Calcolatrice CVSS 3.1
Seleziona le metriche, ottieni il vettore e il punteggio base – identico al calcolatore di riferimento di FIRST.org – e leggi sotto il numero cosa significa, in un inglese semplice.
Leggere un vettore da sinistra a destra
Un vettore è una sequenza di campi separati da barre. Ognuno risponde a una domanda, sempre nello stesso ordine. Prendi quello per Log4Shell, CVE-2021-44228:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
| Campo | Valore | Cosa dice |
|---|---|---|
| AV | Rete | Attaccabile da Internet, senza essere sulla stessa rete. |
| AC | Basso | Nessuna condizione da soddisfare: l'attacco riesce ogni volta. |
| PR | Nessuno | Nessun account necessario sul computer di destinazione. |
| interfaccia utente | Nessuno | Nessuno ha bisogno di fare clic. |
| S | Modificato | Il difetto si estende oltre la libreria e raggiunge l'intera macchina. |
| C / I / A | Alto × 3 | Leggere, modificare e spegnere: niente vale. |
La calcolatrice sopra riscrive questa stringa in un inglese semplice sotto il punteggio, ad ogni clic. Carica il caso "Log4Shell", quindi modifica un singolo campo per vedere il meccanismo:
- Ambito modificato → invariato (
S:C→S:U): 10.0 diventa 9.8. È l'unico campo che separa i due punteggi più comuni dell'NVD. - Privilegi nessuno → alto (
PR:N→PR: H): 10.0 diventa 9.1. La richiesta di un account amministratore toglie quasi un punto.
Cosa significa il numero
Il punteggio base è compreso tra 0,0 e 10,0 e rientra in cinque fasce. Queste bande sono convenzioni: nulla distingue intrinsecamente un 6.9 da un 7.0, tranne una soglia fissata dalle specifiche.
| Punteggio | Gravità | Cosa significa in pratica |
|---|---|---|
| 9.0 – 10.0 | Critico | Compromesso completo, spesso senza account e senza clic. Un exploit riuscito non lascia nulla in piedi. |
| 7.0 – 8.9 | Alto | Impatto pesante, ma manca una condizione: un account, un clic, l'accesso locale. |
| 4.0 – 6.9 | Medio | È necessario che sia soddisfatto un impatto parziale o più condizioni. |
| 0.1 – 3.9 | Basso | Perdita di lieve entità, negazione del servizio limitata o sfruttamento fortemente limitato. |
| 0.0 | Nessuno | Nessun impatto segnalato su riservatezza, integrità o disponibilità. |
Base, temporale, ambientale: tre strati, solo uno riguarda te
Il punteggio base descrive il difetto come pubblicato. È quello che citano tutti e non cambia più.
Il punteggio temporale lo adegua allo stato del mondo: circola un exploit funzionale, o al contrario è stato rilasciato un fix ufficiale. Nel nostro esempio 9.8, dichiarare disponibile una correzione ufficiale riduce il punteggio a 9.4.
Il punteggio ambientale è l'unico che parla del tuo patrimonio. Si basa su due leve: i requisiti (quanto valgono riservatezza, integrità e disponibilità su quel particolare sistema) e le metriche modificate (cosa cambia la tua implementazione rispetto all'esposizione reale). Due esempi calcolati con lo strumento sopra, partendo dallo stesso 9.8:
- Il servizio è raggiungibile solo tramite un VPN: Modified Attack Vector impostato su Locale → 8.4.
- È un ambiente di staging senza dati reali: i tre requisiti fissati Basso → 8.0.
La compilazione di questi campi richiede due minuti ed è ciò che trasforma una valutazione pubblica in un argomento da difendere di fronte al management.
In pratica, lunedì mattina
L'ordine che regge in una settimana reale, dal più al meno decisivo:
- Oggi viene sfruttata la falla? Se è in KEV e il prodotto viene eseguito nel tuo ambiente, lo gestirai entro 48 ore, qualunque sia il punteggio.
- Quante probabilità ci sono che venga sfruttato entro 30 giorni? Questo è EPSS. Sopra 0,1, lo pianifichi.
- Se lo è, quanto è grave il danno? È qui che entra in gioco CVSS, per spezzare il legame tra due difetti ugualmente probabili.
Questo è l'ordine che la nostra piattaforma applica per tuo conto e il motivo per cui iniziamo chiedendoti cosa corri, non cosa temi. Vedi come viene costruito il monitoraggio CVE mirato.
Fonti
- Specifica CVSS 3.1 — FIRST.org, il documento autorevole.
- 3.1 calcolatore di riferimento - per effettuare un controllo incrociato di un punteggio.
- CVSS all'NVD - la fonte delle partiture pubblicate su CVEs.
Domande frequenti
Un CVSS 9.8 dovrebbe essere riparato prima di un 7.5?
Non automaticamente. CVSS misura cosa accadrebbe se il difetto è stato sfruttato, mai la probabilità che lo sia. A 7,5 già elencato nel Catalogo KEV, e quindi sfruttato oggi, viene prima di un teorico 9,8 per il quale nessuno ha pubblicato un exploit. L’ordine che funziona: sfruttamento confermato, poi probabilità di sfruttamento, poi gravità.
Perché il mio punteggio è diverso da quello mostrato dall'NVD?
Tre cause, in ordine di frequenza. Non hai selezionato esattamente lo stesso vettore: confronta le due stringhe campo per campo. L'CVE ha diversi punteggi: l'CNA (Autorità di numerazione CVE, l'organizzazione che assegna l'identificatore) e gli NVD, che divergono regolarmente. Oppure stai confrontando un punteggio base con un punteggio ambientale.
Il punteggio di un CVE può cambiare dopo la pubblicazione?
Sì, e spesso. Un CNA pubblica un vettore provvisorio, un NVD lo rivaluta, il venditore a volte lo contesta. Anche i parametri temporali si muovono: un exploit pubblicato aumenta la maturità, una correzione ufficiale abbassa il punteggio temporale.
Dovresti compilare le metriche ambientali?
È l’unico livello che parla di te piuttosto che del difetto, quindi sì, non appena la decisione impegna un budget o una finestra di manutenzione. Su un servizio raggiungibile solo tramite un VPN, la modifica del vettore di attacco modificato da Rete a Locale fa scendere il nostro esempio da 9.8 a 8.4.
Il calcolo viene eseguito sui vostri server?
No. Tutto funziona nel tuo browser: il vettore che costruisci non viene inviato da nessuna parte. Il pulsante “Copia collegamento” codifica semplicemente il vettore nell’indirizzo della pagina.
Piano Free, nessuna carta
Ottieni solo l'CVEs che interessa il tuo patrimonio immobiliare.
Dichiara i tuoi componenti una volta. Ti avvisiamo non appena un difetto colpisce uno di essi, già prioritario per KEV e EPSS, sul canale di tua scelta. Il primo avviso si spegne alla sincronizzazione successiva.
- Free, nessuna carta di credito
- Costruito e ospitato in Francia
- Esporta i tuoi dati in qualsiasi momento