当前位置： 当前位置：首页 > 知识 > cvss漏洞等级正文

CVSS分数，漏洞说白了就是等级给漏洞“称重”的一把尺子。但很多人把它当成了判决书，漏洞这就有问题了。等级 我见过太多安全报告，漏洞开头就是等级“该漏洞CVSS 9.8，严重”。漏洞然后呢？等级没了。仿佛分数高，漏洞天就塌了。等级可实际上，漏洞一个9.8分的等级漏洞如果只存在于一台没人用的测试服务器上，它造成的漏洞实际风险可能还不如一个6.5分但暴露在公网核心数据库上的漏洞。 CVSS的等级等级划分其实很简单：0.1到3.9是低危，4.0到6.9是漏洞中危，7.0到8.9是高危，9.0到10.0是危急。这个区间切得干净利落，但问题恰恰出在这份干净上。 它只算“漏洞本身的固有属性”，攻击复杂度、攻击向量、所需权限、用户交互，再加上影响范围、机密性、完整性和可用性。这套公式很机械，也很冷酷。它不关心你的业务场景，不关心你的资产价值，更不关心你有没有缓解措施。 举个例子。一个Windows远程桌面服务的老漏洞，CVSS给了9.8。放在一个打满补丁、有防火墙隔离、只允许特定IP访问的内网机器上，实际利用难度高得离谱。但另一个Apache Struts的漏洞，CVSS只有7.5，可它正好暴露在公网，背后连着客户订单库，旁边还没有WAF。哪个更让你睡不着觉？答案不言自明。 所以我的看法是：CVSS等级是给“机器”看的，不是给“人”看的。它是用来做初步筛选、排序、自动化工单的。安全团队每天收到几十上百个漏洞告警，不可能每个都人工分析。靠CVSS先砍一刀，把9.0以上的拉出来紧急处理，这没问题。但砍完这一刀，你得亲自上手。 别把“高”和“危急”当成圣旨。真正干活的人，要去看漏洞利用代码公开了没有，有没有现成的攻击工具，资产有没有暴露在公网，系统是不是核心业务，有没有其他补偿控制。这些信息，CVSS一个字都不会告诉你。 另外，CVSS还有个被人忽视的毛病：它给小漏洞的分数往往偏高，给大漏洞的分数又显得保守。因为公式是死的，但现实中的攻击路径千奇百怪。一个需要物理接触才能利用的漏洞，理论上攻击向量是“物理”，分数自然低，可如果目标是核电站控制室呢？物理接触反而成了最简单的事。 所以，把CVSS当参考坐标，别当真理。它帮你排优先级，但最终拍板的，得是你对业务的理解。分数低不等于安全，分数高也不等于马上要死人。安全这行，最怕的就是拿着一个数字到处说事。那个数字，只是起点。