Calcolatrice CVSS
Seleziona le metriche, ottieni il vettore, il punteggio e la gravità, quindi la frase in inglese semplice che dice cosa significa il punteggio. Quattro versioni: 4.0, 3.1, 3.0 e 2.0.
Un vettore, non un numero
Con una partitura di per sé non si discute: viene dall'alto e non si sa da dove. Il vettore, invece, può essere controllato campo per campo. È la stringa che precede il numero:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Si legge da sinistra a destra come una frase: attaccabile da Internet, senza difficoltà, senza account, senza clic da parte della vittima, e la falla si estende oltre il componente vulnerabile, portando con sé l'accesso in lettura, l'accesso in scrittura e la disponibilità. Questo è Log4Shell e ottiene un punteggio di 10,0. La calcolatrice sopra scrive questa traduzione sotto il punteggio, ad ogni clic.
Rendilo un'abitudine: in un ticket, in una relazione o in uno scambio con un venditore, citare il vettore. Un numero senza il suo vettore non è un'informazione, è un'opinione.
Quale versione scegliere
La regola sta su una riga: usa la versione pubblicata dalla tua fonte. Il prefisso del vettore ti dice sempre quale. Se anche tu stai segnando un difetto e nulla ti limita, usa 3.1: è quello che tutti quelli con cui lavori possono leggere.
| Versione | Pubblicato | Usalo quando |
|---|---|---|
| 4.0 | 2023 | Il vettore del record inizia con CVSS:4.0/. Un numero crescente di fornitori lo pubblica insieme alla versione 3.1. |
| 3.1 | 2019 | Predefinito. È la versione utilizzata dall'NVD e da quasi tutti gli CVE in circolazione. |
| 3.0 | 2015 | Stai riproducendo uno spartito datato dal 2015 al 2019. Le metriche sono quelle di 3.1. |
| 2.0 | 2007 | Stai leggendo un record precedente al 2016. Solo tre fasce di gravità. |
Il punteggio che ottieni e poi cosa
CVSS risponde ad una sola domanda: quanto è grave il danno se si sfrutta questo difetto? Non ha mai preteso di rispondere alle altre due, che sono ciò che effettivamente decide l'ordine delle correzioni: viene sfruttato oggi? e quante probabilità ci sono che venga sfruttato domani?
| Norma | Cosa ti dice | Digitare |
|---|---|---|
| CVE | Quale vulnerabilità (identificatore univoco) | Identificazione |
| CVSS | Quanto è grave (da 0 a 10) | Gravità intrinseca |
| EPSS | Probabilità di sfruttamento entro 30 giorni | Previsione |
| KEV | Sfruttamento già osservato in natura | Fatto accertato |
In pratica, l'ordine che regge nell'arco di una settimana lavorativa è questo: tutto ciò che è nel catalogo KEV e gira nel tuo patrimonio viene gestito per primo; successivamente, qualsiasi cosa con un EPSS superiore a 0,1; CVSS rompe il legame tra due difetti ugualmente probabili. Vedi come viene costruito il monitoraggio CVE mirato al tuo patrimonio.
Le quattro calcolatrici
Domande frequenti
Quale versione CVSS dovrei usare?
Quello pubblicato dalla tua fonte. Se il record contiene un vettore che inizia con CVSS:4.0/, usa 4.0; con CVSS:3.1/, utilizzare 3.1. Se non è specificato nulla e anche tu stai segnando un difetto, usa la 3.1: è la versione con cui tutti quelli con cui lavori possono leggere.
Cos'è un vettore CVSS?
È l'elenco delle scelte che hanno prodotto la partitura, scritto in forma riproducibile: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Non si può discutere solo sul numero; il vettore può. Questo è ciò che citare in un ticket, in un rapporto o in uno scambio con un venditore.
Il calcolo viene eseguito sui vostri server?
No. Tutto funziona nel tuo browser: il vettore che crei non viene inviato da nessuna parte e non è richiesta alcuna registrazione. Il pulsante “Copia collegamento” codifica semplicemente il vettore nell’indirizzo della pagina.
Un punteggio elevato significa che il problema deve essere risolto urgentemente?
No. CVSS misura il danno potenziale, non la probabilità di sfruttamento. Un difetto con punteggio 7,5 già sfruttato viene prima di un difetto con punteggio 9,8 che nessuno attacca. Per decidere, fai un controllo incrociato con EPSS e il Catalogo KEV.
Posso condividere un punteggio calcolato qui?
Sì. Il pulsante “Copia collegamento” produce un indirizzo che riapre la calcolatrice esattamente sul tuo vettore: incollalo in un ticket e l'altra persona vedrà spuntate le tue stesse caselle.
Piano Free, nessuna carta
Ottieni solo l'CVEs che interessa il tuo patrimonio immobiliare.
Dichiara i tuoi componenti una volta. Ti avvisiamo non appena un difetto colpisce uno di essi, già prioritario per KEV e EPSS, sul canale di tua scelta. Il primo avviso si spegne alla sincronizzazione successiva.
- Free, nessuna carta di credito
- Costruito e ospitato in Francia
- Esporta i tuoi dati in qualsiasi momento