什麼是 CVSS（通用漏洞評分系統）？

通用弱點評分系統（Common Vulnerability Scoring System，簡稱 CVSS）是一個開放式框架，用於評估與排序安全弱點的嚴重程度。在這方面，CVSS 所給出的分數主要由資安專業人員用於風險緩解活動。CVSS 分數以 0 到 10 的尺度進行評分，以判定弱點等級。2023 年的一份報告估計，約有 93% 的新通報弱點仍未經國家弱點資料庫（NVD）分析，導致數量驚人的、可能已被武器化且具有公開概念驗證（proof-of-concept）利用程式的弱點處於未受管理的狀態。

這項差距凸顯了擁有通用漏洞評分系統的重要性，讓組織能夠以一致的方法評估並排定此類漏洞的優先順序，並在此基礎上，對新出現的威脅採取更主動的防禦姿態。

在這篇部落格文章中，我們將詳細討論通用漏洞評分系統。我們也將說明漏洞評分系統、計算 CVSS 分數的依據、檢視 CVSS 計算器，並將其與其他可支援有效漏洞管理的系統進行比較。閱讀完畢後，您將具備改善組織網路安全態勢所需的資訊。

什麼是 CVSS（通用漏洞評分系統）？

CVSS，即通用弱點評分系統，是一種用於評估與傳達軟體弱點的標準化系統。它包含一個 0 到 10 的數值分數，數值越高，表示弱點越嚴重。CVSS 由 National Infrastructure Advisory Council (NIAC) 於 2005 年推出，版本為 CVSS 1.0。之後，NIAC 選定 Forum of Incident Response and Security Teams，通常稱為 FRONT，負責 CVSS 的後續發展。

CVSS 有三個度量群組，分別是基本、時間性與環境性。這些度量可協助組織掌握漏洞的不同面向，例如可利用性、其在系統中可能擴散的範圍，以及其在不同環境中的緩解情況。透過這種結構化方法，CVSS 可協助組織更有效率地處理漏洞，並能依據每個缺陷可能造成的影響，對修補程式或緩解策略進行優先排序。

為什麼 CVSS 對漏洞管理很重要？

CVSS 在漏洞管理中扮演重要角色，協助組織以系統化方式評估並排定漏洞優先順序。因此，有效運用 CVSS 可確保組織的整體安全性，並讓資源依需求加以運用。以下是一些反映 CVSS 對漏洞管理重要性的因素：

1. 跨平台標準化：在大型 IT 環境中運作的組織，需要 CVSS 所提供的統一評分框架，以便跨平台與系統對漏洞進行評級。標準化評分使得能夠依據相同標準判斷所有漏洞，成為決策的穩固基礎。
2. 專注於較早發現的弱點：CVSS 讓安全團隊能根據統一的嚴重性指標來排定漏洞優先順序。這可消除主觀偏誤，並讓 IT 團隊優先處理最關鍵的漏洞。根據一份報告，71% 的組織在內部管理漏洞，但只有 30% 認為其計畫非常有效。令人鼓舞的是，44% 計畫增加對漏洞管理解決方案的投資，以強化安全工作。
3. 自動化安全流程：CVSS 分數通常由用於漏洞管理的自動化工具提供。這類自動化工具會自動判定修補或緩解的優先順序，將修補時間以及潛在人為錯誤降至最低。CVSS 提供可將手動風險評估降到最低的自動化程度，進而加快回應速度。
4. 改善與利害關係人的溝通：CVSS 提供討論漏洞的共同語言，使 IT 與開發團隊能夠與非技術利害關係人適切地溝通其工作。共同理解可確保所有處理漏洞管理的人都了解相同問題，因此能適當分配資源，並讓安全倡議更容易獲得正當性說明。
5. 符合法規需求：使用 CVSS 有助於符合 GDPR、PCI-DSS 或 CCPA 等法規標準，因為它讓組織能夠展現對漏洞的主動式管理。大多數法規環境都要求主動式漏洞管理，而 CVSS 提供必要的透明度，以證明已遵循安全最佳實務。當使用像 CVSS 這樣通用且被接受的系統來分析並排定漏洞優先順序時，合規稽核可能會更為簡化。
6. 明智的修補程式管理決策：高分漏洞應優先處理，以確保資源投入於緩解最大風險。一項調查發現，62% 的組織在經歷資料外洩之前並不知道自身存在的漏洞，這凸顯了有效且具資訊依據的修補程式管理的關鍵需求。透過主動處理漏洞，組織可以大幅降低外洩風險，並強化其整體安全態勢。

