CVSS 3.1 rekenmachine
Selecteer de metrieken, verkrijg de vector en de basisscore – identiek aan de referentiecalculator van FIRST.org – en lees onder het getal wat het betekent, in gewoon Engels.
Een vector van links naar rechts lezen
Een vector is een reeks velden, gescheiden door schuine strepen. Iedereen beantwoordt een vraag, altijd in dezelfde volgorde. Neem die voor Log4Shell, CVE-2021-44228:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
| Veld | Waarde | Wat het zegt |
|---|---|---|
| AV | Netwerk | Aan te vallen vanaf internet, zonder dat u zich op hetzelfde netwerk bevindt. |
| AC | Laag | Er zijn geen voorwaarden waaraan moet worden voldaan: de aanval slaagt keer op keer. |
| PR | Geen | Geen account nodig op de doelcomputer. |
| gebruikersinterface | Geen | Niemand hoeft te klikken. |
| S | Gewijzigd | De fout strekt zich uit tot buiten de bibliotheek en bereikt de hele machine. |
| C / I / A | Hoog × 3 | Lezen, wijzigen en afsluiten: niets houdt stand. |
De rekenmachine hierboven herschrijft deze string in gewoon Engels onder de partituur, bij elke klik. Laad de “Log4Shell”-behuizing en wijzig vervolgens een enkel veld om het mechanisme te zien:
- Scope gewijzigd → ongewijzigd (
S:C→S:U): 10,0 wordt 9.8. Het is het enige veld dat de twee meest voorkomende scores van de NVD scheidt. - Privileges geen → hoog (
PR: N→PR: H): 10,0 wordt 9.1. Het vereisen van een beheerdersaccount neemt bijna een vol punt in beslag.
Wat het getal betekent
De basisscore ligt tussen 0,0 en 10,0 en valt uiteen in vijf banden. Deze banden zijn conventies: niets onderscheidt een 6,9 inherent van een 7,0, behalve een drempel die de specificatie heeft ingesteld.
| Scoren | Ernst | Wat het in de praktijk betekent |
|---|---|---|
| 9.0 – 10.0 | Kritisch | Volledig compromis, vaak zonder account en zonder klik. Een succesvolle exploit laat niets overeind. |
| 7.0 – 8.9 | Hoog | Grote impact, maar één voorwaarde ontbreekt: een account, een klik, lokale toegang. |
| 4.0 – 6.9 | Gemiddeld | Er moet aan een gedeeltelijke impact of aan meerdere voorwaarden worden voldaan. |
| 0.1 – 3.9 | Laag | Klein lek, beperkte denial-of-service of zwaar beperkte exploitatie. |
| 0.0 | Geen | Er is geen gerapporteerde impact op de vertrouwelijkheid, integriteit of beschikbaarheid. |
Basis, temporeel, omgeving: drie lagen, slechts één gaat over jou
De basisscore beschrijft de fout zoals gepubliceerd. Het is degene die iedereen citeert, en het verandert niet langer.
De tijdelijke score past het aan de toestand van de wereld aan: er circuleert een functionele exploit, of omgekeerd is er een officiële oplossing uitgebracht. In ons 9.8-voorbeeld brengt het beschikbaar verklaren van een officiële oplossing de score terug naar 9.4.
De milieuscore is de enige die over uw nalatenschap spreekt. Het berust op twee hefbomen: de vereisten (wat vertrouwelijkheid, integriteit en beschikbaarheid waard zijn op dat specifieke systeem van u) en de aangepaste statistieken (wat uw implementatie verandert aan de werkelijke blootstelling). Twee voorbeelden berekend met de bovenstaande tool, uitgaande van dezelfde 9.8:
- De service is alleen bereikbaar via een VPN: Modified Attack Vector ingesteld op Lokaal → 8.4.
- Het is een testomgeving zonder echte gegevens: de drie vereisten zijn gesteld Laag → 8.0.
Het invullen van deze velden duurt twee minuten en maakt van een publieke beoordeling een argument dat u tegenover het management kunt verdedigen.
In de praktijk, op maandagochtend
De volgorde die in een echte week standhoudt, van meest naar minst beslissend:
- Wordt er vandaag de dag misbruik gemaakt van de fout? Staat het in KEV en draait het product in jouw omgeving, dan handel je het binnen 48 uur af, wat de score ook is.
- Hoe waarschijnlijk is het dat het binnen 30 dagen wordt uitgebuit? Dat is EPSS. Boven de 0,1 plan je het in.
- Hoe erg is de schade als die er is? Dit is waar CVSS in beeld komt, om de band tussen twee even waarschijnlijke fouten te doorbreken.
Dat is de volgorde die ons platform namens u toepast, en de reden dat we beginnen met te vragen wat u doet, en niet waar u bang voor bent. Zie hoe gerichte CVE-monitoring is gebouwd.
Bronnen
- CVSS 3.1-specificatie — FIRST.org, het gezaghebbende document.
- 3.1 referentiecalculator — om een score te controleren.
- CVSS en de NVD — de bron van de partituren gepubliceerd op CVEs.
Veelgestelde vragen
Moet een CVSS 9.8 worden gerepareerd vóór een 7.5?
Niet automatisch. CVSS meet wat er zou gebeuren als de fout werd uitgebuit, nooit de waarschijnlijkheid dat dit zal gebeuren. Een 7,5 die al in de lijst staat KEV-catalogus, en daarom vandaag geëxploiteerd, komt vóór een theoretische 9.8 waarvoor niemand een exploit heeft gepubliceerd. De volgorde die werkt: bevestigde uitbuiting, dan waarschijnlijkheid van uitbuiting, dan ernst.
Waarom verschilt mijn score van de score die wordt weergegeven door de NVD?
Drie oorzaken, in volgorde van frequentie. U heeft niet precies dezelfde vector geselecteerd: vergelijk de twee strings veld voor veld. De CVE heeft verschillende scores: die van de CNA (CVE Nummeringsautoriteit, de organisatie die de identificatie toekent) en de NVD's, die regelmatig uiteenlopen. Of je vergelijkt een basisscore met een milieuscore.
Kan de score van een CVE veranderen na publicatie?
Ja, en vaak. Een CNA publiceert een voorlopige vector, de NVD beoordeelt deze opnieuw, de verkoper betwist deze soms. De temporele maatstaven veranderen ook: een gepubliceerde exploit verhoogt de volwassenheid, een officiële oplossing brengt de temporele score weer omlaag.
Moet u de milieustatistieken invullen?
Het is de enige laag die over jou praat in plaats van over de fout, dus ja, zodra de beslissing een budget of een onderhoudsvenster vastlegt. Op een service die alleen bereikbaar is via een VPN, verlaagt het wijzigen van de gewijzigde aanvalsvector van netwerk naar lokaal ons voorbeeld van 9.8 naar 8.4.
Wordt de berekening op uw servers uitgevoerd?
Nee. Alles draait in uw browser: de vector die u bouwt, wordt nergens naartoe gestuurd. De knop “Kopieer link” codeert eenvoudigweg de vector in het paginaadres.
Free-abonnement, geen kaart
Koop alleen de CVEs die van invloed is uw werkelijke vermogen.
Declareer uw onderdelen eenmalig. We waarschuwen u zodra een fout een van hen treft, die al prioriteit heeft gekregen van KEV en EPSS, op het kanaal van uw keuze. De eerste waarschuwing gaat uit bij de volgende synchronisatie.
- Free, geen creditcard
- Gebouwd en gehost in Frankrijk
- Exporteer uw gegevens op elk gewenst moment