Каманды па кібербяспецы штодня сутыкаюцца з незлічонымі ўразлівасцямі. Вельмі важна высветліць, якія пагрозы патрабуюць увагі ў першую чаргу. Вось тут і прыходзіць на дапамогу Агульная сістэма ацэнкі ўразлівасцяў (CVSS). CVSS — гэта сістэма ацэнкі рызык, якая прысвойвае лікавыя значэнні ўразлівасцям, дапамагаючы камандам эфектыўна прыярытызаваць рызыкі. Выкарыстоўваючы такія інструменты, як калькулятар CVSS, і вывучаючы інфармацыю, якую прадастаўляе CVSS, каманды бяспекі могуць рабіць больш хуткія і разумныя рашэнні.cisіёны, каб засяродзіцца на найбольш крытычных пагрозах.
Для інжынераў DevSecOps і CISАперацыйная сістэма CVSS спрашчае ацэнку рызык. Гэта дапамагае засяродзіцца на найбольш важных уразлівасцях. З дапамогай CVSS каманды могуць апярэджваць пагрозы і ўзмацняць бяспеку.
Разуменне CVSS — гэта шкала рызыкі і яе паказчыкі
Агульная сістэма ацэнкі ўразлівасцяў (CVSS, сістэма ацэнкі рызыкі) забяспечвае глабальна прызнаную standard для ацэнкі ўразлівасцяў праграмнага забеспячэння. ПЕРШЫ (Форум каманд па рэагаванні на інцыдэнты і бяспецы) распрацаваў CVSS для стварэння структураванага спосабу вымярэння рызыкі. Як тлумачыць FIRST у сваім афіцыйным дакуменце па спецыфікацыях, сістэма дае арганізацыям standardцызаваныя ідэі, што дапамагае ім эфектыўна вызначаць прыярытэты ўразлівасці і хутка рэагаваць.
Па стане на 2026 год большасць развітых праграм бяспекі пераходзяць з CVSS версіі 3.1 на CVSS версіі 4.0, перагляд якой змяняе тое, як абаронцы ацэньваюць сур'ёзнасць і прыярытэт уразлівасцяў. Аднак пераход не з'яўляецца простым абнаўленнем: NVD цяпер публікуе ацэнкі CVSS 4.0 разам з CVSS 3.1 для новых апублікаваных CVE, але рэтраактыўная пераацэнка поўнай гістарычнай базы дадзеных не плануецца, гэта значыць, што старыя CVE будуць захоўваць свае ацэнкі CVSS 3.1 у якасці асноўнай спасылкі на нявызначаны тэрмін. Калі вы ствараеце або абнаўляеце праграму кіравання ўразлівасцямі ў 2026 годзе, будзьце гатовыя працаваць з абедзвюма версіямі адначасова ў агляднай будучыні.
Акрамя таго, CVSS праводзіць комплексную ацэнку ўразлівасцяў праграмнага забеспячэння з выкарыстаннем сістэматычнага механізму ацэнкі. Ён прысвойвае балы ад 0 да 10, дзе больш высокія балы паказваюць больш крытычныя ўразлівасці.
Якую інфармацыю прадастаўляе CVSS для кіравання рызыкамі?
,en Агульная сістэма ацэнкі ўразлівасцей (CVSS) забяспечвае структураваную аснову для ацэнкі сур'ёзнасці і ўплыву ўразлівасцяў. Разбіраючы характар і наступствы недахопаў бяспекі, CVSS дапамагае арганізацыям расстаўляць прыярытэты ў выпраўленні наступстваў. Сістэма прапануе ключавыя паказчыкі па трох асноўных вымярэннях:
Базавыя паказчыкіЯны вымяраюць унутраныя характарыстыкі ўразлівасці, якія не змяняюцца з цягам часу або ў розных асяроддзях. Асноўныя дэталі ўключаюць:
- Вектар атакі (AV)Як можна скарыстацца ўразлівасцю (напрыклад, дыстанцыйна або лакальна).
