CVSS اختصار لـ Common Vulnerability Scoring System، وهو معيار مفتوح تديره منظمة FIRST لإعطاء كل ثغرة درجة خطورة رقمية من 0.0 إلى 10.0. عندما تقرأ في نشرة أمنية أن ثغرة ما “حرجة بدرجة 9.8″، فهذه غالباً درجة CVSS. الإصدار الأكثر انتشاراً هو CVSS v3.1، وقد صدر CVSS v4.0 في نهاية 2023 ويزداد اعتماده تدريجياً.
تصنيف الدرجات
| الدرجة | التصنيف |
|---|---|
| 0.0 | None |
| 0.1 – 3.9 | Low (منخفضة) |
| 4.0 – 6.9 | Medium (متوسطة) |
| 7.0 – 8.9 | High (عالية) |
| 9.0 – 10.0 | Critical (حرجة) |
كيف تُحسب الدرجة؟
تعتمد الدرجة الأساسية (Base Score) في الإصدار 3.1 على مجموعتين من المقاييس:
- قابلية الاستغلال: مسار الهجوم (Attack Vector: عبر الشبكة أم محلياً أم يحتاج وصولاً فيزيائياً)، وتعقيد الهجوم (Attack Complexity)، والصلاحيات المطلوبة (Privileges Required)، وهل يحتاج تفاعل المستخدم (User Interaction).
- الأثر: على السرية (Confidentiality) والسلامة (Integrity) والإتاحة (Availability)، إضافة إلى النطاق (Scope).
وتُكتب النتيجة كسلسلة نصية (Vector String) تشرح التقييم، مثل:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hوتعني: عبر الشبكة، تعقيد منخفض، بلا صلاحيات، بلا تفاعل من المستخدم، وأثر عالٍ على السرية والسلامة والإتاحة، وتساوي 9.8. وهذا هو النمط المعتاد لثغرات تنفيذ الأوامر عن بعد دون مصادقة.
مثال عملي على ترتيب الأولويات
لدى فريق تقنية المعلومات ثغرتان: الأولى بدرجة 9.8 في خدمة داخلية لا يصل إليها إلا جهاز واحد، والثانية بدرجة 7.5 في بوابة VPN مكشوفة على الإنترنت ومدرجة في قائمة الثغرات المستغلة فعلياً. الصحيح غالباً البدء بالثانية. لهذا يوفر CVSS مقاييس إضافية (Threat و Environmental) لتعديل الدرجة حسب بيئتك، كما يُستخدم بجانبه نظام EPSS الذي يقدّر احتمال استغلال الثغرة.
الفرق بين CVSS و CVE
CVE يحدد هوية الثغرة، وCVSS يقيس خطورتها. وقد تختلف درجة الثغرة الواحدة بين مصدرين، مثل الشركة المصنعة وقاعدة NVD، لأن كل جهة قد تقيّم بعض المقاييس بشكل مختلف.
