什麼是通用漏洞評分系統 (CVSS)？

CVSS v4.0 是由四個指標群組所構成，各自從不同的角度評估漏洞的嚴重性。這些群組可合併運用，以便計算出符合特定應用情境的評分。

這四個指標群組分別為：

• 基本指標 – 衡量漏洞本質上的嚴重性。
• 威脅指標 – 反映真實世界的漏洞攻擊活動。
• 環境指標 – 根據企業情境提供客製化嚴重性。
• 補充指標 – 提供額外的應變相關情境。

每一群組在漏洞評估與應變工作流程當中都有其不同的用途。

基本指標衡量的是漏洞在本質上有多嚴重，無關乎外部條件。這些指標會評估漏洞的攻擊難度，以及一旦遭到攻擊將帶來什麼潛在衝擊。

基本指標通常由產品廠商來衡量，一旦定義好了，就會長期維持不變。CVSS v4.0 當中的基本指標都經過調整修正以改善其清晰度和精細度，讓嚴重性評分更加精準。

威脅指標衡量的是漏洞在真實環境中遭到攻擊的活躍程度。這組指標關心的是漏洞攻擊程式碼是否存在，以及網路上是否已經觀察到漏洞攻擊案例。

由於威脅活動會隨著時間而改變，因此威脅指標本質上是動態的，通常由漏洞的消費者利用威脅情資和營運情境來加以評估。

主要考量包括：

• 是否已經有漏洞攻擊程式碼可用。
• 是否有活躍或廣泛遭到攻擊的證據。

環境指標會根據企業的特殊環境來評估漏洞的嚴重性。它們會考量受影響的系統對於企業內的機密性、完整性與可用性有多重要。

因此，根據系統角色、業務衝擊以及營運條件的不同，環境指標在不同的企業中的評分可能截然不同。

補充指標提供了額外的情境資訊來支援漏洞應變決策。雖然它們不會影響 CVSS 評分的計算，但卻能為矯正計畫提供珍貴的洞見。

補充指標所捕捉的因素包括：

• 攻擊自動化程度。
• 復原的複雜性。
• 復原受影響系統所需花費的力氣。

這些指標能協助企業從嚴重性評估進展到實質的應變規劃。