- Складанасць атакі (СА)Складанасць выкарыстання ўразлівасці.
- Патрабуемыя прывілеі (PR)Узровень доступу, неабходны для выкарыстання ўразлівасці.
- УплыўАцэньвае наступствы для канфідэнцыяльнасці, цэласнасці і даступнасці.
Часавыя паказчыкіГэтыя паказчыкі ацэньваюць уразлівасць па меры змены ўмоў, напрыклад:
- Сталасць кода эксплойтаЦі з'яўляецца код эксплойта агульнадаступным.
- Узровень карэкцыіНаяўнасць выпраўленняў або абходных шляхоў.
- Справаздача аб даверы: Дакладнасць паведамленай інфармацыі.
Экалагічныя паказчыкіЯны адаптуюць ацэнку да канкрэтнага кантэксту арганізацыі, адлюстроўваючы ўнікальны ўплыў уразлівасці на бізнес. Ключавыя фактары ўключаюць:
- Мадыфікаваныя паказчыкі ўздзеянняКарэкціруецца ў залежнасці ад крытычнасці для канкрэтных сістэм.
- Security RequirementsВажнасць канфідэнцыяльнасці, цэласнасці і даступнасці ў дадзеным асяроддзі.
Гэтая інфармацыя дае камандам па кібербяспецы практычную інфармацыю для дэталёвага разумення ўразлівасцей, што робіць расстаноўку прыярытэтаў больш дакладнай.cisд. Выкарыстоўваючы такія інструменты, як калькулятар CVSS, каманды могуць пераўтвараць гэтыя паказчыкі ў індывідуальныя ацэнкі, якія адпавядаюць парогам рызыкі арганізацыі.
Выкарыстанне калькулятара CVSS для прыярытэтызацыі пагроз
Калькулятар CVSS дапамагае ператварыць балы CVSS у практычную інфармацыю. Каманды бяспекі дадаюць канкрэтныя звесткі пра ўразлівасці для разліку балаў рызыкі, якія адпавядаюць іх асяроддзю. Гэты працэс гарантуе, што яны расстаўляюць прыярытэты на аснове рэальных умоў, а не тэарэтычных сцэнарыяў.
Напрыклад, калькулятар CVSS дазваляе камандам даследаваць якую інфармацыю прадастаўляе CVSS, такія як магчымасць выкарыстання, патэнцыйны ўплыў і тое, як розныя фактары змякчэння ўплываюць на ўзровень рызыкі. Такія інструменты, як Нацыянальная база дадзеных уразлівасцяў Калькулятар CVSS версіі 4 спрасціць гэты працэс, дапамагаючы спецыялістам па бяспецы больш эфектыўна аналізаваць уразлівасці.
Гэты індывідуальны падыход дазваляе арганізацыям засяродзіцца на ўразлівасцях, якія ўяўляюць найбольшую рызыку для крытычна важных сістэм. Як тлумачылася раней, каманды выкарыстоўваюць такія інструменты, як калькулятар CVSS, для больш падрабязнага вывучэння CVSS, сістэмы ацэнкі рызык. Больш за тое, ён звязвае тэхнічныя ацэнкі са стратэгічнымі распрацоўкамі.cisіёны, што дазваляе інжынерам DevSecOps і CISАС накіроўваць рэсурсы туды, дзе яны найбольш патрэбныя.
Акрамя таго, спалучэнне калькулятара CVSS з іншымі інструментамі паляпшае камунікацыю ў камандзе. Такі падыход гарантуе, што каманды ўдакладняюць працэсы і эфектыўна кіруюць уразлівасцямі. Эфектыўна выкарыстоўваючы інфармацыю CVSS, арганізацыі ўмацоўваюць і падтрымліваюць больш надзейную сістэму бяспекі.
