Что означает оценка CVSS
CVSS расшифровывается как Common Vulnerability Scoring System. Владелец сайта обычно видит итоговый балл в уведомлении, но для проверки важны предположения за ним. Один и тот же заголовок критическая проблема может скрывать разные требования к доступу и разные последствия.
FIRST прямо указывает, что базовая оценка CVSS не является риском и не должна единолично задавать приоритет исправления. Для бизнес-решения добавляют сведения об установленном компоненте, доступности функции, данных, зависимости работы и возможностях изменения.
Начинайте разговор со ссылки на оценку, а не с пересказа чужого цветного индикатора. Если отчет не содержит версии стандарта или вектора, запросите эти сведения. Это помогает выяснить разницу между оценками без предположения, что один источник обязательно ошибся.
Версия, вектор и контекст
Вектор CVSS является структурированной записью выбранных метрик. Сохраните его целиком вместе с версией и источником. Не переносите значения метрик из одной версии стандарта в другую и не сравнивайте голые числа так, будто условия их получения всегда одинаковы.
В CVSS v4.0 используются группы Base, Threat, Environmental и Supplemental. Наличие дополнительных метрик еще не означает, что источник учел именно вашу среду. Supplemental дополняют описание, не меняя итоговый балл. Проверьте, какие сведения фактически представлены, а какие предполагаются.
Для своей установки соберите практический контекст: включена ли функция, кто имеет доступ, какие данные обрабатываются и есть ли зависимые сервисы. Эти сведения нужны даже тогда, когда пересчет вектора выполняет другой ответственный специалист.
Карточка оценки без ложной точности
Рабочая таблица CyberFixCrew помогает передавать оценку вместе с основаниями. Не заполняйте неизвестные поля удобными допущениями. Лучше отдельная задача на уточнение, чем точное число с неподтвержденными исходными данными.
Такая карточка не превращает CVSS в финансовый калькулятор. Ее задача - показать, почему оценка относится к конкретному компоненту и какие дополнительные вопросы влияют на решение владельца бизнеса.
| Сведение | Что уточнить | Зачем это нужно |
|---|---|---|
| Источник | Кто оценил и когда | Проверить происхождение |
| Версия | Версия CVSS и полный вектор | Понять правила оценки |
| Условия | Доступ, роли и предположения | Сопоставить с установкой |
| Среда | Функции, данные, зависимости | Оценить рабочие последствия |
| Другие сигналы | Эксплуатация и актуальность | Не решать только по числу |
| Решение | Владелец, действие, проверка | Получить исполнимую задачу |
Чем отличаются CVSS, EPSS и KEV
EPSS оценивает вероятность наблюдаемой эксплуатации уязвимости в мире на горизонте следующих 30 дней. Процентиль показывает относительное положение среди оцененных уязвимостей и не равен этой вероятности. EPSS не знает состав ваших сайтов и не устанавливает факт их компрометации.
KEV отражает известную эксплуатацию, а прогноз EPSS смотрит вперед. Эти сведения дополняют техническое описание. Не перемножайте балл CVSS и процентиль, чтобы получить якобы точный риск: такая формула скрывает разные смыслы исходных величин.
Для конкретного сайта сначала подтвердите применимость и доступность. Затем сопоставьте внешние сигналы с ролью функции и последствиями. Если уже наблюдается активное чужое действие, передайте ситуацию в реагирование, не ожидая удобного места в обычной очереди обновлений.
Как оценка превращается в рабочее решение
Условный магазин получает два предупреждения. Первое имеет более высокий балл, но относится к функции, которой нет в установленной редакции. Второе касается доступного компонента оформления заказа. Ответственному нужно проверить эти условия, а не автоматически сортировать только колонку CVSS.
После подтверждения определяют исправление или поддерживаемую временную меру, нужное тестирование и владельца выпуска. Приоритет фиксируют словами с основаниями. Если исходные условия изменятся, решение можно пересмотреть без выдуманной универсальной формулы.
Что передать для обсуждения
Подготовьте исходную ссылку, вектор, версию CVSS, название и версию компонента. Опишите бизнес-функцию и уже известные ограничения. Полезный итог обсуждения - перечень уточнений, назначенное действие и способ проверить результат, а не обещание сделать все оценки зелеными.
CyberFixCrew - израильская компания по защите сайтов и цифровой инфраструктуры. Помогаем русскоязычным бизнесам по всему миру применять израильские знания в области кибербезопасности к понятным решениям: какие компоненты проверить, что изменить и как согласовать результат.