通过修改 CVSS 评分来更改问题的严重性

更改问题严重性是在逐个问题的基础上完成的，以便您根据业务风险分析每个漏洞。在问题分类期间，您可以通过使用严重性值手动覆盖预先计算的 CVSS 评分来更改问题的严重性，以便您可以相对于其他问题确定其严重性的优先级。修改严重性有助于您向开发和管理人员传达问题的严重程度，以便首先修复更严重的漏洞。

关于此任务

此示例演示了如何覆盖问题的严重性。

过程

  1. 在应用程序中，单击问题的问题 ID。

    应用程序的问题列表。
  2. 单击关于此问题对话框中的编辑属性。
    注：
    如果为您的用户类型选择了限制修改严重性值和 CVSS 属性的访问权限权限，则您无法修改问题的严重性值和 CVSS 属性。请联系您的产品管理员。
  3. 如果基本指标（攻击向量、攻击复杂性、所需特权、用户交互、范围、机密性影响、完整性影响、可用性影响）显示为未知（空白），请为每个指标选择一个值。
    在此屏幕截图中，CVSS 基本指标未知，没有 CVSS 评分，且问题严重性为高。
    重要：
    您只能修改 CVSS 3.1 属性。CVSS 4.0 评分和 CVSS 4.0 向量属性是只读的。当您更改基本指标或 CVSS 属性时，AppScan Enterprise 会重新计算 CVSS 3.1 和 CVSS 4.0 评分。但是，严重性值（高、中或低）仅来自 CVSS 3.1 评分。问题页面上的信息图标表明严重性基于 CVSS 3.1。

    问题的关于此问题对话框。
  4. 将严重性值更改为使用 CVSS。
    注：
    如果您仅更改严重性值但不更改基本指标，则问题在问题列表中被分类为未确定，这意味着严重性公式无法准确计算严重性，因为缺少其在计算中使用的信息。
    在此屏幕截图中，我们启用了严重性值列的显示，以便我们可以看到严重性已被手动覆盖。应用程序更新后的问题列表。

结果

以下是我们在下一个屏幕截图中对突出显示的问题进行分类的方式：
  • 问题 #5：我们修改了 CVSS 基本指标，但未将其严重性值从原来的高分类进行更改。计算出的 CVSS 评分现在为 5.3，且高严重性分类保持不变。
  • 问题 #7：我们修改了 CVSS 基本指标并将严重性值更改为使用 CVSS。计算出的 CVSS 评分为 6.4，现在的严重性分类为中。
  • 问题 #3：我们未修改 CVSS 基本指标，但将严重性值更改为使用 CVSS。由于基本指标未知，因此没有足够的信息来计算 CVSS 评分，所以严重性分类为未确定。

问题严重性分类示例