Хочаце даведацца больш пра тое, як апярэджваць пагрозы ў рэжыме рэальнага часу?
Запампуйце наш дакумент «Ранняе папярэджанне: выяўленне пагроз у рэжыме рэальнага часу і прыярытэтызацыя» і даведайцеся, як абараніць свой ланцужок паставак праграмнага забеспячэння.
Асноўныя перавагі CVSS ацэнка рызыкі
CVSS, сістэма ацэнкі рызык, не проста прысвойвае нумары ўразлівасцям. Яна прапануе значную інфармацыю, якая дапамагае камандам DevSecOps і... CISЗрабіце лепшаеcisіёны, даследуючы, якую інфармацыю прадастаўляе CVSS, і выкарыстоўваючы яе для больш разумных стратэгій бяспекі.
Забяспечвае паслядоўную ацэнку рызыкі з дапамогай CVSS - паказчыка рызыкі
Па-першае, CVSS выкарыстоўвае standardаваны метад ацэнкі, што дазваляе камандам лягчэй паслядоўна ацэньваць уразлівасці. Гэты адзіны падыход памяншае блытаніну і дапамагае ўсім у камандзе працаваць з аднолькавым разуменнем рызык. У выніку арганізацыі могуць скаардынаваць свае намаганні і засяродзіцца на найбольш крытычных праблемах, не губляючы часу.
Забяспечвае лепшую дэcisіённае стварэнне
Акрамя таго, як мы ўжо згадвалі раней, CVSS дае падрабязную інфармацыю, разбіваючы ўразлівасці на базавыя, часавыя і экалагічныя паказчыкі. Гэтая інфармацыя выходзіць за рамкі простага вызначэння сур'ёзнасці пагрозы. Яна таксама паказвае, наколькі верагодна, што ўразлівасць будзе выкарыстана. Маючы гэтую інфармацыю, каманды могуць хутчэй прымаць рашэнні.cisіёны і сканцэнтраваць свае рэсурсы на вырашэнні найбольш актуальных рызык.
Паляпшае камунікацыю паміж камандамі
Больш за тое, сістэма лікавай ацэнкі CVSS спрашчае тлумачэнне ўразлівасцяў. Каманды бяспекі могуць выкарыстоўваць простыя метрыкі, каб дапамагчы нетэхнічным зацікаўленым бакам, такім як кіраўнікі або менеджэры, зразумець рызыкі. Гэтае агульнае разуменне прыводзіць да лепшага супрацоўніцтва, больш хуткага распрацоўвання і ўдасканалення...cisвытворчасць іёнаў і больш эфектыўнае рэагаванне на пагрозы.
Бездакорна працуе з пашыранымі інструментамі
Яшчэ адна перавага CVSS — гэта тое, наколькі добра ён інтэгруецца з іншымі інструментамі кібербяспекі. Напрыклад, такія платформы, як Xygeni, паляпшаюць CVSS, дадаючы аналіз уразлівасці ў рэжыме рэальнага часу і кантэкст выканання. Гэтыя інтэграцыі дапамагаюць удакладніць прыярытэтызацыю, што дазваляе камандам яшчэ лягчэй засяродзіцца на найбольш важных уразлівасцях.
Адпавядае галіновым патрабаванням Standards
Нарэшце, CVSS адпавядае глабальным standardі карыстаецца даверам арганізацый па ўсім свеце. Такое шырокае распаўсюджванне спрашчае для кампаній выкананне перадавых галіновых практык і рэгулятыўных патрабаванняў. Паколькі CVSS настолькі шырока выкарыстоўваецца, каманды бяспекі могуць давяраць яму як надзейнаму інструменту для кіравання і прыярытэтызацыі ўразлівасцяў.
Абмежаванні CVSS ацэнка рызыкі
Нягледзячы на тое, што CVSS з'яўляецца карысным інструментам для ацэнкі ўразлівасцяў, ён мае некаторыя важныя абмежаванні, якія павінны ўлічваць каманды бяспекі, каб палепшыць яго выкарыстанне.
