網(wǎng)站建設(shè)網(wǎng)站軟文范文
在文章CVSS4與CVSS3的不同-CSDN博客中描述了CVSS3的缺點(diǎn)，以及CVSS4相對CVSS3做了哪些改進(jìn)和帶來了哪些優(yōu)點(diǎn)。 但是具體CVSS4針對CVSS3做了哪些改動(dòng)，還沒有詳細(xì)列舉出來。 本文主要是針對CVSS4和CVSS的打分的大項(xiàng)和小項(xiàng)進(jìn)行逐一對比，列出來具體增加和刪除了哪些項(xiàng)目。
表格中顏色的說明：
紅色：新增加的項(xiàng)目
黃色：修改的項(xiàng)目
藍(lán)色：刪除的項(xiàng)目
白色：沒有更改的項(xiàng)目
| 分類項(xiàng) | 小分類 | CSS3 | CVSS4 | 描述 |
| Base Metrics | ||||
| User Interaction (UI) | None Required | None Active Passive | 細(xì)分為Active和Passive，可以提高打分的準(zhǔn)確性。 | |
| Attack Requirement | NA | None/Present | 新增加的分類，主要是描述攻擊之前環(huán)境是否需要某種方式的配置和部署。 有些CVE是依賴環(huán)境的配置項(xiàng)，如果沒有配置，就不會(huì)對環(huán)境造成威脅。 | |
| Scope | Unchanged/Changed | N/A | 此項(xiàng)刪除了。 關(guān)于可能影響的Scope可以參考后面的Vulnerable System和Subsequent System。 | |
| Confidentiality Impact (C) | Confidentiality Impact (C) | Vulnerable System Confidentiality (VC) | ||
| Subsequent System Confidentiality(SC) | ||||
| Integrity Impact (I) | Integrity Impact (I) | Vulnerable System Integrity (VI) | ||
| Subsequent System Integrity(SI) | ||||
| Availability Impact (A) | Availability Impact (A) | Vulnerable System? Availability(VA) | ||
| Subsequent System Availability (SA) | ||||
| Temporal Score Metrics 改為 Threat Metrics | ||||
| Exploit Code Maturity (E) | Unproven that exploit exists Proof of concept code Functional exploit exists High | Attack POC Unreported | 簡化了選線，更加易懂和操作。 | |
| Remediation Level (RL) | 此項(xiàng)刪除了。? | |||
| Report Confidence (RC) | 此項(xiàng)刪除了。? | |||
| Environmental Score Metrics 改為 Environmental (Modified Base Metrics) | ||||
| User Interaction (MUI) | None Required | None Active Passive | ||
| Impact Metrics 改為 Vulnerable System Impact Metrics | ||||
| Confidentiality | High/Medium/Low | High/Medium/Low | ||
| Integrity | High/Medium/Low | High/Medium/Low | ||
| Availability? | High/Medium/Low | High/Medium/Low | ||
| Impact Subscore Modifiers 改為Subsequent System Impact Metrics | ||||
| Confidentiality | High/Medium/Low | High/Medium/Low | ||
| Integrity | High/Medium/Low | Saftey/High/Medium/Low | 增加了Saftey選線 | |
| Availability? | High/Medium/Low | Saftey/High/Medium/Low | ||
| Environmental (Security Requirements)? | ||||
| Confidentiality Requirements | NA | High/Medium/Low | ||
| Integrity Requirements | NA | High/Medium/Low | ||
| Availability Requirements | NA | High/Medium/Low | ||
| Supplemental Metrics | ||||
| Safety (S) | NA | Negligible/Present | 攻擊是否會(huì)影響組織的安全？ | |
| Automatable (AU) | NA | No/Yes | 攻擊者是否可以自動(dòng)化攻擊？ | |
| Recovery (R) | NA | Automatic/User/Irrcoverable | 系統(tǒng)或者組件是否可以在攻擊者攻擊之后自動(dòng)恢復(fù)？ | |
| Value Density (V) | NA | Diffuse/Concentrated | 攻擊者一次攻擊可以控制哪些資源？ | |
| Vulnerability Response Effort (RE) | NA | Low/Medium/High | 需要花費(fèi)多少努力應(yīng)對攻擊？ | |
| Provider Urgency (U) | NA | Clear/Green/Amber/Red | 廠商如何評價(jià)此漏洞的級別？ | |
使用了CVSS4之后，會(huì)導(dǎo)致一些漏洞的嚴(yán)重級別降低。 例如：User Interaction ， 從原來的Required改為Active和Passive，經(jīng)過細(xì)化之后，CVSS3只要是需要用戶參與不管主動(dòng)和被動(dòng)，都會(huì)統(tǒng)一，CVSS4經(jīng)過細(xì)分之后，Passive的就會(huì)比Active的分?jǐn)?shù)降低，也導(dǎo)致CVE的級別降低。
CVSS4另外一個(gè)重大的變化就是增加了環(huán)境的因素并且細(xì)分和補(bǔ)充選項(xiàng)，使CVSS考慮的更全面，適用的范圍也進(jìn)行了擴(kuò)展，使用時(shí)也更加靈活，可以滿足不同行業(yè)的需求。
NVD - CVSS v4 Calculator
NVD - CVSS v3 Calculator