CVSS 與其他漏洞評分系統的比較

由於有各種針對特定產業或使用案例量身打造的漏洞評分系統可供使用，組織要做出決策並選擇其一變得非常困難。因此，在以下章節中，我們將比較通用漏洞評分系統與其他熱門評分系統之間的差異，展示其獨特功能與應用。

從這些比較中可以清楚看出，CVSS 顯然是一項適用於多個產業的標準。CVSS 專為廣泛應用而設計，能以無與倫比的適應性評估傳統 IT 系統與現代雲端環境中的弱點。相較之下，OWASP Risk Rating Methodology 主要聚焦於 Web 應用程式，且更依賴基於潛在風險與影響的主觀判斷。

雖然 Microsoft 的專有弱點評分系統在 Windows 環境中相當有效，但並不具備 CVSS 所提供的通用適用性。對於擁有異質 IT 基礎架構的組織而言，CVSS 提供了跨平台一致評估弱點的彈性。其全面性的指標可提供非常細緻的評估，使組織能更完整地了解與每個弱點相關的整體風險。

CVSS 與 CVE

既然我們已了解它與其他弱點評分系統的差異，接著來比較 CVSS 與 Common Vulnerabilities and Exposures，也就是 CVE。CVSS 與 CVE 的關鍵差異在於它們在弱點管理中的用途。CVE 提供一份具有唯一識別碼的公開已知弱點清單，而 CVSS 則提供一套評分系統，用於評估這些弱點的嚴重性。讓我們透過下表詳細了解：

從上表可以清楚看出，CVE 作為弱點儲存庫，並為每個已識別的弱點指派一個識別碼。這使其能夠在不同平台與產業之間進行追蹤與分享。CVSS 則提供額外的脈絡，利用 CVE 的資訊來評估這些弱點的嚴重性。因此，CVSS 透過提供資訊讓組織能適當決定修補行動，作為 CVE 的補充。

當 CVE 回答「什麼是弱點？」這個問題時，CVSS 回答的是「這個弱點有多嚴重？」兩者都是完整 弱點管理流程 的一部分。像 CVE 這樣的弱點識別流程構成初始步驟，而像 CVSS 這樣的回應優先排序脈絡則隨後而來。

了解 CVSS 評分方法

CVSS 評分方法分為三大指標群組，分別是 Base、Temporal 與 Environmental。每一組都會對整體弱點的全面性分數計算有所貢獻。在這些指標的幫助下，組織能了解特定弱點可能如何被利用、被利用的可能性，以及其對自身環境可能造成的影響。

CVSS 中的不同指標：Base、Temporal 與 Environmental 分數

CVSS 評分模型是以三種類型的指標為基礎，這些指標共同提供對弱點嚴重性的量化。每種類型的指標都有其特定用途，並提供不同角度來理解弱點所帶來的風險。讓我們詳細了解這些指標：

1. 基本指標： 基本指標是弱點中會隨時間保持不變的組成要素。這些包括但不限於攻擊向量本身的性質，例如是以網路為基礎、相鄰網路為基礎，或是本機。影響指標則包括機密性、完整性與可用性。這些構成任何 CVSS 分數的基本指標。
2. 時間性指標： 時間性指標會將可能隨時間變化的因素納入考量。例如，利用程式碼的可用性或解決方案是否存在。如果已發布修補程式，時間性指標就會更新，以反映風險降低。這些指標提供動態資訊，因此 CVSS 成為即時分數，會隨著更多關於弱點的資訊出現而改變。
3. 環境指標： 環境指標可讓 CVSS 分數根據可能適用於受影響系統的特性進行調整。這些指標有助於調整基本分數與時間性分數，使弱點的影響能反映在組織的特定環境中。這就是為什麼自訂很重要，讓組織能找出此類弱點對其造成的實際風險。

CVSS 分數嚴重性評等：低、中、高與重大

CVSS 分數具有不同的嚴重性評等，用來表示弱點可能造成的風險範圍。這些評等稱為低、中、高與重大，可讓組織了解處理急迫性與影響程度，進而掌握修補所需的資源。以下是各分數範圍的意義：

