修改問題的 CVSS 評分,來變更其嚴重性

您可以依問題基準,來變更問題的嚴重性,如此一來,您就可以分析每個關係到業務風險的漏洞。在問題分類期間,您可以手動將預先計算的 CVSS 評分,置換成嚴重性值,以便針對該問題的嚴重性,設定其相對於其他問題的優先順序。修改嚴重性,可協助您將問題的嚴重度傳達給開發和管理階層,以便優先修正更重要的漏洞。

執行這項作業的原因和時機

這個範例示範如何置換問題的嚴重性。

程序

  1. 在應用程式中,按一下該問題的問題 ID

    應用程式的問題清單。
  2. 在「關於此問題」對話框中,按一下「編輯屬性」。
    註: 如果您已針對使用者類型選取針對修改嚴重性值和 CVSS 屬性的許可權加以限制的許可權,您就無法修改問題的嚴重性值和 CVSS 屬性。請聯絡產品管理者。
  3. 如果「基本」測量指標(攻擊向量、攻擊複雜度、必要專用權、使用者互動、範圍、機密性影響、完整性影響、可用性影響)顯示成不明(空白),請為每個指標選取值。
    在畫面擷取中,CVSS 基本測量指標不明,沒有 CVSS 評分,且問題嚴重性是High
    問題的關於此問題對話框。
  4. 嚴重性值變更為Use CVSS
    註: 如果您只變更「嚴重性值」,卻沒有變更「基本」測量指標,在問題清單中,會將該問題分類為Undetermined,這表示嚴重性公式無法精確計算嚴重性,因為遺漏其在計算中使用的資訊。
    在這個畫面擷取中,已啟用顯示「嚴重性值」直欄,因此可看到手動置換了嚴重性。應用程式的已更新問題清單。

結果

這是下一個畫面擷取,顯示如何將強調顯示的問題分類:
  • 問題 #5:已修改 CVSS 基本測量指標,但是沒有變更嚴重性值原本的High分類。計算出的 CVSS 評分現在是 5.3,且High嚴重性分類維持不變。
  • 問題 #7:已修改 CVSS 基本測量指標,且將嚴重性值變更為Use CVSS。計算出的 CVSS 評分是 6.4,現在的嚴重性分類是Medium
  • 問題 #3:未修改 CVSS 基本測量指標,但已將嚴重性值變更為Use CVSS。由於「基本」測量指標不明,沒有足夠資訊來計算 CVSS 評分,因此嚴重性分類是Undetermined

問題嚴重性分類範例