Статычная ацэнка мае абмежаванні
Па-першае, CVSS абапіраецца на статычную ацэнку, гэта значыць, што ацэнка ўразлівасці не змяняецца нават пры з'яўленні новых пагроз. Гэта можа прывесці да таго, што каманды будуць засяроджвацца на праблемах з нізкім узроўнем рызыкі або ігнараваць актыўныя пагрозы, што прывядзе да марнавання часу і намаганняў.
Няма абнаўленняў для змяняючыхся пагроз
Па-другое, CVSS не адаптуецца да хутка зменлівых пагроз. Напрыклад, уразлівасць можа стаць больш небяспечнай, калі хакеры апублікуюць публічны эксплойт або калі важная сістэма будзе раскрыта. Без абнаўленняў у рэжыме рэальнага часу каманды могуць прапусціць тэрміновыя пагрозы.
Адсутнічаюць дадзеныя аб уразлівасці
Акрамя таго, CVSS вымярае сур'ёзнасць уразлівасці, але не паказвае верагоднасць яе выкарыстання. Такія інструменты, як EPSS, могуць дапамагчы, прагназуючы верагоднасць выкарыстання. Напрыклад, высокі бал CVSS можа не патрабаваць хуткіх дзеянняў, калі рызыка выкарыстання нізкая, але сярэдні бал з высокай рызыкай выкарыстання можа запатрабаваць неадкладнай увагі.
Абмежаваная налада навакольнага асяроддзя
Нарэшце, хоць CVSS дазваляе некаторыя карэкціроўкі ў залежнасці ад налад арганізацыі, гэтыя карэкціроўкі часта прапускаюцца або выкарыстоўваюцца няправільна. Гэта можа прывесці да ацэнак, якія не цалкам адлюстроўваюць рызыкі, напрыклад, у сістэмах, арыентаваных на грамадскасць, якія больш уразлівыя, чым унутраныя інструменты.
Інфляцыя — гэта ўсё большая праблема
Гэта абмежаванне не з'яўляецца тэарэтычным. У 2025 годзе 8.3% усіх CVE атрымалі крытычны статус і 31.1% атрымалі высокі ўзровень. Калі амаль 40% усіх апублікаваных уразлівасцей маюць адзнаку «Высокая» або «Крытычная», гэтыя дыяпазоны перастаюць значна адрозніваць рэальную рызыку ад звычайнай рызыкі, і менавіта таму CVSS больш не можа самастойна вызначаць прыярытэтызацыю.
Дадаўшы такія інструменты, як ЭПСС і маніторынг у рэжыме рэальнага часу, каманды могуць вырашыць гэтыя праблемы і лепш засяродзіцца на найбольш важных уразлівасцях.
Пераадоленне абмежаванняў з дапамогай дадатковых падыходаў
Каб вырашыць гэтыя праблемы, арганізацыям варта спалучаць CVSS з іншымі інструментамі і паказчыкамі, якія дадаюць дынамічны кантэкст і інфармацыю пра магчымасць выкарыстання. Напрыклад:
- Інтэграцыя EPSSПалепшыць CVSS з дапамогай EPSS, каб улічваць верагоднасць эксплуатацыі, гарантуючы, што прыярытэт аддаецца ўразлівасцям, якія ўяўляюць рэальную, непасрэдную пагрозу.
- Аналіз дасяжнасціВыкарыстоўвайце інструменты для вызначэння таго, ці даступная ўразлівасць у вашым канкрэтным асяроддзі, змяншаючы ўвагу да недасягальных рызык.
- Кантэкст выкананняВыкарыстоўвайце маніторынг у рэжыме рэальнага часу, каб ацаніць, ці актыўна выкарыстоўваюцца ўразлівасці або ці ўплываюць яны на працуючыя сістэмы.
