CVSS標準の影響指標の計算方法

Question

CVSS標準の影響指標（機密性、可用性、完全性）を計算しようとしています。

これはどのように行うのですか？

Answer 1

まず、CVSS v2とv3の区別がありますので、どちらを使用するかを指定する必要があります（CIAにとって可能な影響として、他のものは「完全」です）。

いずれにしても、適切な影響を評価するには、脆弱性と標準を理解する必要があります。公式の標準には多くの異なる例があります。

ここにカップルがあります。リモートからの不正なリクエストを送信してApache Webサーバーをクラッシュさせる脆弱性があると想定します。 Webサーバー自体にCVSSスコアを割り当てる必要がある場合、漏洩しないため機密性に影響はなく、データが操作されていないため、Integrityに影響はありません。しかし、サーバーがもう応答しないため、可用性は完全に影響を受けます。

しかし、私たちが同じ問題についてCVSSを割り当てる必要があると仮定しましょう。これは、オペレーティングシステム（たとえば、httpサーバが稼動しているサーバ）に対して行うときだけです。機密性と完全性は依然として影響を受けませんが、サーバーの可用性は部分的にのみ影響を受けます。 Webサーバーが応答しなくなる可能性がありますが、他のサービス（SSH、メールサーバーなど）がある可能性があります。

これは、CVSSを自動的に計算することはできませんが、影響を受けるソフトウェアコンポーネントに関連する各脆弱性について評価する必要があることを明確にしました。標準で定義されている他の落とし穴もいくつかありますので、読んでみることを強くおすすめします！

Answer 2

標準化され、共通に合意された方法で結果を伝達するための基準に従っているので、標準で提供される定義を使用する必要があります。 https://www.first.org/cvss/specification-document