甚麼是 CVSS（通用漏洞評分系統）？

CVSS v4.0 由四組指標組成，評估不同角度的漏洞嚴重性。這些組別可以合併計算並配對使用個案。

四個指標組為：

• 基本指標 – 衡量漏洞的內在嚴重性
• 威脅指標 – 反映真實世界的漏洞攻擊活動
• 環境指標 – 根據組織背景自訂嚴重性
• 補充指標 – 提供其他與回應相關的背景

每個群組在漏洞評估及回應流程中都具有截然不同的目的。

基本指標可衡量漏洞的固有嚴重性，不受外部環境影響。他們評估漏洞的攻擊難度，以及假如出現漏洞，將帶來的潛在影響。

基本指標通常由產品廠商評估，一旦確定，會隨時間保持穩定。在 CVSS v4.0 中，基本指標經過精煉，以提高清晰度和精細度，實現更精確的嚴重程度評分。

威脅指標評估漏洞在現實世界環境中被攻擊的可能性。這個指標小組主要關注漏洞攻擊程式碼是否存在，以及漏洞攻擊是否在網上被發現。

由於威脅活動會隨時間而改變，因此威脅指標本身是動態的，一般會由擁有漏洞者利用威脅情報及運作環境來評估。

主要考慮因素包括：

• 漏洞攻擊碼的可用性
• 主動或廣泛利用的證據

環境指標會根據機構的特定環境來調整漏洞的嚴重性。它們考慮受影響系統對指定機構的保密性、完整性及可用性有多重要。

因此，根據系統角色、業務影響及營運限制，各機構之間的環境指標得分可能顯著不同。

補充指標提供了額外的背景資訊來支援漏洞回應決策。雖然它們不會影響 CVSS 分數的計算，但它們為補救計劃提供了寶貴的啟示。

補充指標採集的因素例子包括：

• 攻擊自動化水平
• 復原的複雜性
• 恢復受影響系統所需的工作

這些指標協助機構從嚴重程度評估轉為實際的應變計劃。