1. 低 (0.1 – 3.9)： 低分弱點對系統造成的風險極低。這些弱點不是難以利用，就是即使遭到利用也只會造成很小的影響。組織可決定稍後再處理，因為遭利用的可能性或對核心功能的影響幾乎可以忽略不計。
2. 中 (4.0 – 6.9)： 此類弱點需要中等程度的努力才能利用，或是在成功利用後可能造成中等程度的影響。這類弱點可能需要一定程度的關注，但通常不會使情況陷入危急。因此，團隊應根據可用資源與目前工作負載來決定其優先順序。
3. 高 (7.0 – 8.9)： 高分弱點較容易被利用，而其遭利用將影響系統的機密性、完整性或可用性。事實上，這些弱點需要採取重大修補措施才能解決，因為若長時間未修補，組織發生重大安全事件的風險將會增加。
4. 重大 (9.0 – 10.0)： 最具威脅性且必須優先處理的是重大弱點。這類弱點包括容易被利用的弱點，或是在成功利用後會導致重大損害的弱點。許多組織在識別出重大弱點後，會實施某些程序，例如緊急修補。

CVSS 分數如何計算？

對企業而言，取得 CVSS 分數可能是一項複雜的工作，因為計算過程中會納入各種衡量因素。在這種結構化方法中，從弱點影響到各項因素都會被非常仔細地權衡。在本節中，我們將把此評分流程拆解為四個階段或步驟：

1. 基本指標群組評估： 第一步是為代表弱點本身內在屬性的基本指標指派數值。這些包括攻擊向量、攻擊複雜度、所需權限、使用者互動，以及對機密性、完整性與可用性的影響。基本指標用於建立第一層風險基準，著眼於特定弱點的固有性質。
2. 時間性指標群組測試： 下一步是評估一組時間性指標。這包括檢查弱點的目前狀況，例如補救措施或利用程式碼的可用性，以及報告可信度。時間性分數可能會隨時間改變，以反映可利用性或修補狀況的變化。這要求組織隨著情勢演變，適當重新評估風險等級。
3. 環境指標群組自訂： 第三步會將環境指標納入考量。這使組織能夠調整基本分數與時間性分數，以反映弱點對其環境造成的影響。環境指標引入了因組織而異的安全需求，使 CVSS 分數更貼近企業的安全優先事項與營運需求。
4. 使用 CVSS 計算機計算分數： 在為所有指標群組評分後，最終分數會藉由 National Vulnerability Database (NVD) 上提供的 CVSS 計算機來計算。此分數將描述弱點的嚴重程度，使組織能更精準地執行修補活動。

組織如何使用 CVSS 來排定弱點優先順序？

弱點優先排序是有效網路安全策略的重要部分。因此，CVSS 評分可協助組織識別哪些弱點需要立即關注，哪些可以稍後處理。組織在弱點管理中使用 CVSS，便能有系統地降低風險。以下是組織可使用 CVSS 的一些方式：

1. 評分強度排序： 評等為 7.0 以上的高與重大弱點應立即修補，以降低大規模安全外洩的風險。這種優先排序可讓組織透過將資源與時間集中在最危險的威脅上，來管理其修補工作。因此，優先處理這些嚴重弱點，確實能保護關鍵資產並減少對組織營運的潛在干擾。
2. 與業務目標策略一致的修補： 組織應使用環境指標根據關鍵性來調整 CVSS 分數，藉此讓自己能專注於那些會影響關鍵資產或核心功能的弱點。這使修補工作能直接支援關鍵的策略性業務目標。依影響程度排定優先順序，可讓組織將焦點放在對成功與安全最重要的風險上，進而最大化資源利用。
3. 對弱點的自動化回應： 大多數弱點管理系統都與 CVSS 評分機制整合，以實現自動化優先排序流程。這類系統能對重大弱點自動觸發工作流程，同時藉由 CVSS 將錯誤降到最低。透過自動化，組織可減少人工工作，讓安全團隊更有效地處理緊急弱點，並確保整體安全回應能力更佳。
4. 將 CVSS 與威脅情報整合： 透過將 威脅情報 套用至 CVSS 分數，組織將能即時更深入了解每個弱點在真實世界中的風險。威脅情報資料可能顯示某個特定弱點正遭到主動利用，因此改變優先順序。如此一來，組織便能領先主動攻擊一步，並可主動防範新興威脅。
5. 定期檢視與更新以 CVSS 為基礎的優先排序： 組織範圍內對基於 CVSS 的優先順序設定進行審查與精進，應持續進行，以確保該策略能反映不斷變化的安全需求與持續演變的風險認知。可能促使更新優先順序設定的事件，包括新的威脅資料、基礎架構變更，或業務目標與宗旨的變動。這種定期精進將使弱點管理流程運用 CVSS 的精確性與關聯性，讓安全措施更具主動性與適應性。