- Інтэграцыя KEV: Уразлівасці, якія выкарыстоўваюцца ўзаемна з перакрыжаванымі спасылкамі CISКаталог вядомых эксплуатаваных уразлівасцей A. На працягу 2025 года ў KEV было дададзена 884 уразлівасці, і 28.96% з іх ужо эксплуатаваліся ў дзень іх публічнага раскрыцця або раней. У адрозненне ад прагназуемай верагоднасці EPSS, KEV пацвярджае, што эксплуатацыя сапраўды назіралася, што робіць яе адным з самых моцных нетэарэтычных сігналаў, даступных для прыярытэтызацыі.
Вырашаючы гэтыя абмежаванні і інтэгруючы CVSS з дадатковымі інструментамі, каманды бяспекі могуць прымаць больш абгрунтаваныя рашэнні.cisіёны, пераканаўшыся, што іх намаганні сканцэнтраваны на найбольш важных уразлівасцях.
CVSS і Закон ЕС аб кіберустойлівасці (CRA)
Ацэнка CVSS мае значэнне не толькі для ўнутранай прыярытэтызацыі. Закон ЕС аб кіберўстойлівасці (Рэгламент (ЕС) Паводле Пастановы (2024/2847), вытворцы павінны своечасова вызначаць уразлівасці і паведамляць пра актыўную эксплуатацыю, як толькі пра іх даведаюцца. Тут важныя дзве даты: абавязак паведамляць пра актыўна эксплуатаваныя ўразлівасці (артыкул 14) дзейнічае з 11 верасня 2026 года, а больш шырокія абавязкі па апрацоўцы, ліквідацыі і раскрыцці інфармацыі аб уразлівасцях (артыкул 13 і Дадатак I) дзейнічаюць з 11 снежня 2027 года.
Адно важнае ўдакладненне: CRA не абавязвае выкарыстоўваць CVSS, EPSS, KEV або якую-небудзь іншую канкрэтную сістэму ацэнкі. Яна патрабуе своечасовага выпраўлення ўразлівасці, але пакідае аперацыйныя вымярэнні на розніцу кожнага вытворцы. Тым не менш, адзнака CVSS або EPSS сама па сабе не запускае 24-гадзінны адлік справаздачнасці, толькі фактычнае вызначэнне таго, што ўразлівасць актыўна выкарыстоўваецца супраць рэальнай мэты. На практыцы гэта азначае, што арганізацыям, якія прадаюць праграмнае забеспячэнне ў ЕС, патрэбен дакументаваны, паслядоўны працэс ацэнкі і выяўлення, які можа надзейна адрозніць «тэарэтычна сур'ёзныя» ад «актыўна эксплуатаваных», менавіта тую прагаліну, якую пакідае толькі CVSS.
Калі вы прадаяце праграмнае або апаратнае забеспячэнне з лічбавымі элементамі ў ЕС, зараз самы час стварыць (ці правесці аўдыт) вашых балаў CVSS + EPSS + KEV. pipeline, задоўга да заканчэння тэрміну ў верасні 2026 года.
Як Xygeni паляпшае CVSS у сістэме ацэнкі рызыкі
Нягледзячы на тое, што CVSS — гэта сістэма ацэнкі рызык, якая з'яўляецца выдатнай адпраўной кропкай для ацэнкі ўразлівасцяў, Xygeni робіць яе яшчэ лепшай, дадаючы разумныя аналітычныя дадзеныя, лепшую прыярытэтызацыю і аўтаматызацыю. Гэтыя інструменты дапамагаюць камандам бяспекі засяродзіцца на найбольш важных пагрозах, адначасова скарачаючы непатрэбныя абвесткі, якія выклікаюць стомленасць. Каманды таксама могуць скарыстацца інфармацыяй, якую прадастаўляе CVSS, каб рабіць больш хуткія і абгрунтаваныя высновы.cisіёны.
