CVSS

CVSS — методика численной оценки серьёзности уязвимости. Она описывает характеристики вектора атаки, требуемые привилегии, взаимодействие пользователя, влияние на конфиденциальность, целостность и доступность, а затем формирует итоговый балл. Базовая оценка отражает свойства уязвимости без учёта конкретной организации. В CVSS 3.x временные метрики учитывают зрелость эксплойта, состояние исправления и достоверность сведений, а средовые — требования организации к конфиденциальности, целостности и доступности и изменённые базовые метрики. В CVSS 4.0 вместо временной группы предусмотрена группа метрик угроз, средовая группа переработана, а дополнительные метрики не влияют на балл. При оценке необходимо фиксировать версию CVSS, поскольку набор метрик и правила расчёта менялись между версиями. CVSS применяют для приоритизации патчей, настройки SLA устранения, отчётности и сравнения потока обнаруженных уязвимостей. Для закупок показатель полезен как один из критериев зрелости процессов управления уязвимостями, а не как характеристика безопасности продукта в целом. CVSS не является идентификатором уязвимости: эту роль выполняет CVE. Высокий балл CVSS не доказывает эксплуатацию в конкретной инфраструктуре; реальный приоритет зависит также от доступности актива, эксплойтов и ценности данных.