خطوات الاستخدام
الخطوة 1: فهم ناقل الهجوم (Attack Vector - AV). يشير هذا الإدخال إلى كيف يمكن للمهاجم استغلال الثغرة الأمنية. القيم الممكنة هي: شبكة (Network)، مجاور (Adjacent)، محلي (Local)، أو مادي (Physical). اختر القيمة التي تصف أفضل سيناريو للهجوم. في CVSS، تؤدي القيم الأكثر سهولة (مثل شبكة) إلى درجة خطر أعلى لأن الهجوم يمكن تنفيذه عن بُعد دون وصول مادي. على سبيل المثال، ثغرة يمكن استغلالها عبر الإنترنت تحصل على AV: Network.
الخطوة 2: تحليل تعقيد الهجوم (Attack Complexity - AC). يصف هذا الإدخال الظروف اللازمة لاستغلال الثغرة. القيم هي: منخفض (Low) أو مرتفع (High). إذا كان الهجوم يتطلب ظروفًا خاصة مثل توقيت دقيق أو تكوين معين للنظام، فاختر High. في المقابل، إذا كان يمكن تنفيذه بسهولة دون عوائق، اختر Low. تعقيد منخفض يزيد من درجة الخطر.
الخطوة 3: تحديد الامتيازات المطلوبة (Privileges Required - PR). هل يحتاج المهاجم إلى امتيازات للوصول إلى النظام المستهدف؟ القيم: لا شيء (None)، منخفض (Low)، أو مرتفع (High). إذا كان المهاجم يمكنه استغلال الثغرة بدون أي حساب (PR: None)، فإن الخطر أعلى. إذا كان يحتاج إلى صلاحيات مسؤول (PR: High)، فالخطر أقل.
الخطوة 4: تقييم تفاعل المستخدم (User Interaction - UI). هل يتطلب الاستغلال مشاركة من مستخدم آخر؟ القيم: لا شيء (None) أو مطلوب (Required). إذا كان المهاجم يمكنه استغلال الثغرة دون أي إجراء من المستخدم (مثل فتح ملف أو النقر على رابط)، فاختر None مما يزيد الخطر. إذا كان يتطلب تفاعلًا بشريًا، فاختر Required.
الخطوة 5: حساب النتيجة. تضرب الحاسبة أوزان CVSS v3.1 الأربعة (AV و AC و PR و UI) ضربًا واحدًا، ثم تقسّم الناتج على أقصى مضروب نظري وهو 0.85 × 0.77 × 0.85 × 0.85 أي 0.47287625 (وهو أسوأ حالة ممكنة: شبكة + تعقيد منخفض + لا صلاحيات + لا تفاعل)، ثم تضرب في 10. الصيغة هي: الدرجة = 10 × (AV × AC × PR × UI) ÷ 0.47287625. لذلك أسوأ حالة تعطي 10.0 تمامًا، وكل مقياس يصعّب الهجوم يخفض الدرجة لأنه داخل المضروب لا في الجمع. تُقرّب النتيجة إلى منزلة عشرية واحدة كما تفعل CVSS، ثم تُصنّف حسب نطاقات NVD: 0.1-3.9 منخفضة، 4.0-6.9 متوسطة، 7.0-8.9 مرتفعة، 9.0-10 حرجة. هذه أداة تقييم أولي فقط، وللتحليل الدقيق استخدم الحاسبة الرسمية من FIRST لأنها تضيف مقاييس التأثير على السرية والسلامة والتوفر ونطاق الهجوم.
أمثلة محلولة
تطبيقات عملية على درجة مخاطر التهديد CVSS بخطوات الحل كاملة.
الحل
الإدخالات: AV شبكة (0.85) لأن الهجوم عن بُعد، AC منخفض (0.77) لأن الاستغلال لا يتطلب ظروفًا خاصة، PR لا شيء (0.85) لأن المهاجم لا يحتاج حسابًا، UI لا شيء (0.85) لأن لا إجراء من الضحية. المضروب = 0.85 × 0.77 × 0.85 × 0.85 = 0.47287625 وهو أقصى مضروب نظري في هذا النموذج، أي أن النسبة 100% والدرجة 10.0 من 10 فتقع في النطاق الحرج (9.0-10). هذه أسوأ حالة ممكنة: استغلال كامل عن بُعد بلا صلاحيات وبلا تفاعل مستخدم، فتُصلح فورًا دون انتظار دورة الإصلاح.
الحل
الإدخالات: AV شبكة (0.85) لأن الهجوم عبر الإنترنت، AC منخفض (0.77) لأن الاستغلال لا يتطلب ظروفًا معقدة، PR منخفض (0.62) لأن المهاجم يحتاج حساب مستخدم عادي لا حساب مسؤول، UI مطلوب (0.62) لأن الضحية يجب أن تنقر على الرابط. المضروب = 0.85 × 0.77 × 0.62 × 0.62 = 0.2515898، وبقسمة ذلك على الأقصى 0.47287625 تكون النسبة 0.532 أي 53.2%، فالدرجة 5.3 من 10 وتقع في النطاق المتوسط (4.0-6.9). ولو كان المهاجم يحتاج صلاحيات مرتفعة (0.27) بدل المنخفضة لهبطت الدرجة إلى 0.85 × 0.77 × 0.27 × 0.62 = 0.1095633 أي 2.3 من 10 (منخفضة). السبب أن المقاييس تُضرب ولا تُجمع، فكل شرط إضافي يقصم الدرجة بقسطه. تظل الثغرة جديرة بالإصلاح في بيئة كثيرة الحسابات، لكن أولويتها أدنأ من مثال 1.
أمثلة محسوبة
قيم مُدخَلة ونتيجة محسوبة فعليًا بواسطة درجة مخاطر التهديد CVSS.
أسوأ حالة نظرية
- ناقل الهجوم
- 0.85
- تعقيد الهجوم
- 0.77
- الصلاحيات المطلوبة
- 0.85
- تفاعل المستخدم
- 0.85
صلاحيات منخفضة بدل لا شيء
- ناقل الهجوم
- 0.85
- تعقيد الهجوم
- 0.77
- الصلاحيات المطلوبة
- 0.62
- تفاعل المستخدم
- 0.85
نقرة مستخدم وصلاحيات منخفضة
- ناقل الهجوم
- 0.85
- تعقيد الهجوم
- 0.77
- الصلاحيات المطلوبة
- 0.62
- تفاعل المستخدم
- 0.62
صلاحيات مرتفعة مع تفاعل
- ناقل الهجوم
- 0.85
- تعقيد الهجوم
- 0.77
- الصلاحيات المطلوبة
- 0.27
- تفاعل المستخدم
- 0.62
وصول مادي وتعقيد مرتفع
- ناقل الهجوم
- 0.2
- تعقيد الهجوم
- 0.44
- الصلاحيات المطلوبة
- 0.27
- تفاعل المستخدم
- 0.62
محلي وتعقيد مرتفع
- ناقل الهجوم
- 0.55
- تعقيد الهجوم
- 0.44
- الصلاحيات المطلوبة
- 0.85
- تفاعل المستخدم
- 0.62
تعقيد مرتفع عن بُعد
- ناقل الهجوم
- 0.85
- تعقيد الهجوم
- 0.44
- الصلاحيات المطلوبة
- 0.85
- تفاعل المستخدم
- 0.85
مادي مع بقية مقاييس سهلة
- ناقل الهجوم
- 0.2
- تعقيد الهجوم
- 0.77
- الصلاحيات المطلوبة
- 0.85
- تفاعل المستخدم
- 0.85