al prioriteit heeft gekregen van KEV en EPSS, op het kanaal van uw keuze. De eerste waarschuwing gaat uit bij de volgende synchronisatie.
- Free, geen creditcard
- Gebouwd en gehost in Frankrijk
- Exporteer uw gegevens op elk gewenst moment