Xygeni спалучае CVSS з рэальнымі дадзенымі, такімі як верагоднасць выкарыстання ўразлівасцей і тое, што адбываецца ў рэжыме рэальнага часу. Гэты падыход дазваляе камандам лягчэй расстаўляць прыярытэты і хутка рэагаваць на рэальныя пагрозы.
- Аналіз дасяжнасціXygeni вызначае, ці з'яўляецца ўразлівасць актыўна даступнай у вашым асяроддзі. Гэта гарантуе, што намаганні па забеспячэнні бяспекі сканцэнтраваны на пагрозах з рэальным уздзеяннем.
- Інтэграцыя EPSS і CVSSСпалучаючы дадзеныя аб эксплуатацыйных магчымасцях з інфармацыяй CVSS, Xygeni дазваляе больш разумна распрацоўвацьcisіёны. Напрыклад, як тлумачыцца ў Блог Xygeni пра аналіз ацэнкі CVE, гэтая інтэграцыя забяспечвае больш дакладную прыярытэзацыю.
- Аналіз ўплыву на бізнесXygeni пазначае ўразлівасці, якія ўплываюць на крытычна важныя актывы, каб сумясціць прыярытэты бяспекі з бізнес-мэтамі. Такім чынам, каманды могуць засяродзіць намаганні па выпраўленні наступстваў на тым, што найбольш важна для арганізацыі.
- Аналітыка выкананняXygeni дадае кантэкст у рэжыме рэальнага часу, напрыклад, актыўныя эксплуатацыі, што робіць прыярытэтызацыю больш практычнай і загадзяcise.
- Аўтаматызаванае выпраўленнеXygeni аўтаматызуе выпраўленне ўразлівасцяў, як толькі выяўляе іх. Гэты працэс скарачае ручную працу, паскарае рэагаванне і дазваляе распрацоўшчыкам засяродзіцца на сваім кадаванні без перапынкаў.
Xygeni спалучае CVSS з такімі інструментамі, як EPSS, і выкарыстоўвае аўтаматызацыю для спрашчэння кіравання ўразлівасцямі. У выніку гэты зразумелы і мэтанакіраваны падыход дапамагае інжынерам DevSecOps і CISАперацыйныя сістэмы канцэнтруюцца на крытычна важных задачах, зніжаюць рызыкі і ўмацоўваюць бяспеку.
Акрамя таго, Xygeni паляпшае камунікацыю ў камандзе, прапаноўваючы зразумелыя працоўныя працэсы і практычную аналітыку. Разам гэтыя функцыі дапамагаюць арганізацыям ствараць больш моцныя сістэмы бяспекі і апярэджваць новыя пагрозы.
Паколькі абавязацельствы па справаздачнасці ў адпаведнасці з Законам ЕС аб кіберўстойлівасці набліжаюцца да верасня 2026 года, наяўнасць дакументаванага, аўтаматызаванага працэсу прыярытэтызацыі на аснове CVSS і EPSS ужо не проста з'яўляецца найлепшай практыкай, а становіцца неабходнасцю для выканання патрабаванняў. Падыход Xygeni да спалучэння CVSS з EPSS і кантэкстам дасяжнасці дапамагае камандам стварыць менавіта такі абаранны, гатовы да аўдыту працэс да заканчэння тэрміну.
Вазьміце пад кантроль кіраванне сваімі ўразлівасцямі сёння
Не дазваляйце ўразлівасцям запавольваць вашу працу або падвяргаць рызыке вашы сістэмы. Замест гэтага выкарыстоўвайце перадавыя інструменты Xygeni, каб цалкам змяніць тое, як вы кіруеце пагрозамі і расстаўляеце прыярытэты. Дзякуючы беспраблемнаму спалучэнню магутнасці CVSS з дынамічнай аналітыкай, такой як уразлівасць і дасяжнасць, Xygeni дазваляе вашай камандзе засяродзіцца на тым, што сапраўды мае найбольшае значэнне.