CVSS 的限制是什麼？

雖然 CVSS 是評估弱點嚴重性的有效工具，但它也有其自身缺點。了解這些限制，可讓企業在如何應用這項技術方面做出更明智的決策。

此外，了解這些限制可讓組織更有能力採用互補工具，以協助彌補其留下的缺口。

1. 缺乏特定情境資訊： CVSS 本身並不會內建考量組織特定的細節。這包括業務價值或組織特有的威脅態勢。使用者必須套用環境指標來適當校準分數，使其符合自身特定環境與使用案例。
2. 指派分數時的主觀性：  某些項目具有主觀性，因此取決於評分者的經驗。例如，攻擊複雜度或所需權限可能有很大差異。因此，這可能導致弱點被過度優先或優先不足，最終影響弱點管理流程的效率。標準化評分指南可將此類風險降至最低。
3. 未考量可利用性趨勢： 雖然時間性指標會依可利用性而變化，但 CVSS 並未考量攻擊趨勢可能如何影響未來風險。某個弱點可能分數很低，但隨著時間推移，基於新開發的利用方式而變得更加危險。這就是為什麼以威脅情報工具補充 CVSS 對於更深入的理解而言不可或缺。
4. 對弱點之間互動的洞察有限： 僅透過 CVSS 進行評分，無法將多個漏洞組合後所產生的複合效應納入考量。用於利用多個漏洞的大型複雜攻擊圖，其風險明顯高於僅由分數所呈現的程度。這也需要搭配攻擊路徑分析或滲透測試方法，才能識別並修正這類複合風險。
5. 評分的靜態特性： CVSS 分數的問題在於，它們會成為某一時間點的快照。這些分數不會隨著威脅情勢的變化，或組織所處環境的變動而自行更新。正是這種「靜態」特性，使得某些評估很快就會過時，尤其是在變化如此迅速的漏洞方面。
6. 在多元環境下提供的優先排序指引有限：僅靠 CVSS 無法為具有不同法規或營運需求的多元環境提供適當的優先排序指引。例如，某些金融領域的漏洞可能因合規問題而需要立即修補；但在其他產業中，它們的重要性可能較低。組織應將 CVSS 與產業特定風險因素結合運用，以確保合規與營運優先事項持續與這些風險因素保持一致。

Common Vulnerability Scoring System (CVSS) 最佳實務

組織採用 CVSS 的最佳實務，有助於在有效處理其限制的同時，將其效用發揮到最大。這些實務可確保一致性的應用，讓安全團隊能在最關鍵的時刻適當地聚焦並進行緩解。

以下是一些 CVSS 最佳實務：

1. 整合 CVSS 分數與威脅情報： 將 CVSS 分數納入當前威脅情報，可改善對漏洞的整體視野並建立真實風險評估。這也讓其他面向得以納入考量，例如趨勢或更活躍的威脅。因此，這種漏洞管理方法具有動態性且回應迅速。
2. 使用環境指標： 有效使用環境指標，可依據組織的特定情況調整分數。這種調整彌合了通用評分與組織特定風險管理之間的落差，確保有限資源部署在最能產生影響的地方。
3. 經常更新 CVSS 分數： 實際問題在於，隨著漏洞演變，所使用的 CVSS 分數需要持續更新。因此，Temporal 指標的發展可確保持續存在的漏洞之分數，反映目前的可利用性與修補程式可用性。這使修補策略能夠因應漏洞情勢的動態變化而調整。
4. 根據資產關鍵性進行優先排序： 將 CVSS 與資產關鍵性一併使用，可在制定緩解策略時帶來更清晰的聚焦。將 CVSS 分數與資產價值或關鍵性相對應，可讓安全團隊聚焦於那些一旦遭利用便會造成高度影響的漏洞。反過來說，這種方法可確保風險最高的資產獲得關注，並在最需要保護的地方提供防護。
5. 跨安全職能協作： 透過讓風險管理等不同安全職能參與，以及 事件回應服務 一同解讀分數的意義，可確保在漏洞管理上形成共同推動力。跨職能團隊可確保 CVSS 分數在每種情況下都能用於即時威脅評估以及長期策略規劃。這使各團隊的行動保持一致，以提升整體安全態勢。
6. 將 CVSS 與修補時程結合： 根據 CVSS 分數建立修補時程，可讓回應工作更有結構，並協助避免延誤。組織會將 CVSS 分數對應到特定回應時間，以落實及時修補政策，這表示漏洞將以可預測且有效率的方式處理。這種結構化方法可促進主動式資源規劃與安全團隊內的責任歸屬。

