CVSS kalkulačka 3.1
Vyberte metriky zranitelnosti nebo vložte vektor z advisory či NVD a nástroj hned spočítá skóre CVSS 3.1, závažnost a vektor ke zkopírování.
Jak nástroj použít
- Když máte vektor z advisory výrobce nebo z NVD (začíná CVSS:3.1/ nebo CVSS:3.0/), vložte ho do pole a klikněte na Načíst vektor.
- Jinak nastavte základní metriky podle popisu zranitelnosti – odkud jde útok vést, co útočník potřebuje a jaký má chyba dopad.
- Volitelně doplňte časové metriky: jestli existuje exploit, oprava a jak spolehlivá je zpráva o chybě.
- Pro vlastní prostředí nastavte metriky prostředí: jak důležitý je pro vás zasažený systém (CR, IR, AR) a co je u vás jinak – třeba že zařízení není dostupné z internetu (MAV).
- Skóre a vektor se přepočítají po každé změně. Vektor zkopírujte do tiketu nebo zprávy, adresa stránky ho obsahuje také.
Jak to funguje
Skóre CVSS (Common Vulnerability Scoring System) uvádí u zranitelností výrobci, databáze NVD i český NÚKIB. Číslo od 0 do 10 shrnuje, jak snadno jde chybu zneužít a co tím útočník získá. Kalkulačka počítá podle CVSS verze 3.1, kterou spravuje organizace FIRST:
- Základní skóre (Base) – vlastnosti chyby, které se v čase nemění: vektor útoku, složitost, potřebná oprávnění, nutnost akce uživatele, rozsah a dopad na důvěrnost, integritu a dostupnost.
- Časové skóre (Temporal) – co se mění: jestli existuje funkční exploit, jestli je k dispozici oprava a jak spolehlivá je zpráva o chybě. Výsledek nikdy nepřesáhne základní skóre.
- Skóre prostředí (Environmental) – přizpůsobení vaší organizaci: jak důležitý je zasažený systém a co je u vás jinak, například že zranitelná služba není dostupná z internetu. Hodí se, když potřebujete seřadit chyby podle toho, co znamenají právě pro vás.
- Závažnost podle tabulky ze specifikace: žádná (0,0), nízká (0,1–3,9), střední (4,0–6,9), vysoká (7,0–8,9) a kritická (9,0–10,0).
U výsledku najdete i dílčí skóre dopadu a zneužitelnosti, ze kterých se základní skóre skládá. Hodí se při porovnání s hodnocením výrobce nebo NVD.
Časté otázky
Odesílá se něco na server?
Ne. Skóre počítá skript přímo ve vašem prohlížeči podle vzorců ze specifikace CVSS 3.1 a nic se neodesílá ani neukládá. Vektor se jen zapíše za znak # do adresy stránky, aby šel výpočet sdílet – tato část adresy se serveru neposílá.
Znamená vysoké skóre CVSS vysoké riziko pro mou firmu?
Ne nutně. Podle uživatelské příručky FIRST měří CVSS závažnost zranitelnosti, ne riziko, a samo o sobě se k posouzení rizika používat nemá. Riziko záleží i na tom, jestli zranitelný systém máte, jestli je dostupný z internetu a jestli se chyba aktivně zneužívá – to sleduje například katalog CISA KEV.
Kdy nastavit Rozsah (Scope) na Změněný?
Když chyba v jedné komponentě umožní zasáhnout prostředky, které spravuje jiná bezpečnostní autorita. Příručka FIRST uvádí jako příklady únik z virtuálního počítače do hostitelského systému nebo cross-site scripting, který zasáhne prohlížeč oběti. SQL injection obvykle změnou rozsahu není, pokud aplikace a databáze sdílejí přihlašovací údaje.
Proč se moje skóre liší od NVD nebo od výrobce?
Skóre je jen tak přesné jako zvolené metriky a výrobce s NVD je někdy posoudí jinak. Porovnejte vektory metriku po metrice – když jsou vektory stejné, je stejné i základní skóre. Podle příručky se základní metriky hodnotí za předpokladu, že útočník systém dobře zná, a u knihoven pro rozumně nejhorší způsob použití.
K čemu jsou metriky prostředí a proč může skóre prostředí vyjít vyšší než základní?
Metriky prostředí přizpůsobí skóre konkrétní organizaci. Požadavky CR, IR a AR říkají, jak vážná by pro vás byla ztráta důvěrnosti, integrity nebo dostupnosti (Vysoký zvyšuje váhu dopadu 1,5×, Nízký ji snižuje na polovinu). Upravené metriky (MAV, MPR…) popisují, co je u vás jinak než v základním hodnocení, a Neurčeno převezme základní hodnotu. Specifikace 3.1 počítá dopad u změněného rozsahu v prostředí trochu jiným vzorcem než u základního skóre, proto může skóre prostředí vyjít o 0,1 výš i bez jiných změn.
Umí kalkulačka CVSS 4.0?
Zatím ne. Verze 4.0 má jiné metriky i jiný výpočet, takže vektor 4.0 nástroj odmítne. Vektor 3.0 načte a spočítá vzorci 3.1 – podle příručky FIRST se skóre může výjimečně lišit o 0,1, protože verze 3.1 zaokrouhluje přesněji.
Zdroje
Aktualizováno