Гатовыя зрабіць наступны крок? Азнаёмцеся з рашэннямі Xygeni па кіраванні ўразлівасцямі і даведайцеся, як мы можам дапамагчы вам апярэджваць новыя пагрозы. Запытайце дэманстрацыю сёння каб на ўласныя вочы адчуць будучыню кібербяспекі.
Пытанні і адказы
У чым розніца паміж CVSS версіі 3.1 і CVSS версіі 4.0?
У CVSS версіі 4.0 уведзена новая наменклатура для адрознення базавых (CVSS-B), базавых+пагроза (CVSS-BT), базавых+навакольных (CVSS-BE) і базавых+пагроза+навакольнае асяроддзе (CVSS-BTE), заменена старая група метрык «Час» больш практычнай групай «Пагроза» і дададзена дадатковая група метрык для знешняга кантэксту, напрыклад, уплыву на бяспеку і аўтаматызацыі. Гэта зроблена для таго, каб паменшыць неадназначнасць, з-за якой часавыя метрыкі CVSS версіі 3.1 рэдка выкарыстоўваліся на практыцы.
Ці трэба мне пераацэньваць існуючы спіс уразлівасцяў у CVSS версіі 4.0?
Не. Рэтраактыўная пераацэнка ўсёй базы дадзеных NVD у адпаведнасці з CVSS v4.0 не плануецца, і гістарычныя CVE захаваюць свае ацэнкі CVSS v3.1 у якасці асноўнай спасылкі. Каманды бяспекі павінны пачаць выкарыстоўваць ацэнкі CVSS v4.0 для новых апублікаваных CVE ў будучыні, не пераглядаючы мінулыя прыярытэты.cisіёны.
Чаму так шмат CVE маюць рэйтынг «Крытычны» або «Высокі»?
У 2025 годзе 8.3% уразлівасцяў CVE атрымалі крытычны ўзровень, а 31.1% — высокі, што азначае, што амаль 40% усіх выяўленых уразлівасцяў маюць найвышэйшы ўзровень сур'ёзнасці. Гэтая «інфляцыя сур'ёзнасці» з'яўляецца папярэдняй.cisВось чаму CVSS сам па сабе не з'яўляецца дастатковым інструментам прыярытэтызацыі: ён не адрознівае тэарэтычна сур'ёзную, але недасягальную хібу ад той, якая актыўна выкарыстоўваецца.
Што такое KEV і чым ён адрозніваецца ад EPSS?
KEV (вядомыя эксплуатаваныя ўразлівасці), падтрымліваецца CISА, пералічвае ўразлівасці з пацверджанымі доказамі актыўнага выкарыстання ў рэальных умовах. EPSS, наадварот, — гэта імавернасная мадэль, якая ацэньвае верагоднасць таго, што ўразлівасць будзе выкарыстана ў бліжэйшыя 30 дзён. У 2025 годзе ў KEV было дададзена 884 уразлівасці, прычым амаль 29% ужо актыўна эксплуатаваліся да публічнага раскрыцця. Выкарыстанне KEV і EPSS разам дае як пацверджаны сігнал пагрозы, так і сігнал пра будучыню.
Ці дастаткова самога CVSS для прыярытэтызацыі ўразлівасцяў?
Не. Эмпірычныя даследаванні паслядоўна паказваюць, што большасць уразлівасцей, якія атрымалі адзнаку «высокая» або «крытычная» паводле CVSS, насамрэч ніколі не назіраюцца як эксплуатаваныя. Падыход толькі з выкарыстаннем CVSS скарачае час распрацоўкі з-за тэарэтычнай рызыкі, у той час як сапраўды эксплуатаваныя ўразлівасці могуць застацца невырашанымі. Спалучэнне CVSS з EPSS, KEV і аналізам дасягальнасці з'яўляецца рэкамендаваным у галіны падыходам у цяперашні час.
