Ana sayfa Yazılar CVSS puanı sızma testi raporunda ne işe yarar
CVSS puanı sızma testi raporunda ne işe yarar
CVSS, sızma testi bulgusunun özelliğini ortak bir dille anlatır. Puan 0 ile 10 arasındadır. Tek başına “önce bunu düzeltin” emri değildir. Penetrasyon testi raporunda puan, önem, etki ve düzeltme sırasıyla birlikte durur. Sıra 30 gün, 1–3 ay ve 3–12 aydır.
Kısa sonuç
- Puan, bulgunun kartındadır. Yönetici özetinin yerine geçmez.
- Taban puan, sizin ortamınızı bilmeden de hesaplanabilir. Ortam metriği ayrıca bakılır.
- İki orta bulgu birlikte yüksek etkiye çıkabilir. Puan bunu tek satırda söylemeyebilir.
- CVSS v4.0, puanın yalnız taban olmadığını ayrıca adlandırır.
Puan neyi sabitler
FIRST, CVSS v4.0’ı açığın özelliğini iletmek için tanımlar. Taban metrik, zaman ve ortamdan bağımsız niteliktir. Tehdit metriği zamanla değişir. Ortam metriği sizin kullanımınıza göredir. Ek metrik puana girmez. Raporda hangi grubun kullanıldığı yazılmazsa, 8,2 her kurumda aynı iş sanılır.
Bizim teknik raporda sınıflandırma CVSS ile birlikte CWE ve önem seviyesini de taşır. Seviye kritik, yüksek, orta, düşük veya bilgilendirmedir. Puan ile seviye çelişirse, çelişkinin nedeni kartta durur.
Puan sırayı tek başına kurmaz
Düzeltme sırası, etkinin işe ne yaptığına da bakar. Düşük puanlı bir başlık, başka bir maddeyle zincir olunca özetin “sömürülürse ne olur” bölümüne çıkar. FIRST’ün rehberi de zinciri ayrı konuşur. Zincir, iki puanın aritmetik toplamı diye yazılmaz.
Araçtan gelen puan, satır elle kapanmadan rapora yapışmaz. Tarama çıktısı rapor değildir. Bunu tarama yazısı ayırır. Kartın tamamı raporda ne yazar yazısındadır.
Okurken neye bakarsınız
Vektör dizesi, puanın yanında durur. Dize yoksa puan yeniden üretilemez. Ortam metriği boşsa, puan sizin “internetten, hesapsız” varsayımınız olmayabilir. Bunu sorarsınız. Düzeltme sırası puanın altında ayrıca yazılır. Yalnızca puana göre takvim kurmayın.
Örnek kartın yapısı örnek raporda görülür. O sayfa müşteri dosyası değildir.