CVSS 實際應用的真實案例

CVSS 的實務真實案例有助於展示 CVSS 對企業的相關性，讓企業能獲得此概念的實用知識。以下列出一些廣為人知的漏洞範例，以及其相關的 CVSS 分數與其對組織可能代表的意義：

1. Heartbleed (CVE-2014-0160)： HeartbleedOpenSSL 密碼編譯軟體函式庫中存在一項漏洞，其 CVSS 基本分數為 7.5。此漏洞使攻擊者能夠利用 heartbeat 功能，直接從受此漏洞影響之伺服器的記憶體中讀取敏感資料，包括私密金鑰和使用者憑證。如此高的分數表示對機密性具有高度影響，因此迫使組織優先進行立即修補。此廣泛存在的漏洞影響了大量網站，進而強力推動業界改善安全實務與提升資安意識。這也可能導致大規模資料外洩並伴隨身分盜用，因而促使進行修復。
2. Windows SMB 遠端程式碼執行漏洞 (CVE-2017-0144)： 此漏洞的 CVSS 分數被評為 8.8 高風險 因為它允許在 Windows 系統內進行遠端程式碼執行。事實上，WannaCry 勒索軟體影響了全球數十萬台電腦，因為它使用了這個攻擊工具，利用了 Microsoft 在 Server Message Block (SMB) 實作中的一項弱點。此弱點使攻擊者無需驗證即可存取系統並執行任意程式碼。該評分清楚顯示出需要立即進行修補程式部署與系統更新，從而指出網路犯罪分子利用軟體或系統中類似弱點的速度有多快。這促使進一步採取強固的安全措施，以避免未來再次發生此類利用。
3. Shellshock (CVE-2014-6271)： Shellshock是一種 Bash shell 漏洞，CVSS 評分為 9.8，因此被列為重大等級。駭客能夠利用環境變數在以 Unix 為基礎的系統上執行任何類型的命令。由於多種裝置都面臨風險，此漏洞的影響規模極為重大，因此全球各地的系統管理員都迅速採取立即行動。遠端進入點未經驗證，且系統在許多進入點上的控制非常有限。在完整性與機密性方面，它對威脅高度脆弱。各組織被迫實施快速修補，並採取廣泛的安全措施以防止未來再次發生。
4. Log4Shell (CVE-2021-44228)： Log4Shell是基於 Log4j 記錄程式庫弱點的漏洞，CVSS 評分為嚴重等級 10，允許攻擊者在實作該程式庫的伺服器接收特製記錄訊息時，達成任意程式碼執行。如此高曝險的漏洞影響了數千個套件中的眾多應用程式，因此這些領域需要進行大規模的緊急修補。各組織必須在極大壓力下運作，以保護其系統免於遭受潛在利用，而未進行修補則意味著非常嚴重的資料外洩與營運中斷。此事件凸顯了持續維護軟體程式庫更新，並隨時警戒此類漏洞的必要性。
5. Spectre and Meltdown (CVE-2017-5754)： Spectre and Meltdown是微處理器漏洞，由於其對資料隱私與系統完整性帶來深遠影響，因此在 CVSS 評分量表上被評為 5.6。CPU 架構中的此類缺陷使攻擊者得以存取各種應用程式在記憶體中保存的資訊。修補工作相當具有挑戰性，因為這需要結合軟體修補程式以及硬體層級的架構變更，這對全球各地的組織而言都是一大難題。這也促使人們進一步研究硬體安全，並推動主動式措施的發展，以降低與運算技術中新興威脅相關的風險。

AI-Powered Cybersecurity

Elevate your security posture with real-time detection, machine-speed response, and total visibility of your entire digital environment.

Get a Demo

結論

總而言之，我們已了解 CVSS 如何成為評估與管理各類系統中弱點的標準。套用基本、時間性與環境性指標，可讓組織在弱點管理中採用相同的方法論。這種制度化的方法不僅有助於做出明智決策，也能有效管理弱點，並實現適當的優先順序排序與資源配置。儘管 CVSS 的缺點已被認知，但威脅情報與資產關鍵性可將其轉化為改善安全態勢與滿足合規要求的基礎工具，同時將干擾降至最低。