揭开CVSS的神秘面纱

一、CVSS到底是什么？

虽然软件漏洞的潜在影响不应该被低估，但是对每个漏洞给予同等重要性是不科学的，同时也是不合理的。因此，我们需要一个专业评分标准对每个漏洞的严重程度进行优先级排序，以便企业和安全团队可以从容的理解和修复每个已知漏洞。于是CVSS应运而生。

CVSS（The Common Vulnerability Scoring System通用漏洞评分系统）是一个行业标准，由FIRST.org编写并更新。FIRST是一个总部设在美国的非营利组织，在全球拥有超过500个成员组织，它的权威性因此得到了有效的保证。

CVSS提供了信息安全漏洞严重程度的数值，0-10代表不严重到致命威胁。CVSS评分通常被用作漏洞管理程序的一部分，以提供漏洞之间的比较点，以便优先修复严重程度高的漏洞。

二、评分标准

CVSS现在的版本是V3.1，其更新目的是解决V2中的一些已知缺点。

CVSS评分由三组指标组成：基础、时间、环境。