CVSS

CVSS (Common Vulnerability Scoring System) est un système de notation standardisé de la gravité des vulnérabilités ; il produit des scores de 0 à 10 et est maintenu par FIRST.

Objectif

Fournir un score quantitatif unifié et comparable de la gravité des vulnérabilités afin d'aider à la priorisation.

Mécanisme

CVSS v3.1 se calcule à partir de trois groupes de métriques : Base (intrinsèque : vecteur d'attaque, complexité, privilèges, impact), Temporelle (variable dans le temps : maturité de l'exploit, remédiation) et Environnementale (spécifique à l'environnement : valeur des actifs). Il produit un score de Base (0-10) et une chaîne vectorielle.

Cas d’usage

Priorisation des vulnérabilités
Rapports et tableaux de bord de sécurité
Quantification de conformité et de risque
Scores lors de l'analyse des dépendances

Exemples

entrée
```
CVSS:3.1/AV:N/AC:L/PR:N
```
Output
```
Base 7.5 (High)
```
Network vector, low complexity

Erreurs courantes

Looking only at the Base score while ignoring environmental factors: Adjust actual risk with Environmental metrics

Termes associés

CVE (Common Vulnerabilities and Exposures) est un système qui attribue des identifiants uniques (CVE-YYYY-NNNN) aux vulnérabilités de sécurité divulguées publiquement, maintenu par le MITRE.

OWASP (Open Web Application Security Project) est une organisation à but non lucratif qui publie la liste Top 10 des vulnérabilités Web et des guides de bonnes pratiques ; c'est une autorité en sécurité Web.

Penetration Testing

Le test d'intrusion simule le comportement d'un attaquant pour mener des tests d'attaque autorisés contre un système, découvrant des vulnérabilités exploitables et évaluant le risque réel.

References