FIRST выпускает стандарт оценки уязвимостей CVSS 4.0

Форум групп реагирования на инциденты и безопасности (FIRST) в понедельник обновил свой стандарт оценки уязвимостей CVSS в рамках попытки предоставить больше данных и устранить двусмысленность в оценке серьезности последующих проблем.

По словам FIRST, обновленный стандарт, используемый организациями для оценки серьезности известных недостатков программного обеспечения, предлагает более точную детализацию базовых показателей для потребителей, устраняет неоднозначность оценки последующих уровней и упрощает показатели угроз.

Некоммерческое объединение, в которое входят более 650 организаций из более чем 100 стран, сообщило, что для выявления ошибок было добавлено несколько дополнительных показателей для оценки уязвимостей, которые могут быть автоматизированными (поддающимися червям), восстановлением (устойчивостью), плотностью стоимости, усилиями по реагированию на уязвимости и Срочность поставщика.

«Ключевым усовершенствованием CVSS v4.0 является также дополнительная применимость к OT/ICS/IoT, при этом метрики и значения безопасности добавлены как в дополнительные группы показателей, так и в группы показателей окружающей среды», — заявили в группе.

Стандарт CVSS позволяет фиксировать основные характеристики уязвимости безопасности и выдавать числовой показатель, отражающий [a vulnerability’s] технической серьезности для информирования и предоставления рекомендаций предприятиям, поставщикам услуг, правительству и общественности.

Числовой показатель может быть представлен как качественный рейтинг серьезности (например, низкий, средний, высокий и критический), чтобы помочь организациям правильно оценить и расставить приоритеты в своих процессах управления уязвимостями и подготовить защиту от кибератак.

«Этот последний выпуск знаменует собой значительный шаг вперед с дополнительными возможностями, которые имеют решающее значение для команд, которым важно использовать аналитику угроз и показатели окружающей среды для точной оценки», — заявили в группе.

Связанный: Результаты CVSS часто вводят в заблуждение относительно уязвимостей АСУ ТП

Связанный: FIRST объявляет о выпуске CVSS версии 3.1

Связанный: TLP 2.0 содержит улучшения формулировок и изменения в этикетках