CVSS та оцінювання вразливостей: наскільки критична діра?

Коротко: CVSS оцінює діри в безпеці за шкалою від 0 до 10; EPSS і KEV додатково показують, наскільки ймовірно й як реально експлуатується діра.

Докладніше: Нові вразливості (номери CVE) публікуються щодня. Ніхто не може закрити їх усі одразу, тому потрібна пріоритизація. Common Vulnerability Scoring System (CVSS) дає стандартизовану серйозність.

Подробиці

Значення CVSS

Оцінка лежить від 0,0 до 10,0: 0,1–3,9 низька, 4,0–6,9 середня, 7,0–8,9 висока, 9,0–10,0 критична. Але самої оцінки недостатньо: ймовірність реальної експлуатації вразливості (EPSS) і список відомих експлуатованих вразливостей (KEV) теж визначають пріоритет.

Див. також: залежності та вразливості (CVE), OWASP Top 10