信息系统缺陷评估与CVSS体系

鉴于计算机信息系统的安全性问题越来越严重,许多计算机安全解决方案提供商和一些非营利性组织研究、制定并实施了信息系统缺陷的评估标准,但是这些企业标准间没有互操作性。分析了信息系统缺陷评估要素和评估模式,重点介绍了由NIAC领导下受全球最具影响力的IT厂商支持的“通用缺陷评估体系”。通过对IOS DOS、Microsoft LSASS(Sasser Worm)、Microsoft Outlook Express Scripting三个知名漏洞的评估过程,展示了如何进行基于CVSS的系统缺陷评分定级。随着包括思科在内的一些大软件厂商开始使用CVSS,相信不远的将来CVSS将会迅速盛行。