如何计算CVSS标准中的影响度量标准

我正在尝试计算CVSS标准中的影响度量标准（机密性，可用性和完整性）。如何计算CVSS标准中的影响度量标准

任何人都可以建议如何做到这一点？

2016-08-23 Kamal SABBAR

我投票结束这个问题作为题外话，因为https://security.stackexchange.com/更合适。 – SilverlightFox

首先，CVSS v2和v3之间存在区别，所以您需要指定您使用哪一个（一个'完成'另一个'高'作为CIA的可能影响）。

无论如何，为了评估正确的影响，您需要了解漏洞和标准。官方标准有很多不同的例子。

这里有一对：假设您有一个漏洞，允许您通过从远程发送格式错误的请求来崩溃Apache Web服务器。如果我们必须为Web服务器本身分配一个CVSS分数，机密性不会受到影响，因为没有任何内容泄漏，Integrity不会受到影响，因为没有数据被操纵。然而，可用性将完全受到影响，因为服务器不再响应。但是，我们假设我们必须为同一个问题分配一个CVSS，这次我们只为操作系统（例如运行http服务器的服务器本身）执行此操作。虽然机密性和完整性仍然没有受到影响，但服务器的可用性只会部分受到影响。尽管Web服务器可能不再响应，但其他服务可能（例如SSH，Mailserver等）。

这是为了说清楚，CVSS不能自动计算，但必须针对与受影响的软件组件相关的每个漏洞进行评估。标准中还有其他一些缺陷，所以我强烈建议你阅读它！

来源

2016-08-24 04:35:15

谢谢@Daniel，你的回答非常有趣。 :) –

您应该使用标准中提供的定义，因为您遵循标准以标准化和普遍同意的方式传达结果。参考此文档：https://www.first.org/cvss/specification-document

来源

2017-01-05 05:35:41 DDS

如何计算CVSS标准中的影响度量标准

回答

相关问题