CVSS 是评估软件安全漏洞严重性的标准化框架,可根据可利用性、可依据保密性、完整性、可用性和所需权限的影响等因素进行评分,或以低、中、高和关键几种等级定性,最终分数越高则表示漏洞越严重。
这种评估方法可能够通过漏洞的影响来比较不同系统和软件的风险,有助于人们优先应对安全威胁。
FIRST 方面表示:这一版修订后的评估标准为消费者提供了更加精细的基础指标,消除了之前模糊的下游评分,简化了威胁指标,并提高了评估特定环境安全要求和补偿控制的有效性。此外,新版标准还增加了几个用于漏洞评估的补充指标,包括自动(可蠕虫)、漏洞响应力度和紧迫性等。
今年 6 月,FIRST 在加拿大蒙特利尔举行的第 35 届年会上正式发布了 CVSS 4.0 版本,并称其为 "网络领域的游戏规则改变者",此版本距离 2005 年 2 月发布的 CVSS 第一版本已经过去了 18 年。
FIRST 首席执行官 Chris Gibson 表示:目前全球漏洞威胁数量显著增加, CVSS4.0 版本的发布恰逢其时。在过去的 18 年中,CVSS 系统发展的很快,几乎每一个版本都赋予了人们更强的抵御网络犯罪的能力。我们对于 CVSS-SIG 开发 4.0 版本所付出的努力感到无比自豪。
作为一个会员制的组织,Chris Gibson认为其主要目标就是增强会员的能力,以及保护全球人民免受网络攻击。
去年,FIRST 还发布了 TLP 2.0,这是计算机安全事件响应小组(CSIRT)社区在共享敏感信息时使用的最新版交通灯协议(TLP)标准。