通用漏洞评分系统是什么

CVSS（Common Vulnerability Scoring System）的通用全称拗口得很，但它的漏洞核心逻辑一句话能讲清——给漏洞打分，从0到10，评分10分最要命。系统这个分数不是通用拍脑袋定的，它由三个维度拼出来：漏洞本身多难利用、漏洞攻击者需要什么权限、评分影响范围有多大。系统你把这几个数字往公式里一塞，通用出来的漏洞就是那个著名的“严重性等级”。

举个例子。评分去年某办公软件爆出的系统远程代码执行漏洞，CVSS 9.8分。通用为什么这么高？漏洞因为攻击者不需要任何账号，只要诱导用户打开一个恶意文档就能中招，评分而且能完全控制受害者电脑。你看，基础分就拉满了。反过来，一个需要本地登录才能触发的提权漏洞，通常只有6分上下——攻击者都进系统了，还得费劲折腾，这威胁自然降一档。

有意思的是，CVSS从3.0版本开始加入了“环境分”这个概念。同一个漏洞，在银行核心服务器和在学校机房的电脑上，风险能差出两三分。这就要看你的网络架构、有没有防火墙兜底、数据有多敏感。我见过不少安全团队，拿着厂商给的CVSS分就直接排期修漏洞，其实挺糙的——厂商给的是“基准分”，相当于汽车出厂时的碰撞测试成绩，但你实际开在什么路况，得自己算。

这套系统的毛病也明显。它太依赖“可量化”的东西，对攻击的“实际杀伤力”反应迟钝。比如一个漏洞，理论利用难度很高，但攻击者已经拿到了内网某个边缘设备的权限，那实际威胁就比CVSS显示的更凶。还有个老生常谈的槽点：CVSS对“可用性影响”的权重偏低，可现实里，一个让数据库服务崩溃的漏洞，往往比一个只能偷点临时文件的漏洞更让运维头疼。

我自己做安全评估时，会把CVSS当第一道筛子，但绝不会只看这个数。打个比方，CVSS像体温计，能告诉你发烧了，但判断是普通感冒还是肺炎，还得看血常规和CT。安全团队如果只盯着分数排名来定修复优先级，大概率会漏掉那些“分数不高但正好卡在你关键路径上”的隐患。

话说回来，这个系统最大的价值在于——它给全行业提供了一个通用语言。甲方乙方沟通时，你说“高危”可能各有理解，但你说“CVSS 8.2”，大家脑子里浮现的威胁模型就基本一致了。这种标准化，比分数本身更值钱。