prioritizing-vulnerabilities-with-cvss-scoring

用途

本技能用于在安全运营中对漏洞进行优先级排序，核心方法是使用 CVSS（通用漏洞评分系统）进行评分，并结合 EPSS、CISA KEV 等上下文因素，帮助安全团队确定修复顺序。CVSS 是由 FIRST（事件响应与安全团队论坛）维护的行业标准框架，用于评估漏洞严重性。CVSS v4.0 于 2023 年 11 月发布，引入了更精细的指标以实现更准确的评分。

主要能力

技能涵盖以下内容：

计算 CVSS 分数
解读 CVSS 向量字符串
结合 EPSS 和 CISA KEV 等上下文因素进行漏洞优先级排序

CVSS v4.0 指标组

1. 基础指标（固有严重性）

利用性指标：

攻击向量（AV）：网络（N）、相邻（A）、本地（L）、物理（P）
攻击复杂度（AC）：低（L）、高（H）
攻击要求（AT）：无（N）、存在（P）——v4.0 新增
所需权限（PR）：无（N）、低（L）、高（H）
用户交互（UI）：无（N）、被动（P）、主动（A）——v4.0 扩展

影响指标（易受攻击系统）：

机密性（VC）：无（N）、低（L）、高（H）
完整性（VI）：无（N）、低（L）、高（H）
可用性（VA）：无（N）、低（L）、高（H）

影响指标（后续系统）：

机密性（SC）：无（N）、低（L）、高（H）
完整性（SI）：无（N）、低（L）、高（H）
可用性（SA）：无（N）、低（L）、高（H）

2. 威胁指标（动态上下文）

利用成熟度（E）：已攻击（A）、概念验证（P）、未报告（U）

3. 环境指标（组织特定）

基础指标的修改版本，反映本地部署上下文，外加：

机密性要求（CR）：高（H）、中（M）、低（L）
完整性要求（IR）：高（H）、中（M）、低（L）
可用性要求（AR）：高（H）、中（M）、低（L）

4. 补充指标（咨询信息）

安全性（S）：存在（P）、可忽略（X）
可自动化（AU）：是（Y）、否（N）
恢复（R）：自动（A）、用户（U）、不可恢复（I）
价值密度（V）：分散（D）、集中（C）
漏洞响应努力（RE）：低（L）、中（M）、高（H）
提供者紧急度（U）：红、琥珀、绿、清除

CVSS v4.0 严重性等级

分数范围	严重性
0.0	无
0.1 - 3.9	低
4.0 - 6.9	中
7.0 - 8.9	高
9.0 - 10.0	严重

CVSS v4.0 向量字符串格式

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

该示例表示一个可通过网络利用的漏洞，无需权限、无需用户交互、无攻击要求，对易受攻击系统的机密性、完整性和可用性有高影响。

使用方式

工作流

步骤 1：评估基础指标

对每个漏洞进行评估。示例：CVE-2024-3094（XZ Utils 后门）

攻击向量：网络（N）——可通过网络利用
攻击复杂度：高（H）——需要特定条件
攻击要求：存在（P）——需要特定构建/配置
所需权限：无（N）——无需认证
用户交互：无（N）——无需受害者操作

易受攻击系统影响：

机密性：高（H）——可完全访问 SSH 密钥
完整性：高（H）——任意代码执行
可用性：高（H）——系统完全失陷

后续系统影响：

机密性：高（H）——可能横向移动
完整性：高（H）——网络范围失陷
可用性：无（N）——无下游可用性影响

向量：CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:N

步骤 2：应用威胁情报上下文

用真实世界威胁数据丰富 CVSS：

利用成熟度：已攻击（A）——野外活跃利用
EPSS 分数：0.94——30 天内利用概率 94%
CISA KEV：已列入——联邦机构强制修复

步骤 3：计算环境评分

根据组织上下文调整：

机密性要求：高（H）——处理 PII/财务数据
完整性要求：高（H）——关键业务流程
可用性要求：中（M）——具备灾难恢复/故障转移能力
修改后攻击向量：网络（N）——面向互联网部署

步骤 4：多因素优先级矩阵

将 CVSS 与其他优先级因素结合：

因素	权重	来源
CVSS 基础分数	25%	NVD/扫描器
EPSS 分数	25%	FIRST EPSS API
资产关键性	20%	资产清单/CMDB
CISA KEV 列入	15%	CISA 目录
网络暴露	15%	网络分段数据

步骤 5：定义修复 SLA

优先级	CVSS 范围	EPSS	资产层级	SLA
P1 - 紧急	9.0-10.0	>0.5	第 1 层	24-48 小时
P2 - 严重	7.0-8.9	>0.3	第 1-2 层	7 天
P3 - 高	7.0-8.9	<0.3	第 2-3 层	14 天
P4 - 中	4.0-6.9	任意	任意	30 天
P5 - 低	0.1-3.9	任意	任意	90 天

适用场景

管理需要优先处理漏洞的安全运营
提升安全项目成熟度和运营流程
为安全团队工作流建立标准化程序
将威胁情报或漏洞数据整合到运营中

前置条件

理解常见漏洞类型（缓冲区溢出、注入、XSS 等）
熟悉网络概念（攻击向量、协议）
可访问 NVD（国家漏洞数据库）进行 CVE 查询
需要优先排序的漏洞扫描结果

最佳实践

切勿仅依赖 CVSS 基础分数进行优先级排序
始终纳入威胁情报（EPSS、KEV、漏洞利用数据库）
在 CMDB 中维护准确的资产关键性评级
针对具体部署上下文调整环境指标
使用 CVSS v4.0 向量字符串在团队间精确沟通
记录评分理由以供审计追踪和一致性
当新威胁情报可用时重新评估分数
培训修复团队解读 CVSS 指标和向量字符串

常见陷阱

将 CVSS 基础分数视为唯一的优先级因素
忽略反映组织风险的环境指标
当利用成熟度变化时未更新威胁指标
混淆 CVSS 严重性与实际组织风险
使用过时的 CVSS v2.0 分数而非 v3.1/v4.0
过度依赖扫描器提供的分数而不进行验证

技能介绍

用途