prioritizing-vulnerabilities-with-cvss-scoring

使用 CVSS 评分对漏洞进行优先级排序

概述

通用漏洞评分系统（CVSS）是由 FIRST（事件响应与安全团队论坛）维护的行业标准框架，用于评估漏洞严重程度。CVSS v4.0（2023 年 11 月发布）引入了更精细的度量指标，以实现更准确的评分。本技能涵盖计算 CVSS 分数、解读向量字符串，以及结合 EPSS 和 CISA KEV 等上下文因素使用 CVSS，从而有效地对漏洞进行优先级排序。

何时使用

• 当管理安全运营，需要结合 CVSS 评分对漏洞进行优先级排序时
• 当提升安全项目成熟度和运营流程时
• 当为安全团队工作流建立标准化流程时
• 当将威胁情报或漏洞数据集成到运营中时

前置条件

• 了解常见漏洞类型（缓冲区溢出、注入、XSS 等）
• 熟悉网络概念（攻击向量、协议）
• 可访问 NVD（国家漏洞数据库）以查询 CVE
• 有需要优先级排序的漏洞扫描结果

核心概念

CVSS v4.0 度量指标组

1. 基础指标（固有严重程度）

表示漏洞的固有特征：

可利用性指标：

• 攻击向量 (AV)：网络 (N)、相邻 (A)、本地 (L)、物理 (P)
• 攻击复杂度 (AC)：低 (L)、高 (H)
• 攻击要求 (AT)：无 (N)、存在 (P) - v4.0 新增
• 所需权限 (PR)：无 (N)、低 (L)、高 (H)
• 用户交互 (UI)：无 (N)、被动 (P)、主动 (A) - v4.0 扩展

影响指标（易受攻击的系统）：

• 机密性 (VC)：无 (N)、低 (L)、高 (H)
• 完整性 (VI)：无 (N)、低 (L)、高 (H)
• 可用性 (VA)：无 (N)、低 (L)、高 (H)

影响指标（后续系统）：

• 机密性 (SC)：无 (N)、低 (L)、高 (H)
• 完整性 (SI)：无 (N)、低 (L)、高 (H)
• 可用性 (SA)：无 (N)、低 (L)、高 (H)

2. 威胁指标（动态上下文）

• 利用成熟度 (E)：已攻击 (A)、POC (P)、未报告 (U)

3. 环境指标（组织特定）

反映本地部署上下文的基础指标修改版本，外加：

• 机密性要求 (CR)：高 (H)、中 (M)、低 (L)
• 完整性要求 (IR)：高 (H)、中 (M)、低 (L)
• 可用性要求 (AR)：高 (H)、中 (M)、低 (L)

4. 补充指标（参考信息）

• 安全性 (S)：存在 (P)、可忽略 (X)
• 可自动化 (AU)：是 (Y)、否 (N)
• 恢复 (R)：自动 (A)、用户 (U)、不可恢复 (I)
• 价值密度 (V)：分散 (D)、集中 (C)
• 漏洞响应努力 (RE)：低 (L)、中 (M)、高 (H)
• 提供方紧急度 (U)：红、琥珀、绿、清晰

CVSS v4.0 严重程度评级

分数范围	严重程度
0.0	无
0.1 - 3.9	低
4.0 - 6.9	中
7.0 - 8.9	高
9.0 - 10.0	严重

CVSS v4.0 向量字符串格式

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

此示例表示一个可通过网络利用的漏洞，无需权限、无需用户交互、无攻击要求，且对易受攻击系统的机密性、完整性和可用性具有高影响。

工作流

步骤 1：评估基础指标

对于每个漏洞，评估：

Example: CVE-2024-3094 (XZ Utils Backdoor)

Attack Vector:        Network (N)     - Exploitable over network
Attack Complexity:    High (H)        - Specific conditions required
Attack Requirements:  Present (P)     - Specific build/config needed
Privileges Required:  None (N)        - No authentication needed
User Interaction:     None (N)        - No victim action needed

Vulnerable System Impact:
  Confidentiality:    High (H)        - Complete access to SSH keys
  Integrity:          High (H)        - Arbitrary code execution
  Availability:       High (H)        - Full system compromise

Subsequent System Impact:
  Confidentiality:    High (H)        - Lateral movement possible
  Integrity:          High (H)        - Network-wide compromise
  Availability:       None (N)        - No downstream availability impact

Vector: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:N

步骤 2：应用威胁情报上下文

使用真实世界的威胁数据充实 CVSS：

Exploit Maturity:     Attacked (A)    - Active exploitation in the wild
EPSS Score:           0.94            - 94% probability of exploitation in 30 days
CISA KEV:            Listed           - Mandatory remediation for federal agencies

步骤 3：计算环境分数

根据组织上下文进行调整：

Confidentiality Req:  High (H)        - Handles PII/financial data
Integrity Req:        High (H)        - Critical business process
Availability Req:     Medium (M)      - Has DR/failover capability

Modified Attack Vector: Network (N)   - Internet-facing deployment

步骤 4：多因素优先级排序矩阵

将 CVSS 与其他优先级排序因素相结合：

因素	权重	来源
CVSS 基础评分	25%	NVD/扫描器
EPSS 评分	25%	FIRST EPSS API
资产关键性	20%	资产清单/CMDB
CISA KEV 收录	15%	CISA 目录
网络暴露面	15%	网络分段数据

步骤 5：定义修复 SLA

优先级级别	CVSS 范围	EPSS	资产层级	SLA
P1 - 紧急	9.0-10.0	>0.5	第 1 层	24-48 小时
P2 - 严重	7.0-8.9	>0.3	第 1-2 层	7 天
P3 - 高	7.0-8.9	<0.3	第 2-3 层	14 天
P4 - 中	4.0-6.9	任意	任意	30 天
P5 - 低	0.1-3.9	任意	任意	90 天

最佳实践

1. 切勿仅依赖 CVSS 基础评分进行优先级排序
2. 始终纳入威胁情报（EPSS、KEV、漏洞利用数据库）
3. 在 CMDB 中维护准确的资产关键性评级
4. 根据你的具体部署环境调整环境指标
5. 使用 CVSS v4.0 向量字符串在团队之间精确沟通
6. 记录评分依据，以便审计追溯并保持一致性
7. 当有新的威胁情报可用时重新评估评分
8. 培训修复团队解读 CVSS 指标和向量字符串

常见陷阱

• 将 CVSS 基础评分视为唯一的优先级排序因素
• 忽视反映组织风险的环境指标
• 当漏洞利用成熟度变化时未更新威胁指标
• 将 CVSS 严重性与实际组织风险混为一谈
• 使用过时的 CVSS v2.0 评分而非 v3.1/v4.0
• 过度依赖扫描器提供的评分而不加以验证

相关技能

• prioritizing-patches-with-exploit-prediction-scoring
• implementing-risk-based-vulnerability-management
• implementing-vulnerability-remediation-sla