¿Cuál es la forma correcta de entender la complejidad de acceso en CVSS?

Navega tus respuestas
1

He leído Access Complexity de NVD ( enlace ),
[Access Complexity]

  

Esta métrica mide la complejidad del ataque requerido para explotar   La vulnerabilidad una vez que un atacante ha obtenido acceso al objetivo.   sistema.

     

Medio (M): se debe recopilar cierta información antes de tener éxito   Se puede lanzar un ataque. Bajo (L): El ataque se puede realizar manualmente.   y requiere poca habilidad o recopilación de información adicional.

Tengo una pregunta: si una vulnerabilidad es difícil de descubrir, y el atacante necesita recopilar cierta información primero, pero la vulnerabilidad es fácil de explotar. Si la métrica de complejidad de acceso es "baja" en este ejemplo, ¿es razonable?

    
pregunta Matt Elson 23.03.2016 - 17:12
fuente

1 respuesta

1

La complejidad de acceso es una métrica muy sobrecargada y subjetiva en CVSS v2. Cuando se aplica, es imposible saber si se está utilizando para la interacción del usuario desde la ingeniería social, desde una condición de carrera, una configuración poco común, privilegios de inicio de atacante o cualquier otra cosa. ( enlace )

¿Conoce la versión 3 de CVSS que salió el año pasado?

En CVSS versión 3, ahora se le llama "Complejidad de ataque" y solo tiene dos valores métricos: Bajo y Alto.
Ahora, es mucho más fácil elegir entre dos valores posibles. Se debe tener en cuenta que no se debe considerar ninguna "interacción del usuario" al calificar el parámetro "Complejidad de ataque". CVSS tiene un nuevo parámetro llamado 'Interacción del usuario' para incorporar esto.

Bajo (AC): si el atacante puede explotar en cualquier momento (Reflected XSS)

Alto (AC): existen algunas condiciones fuera del control del atacante. (por ejemplo, el ataque Poodle que requiere un ataque MITM)

    
respondido por el one 13.06.2016 - 14:02
fuente

Lea otras preguntas en las etiquetas

¿Son seguros / confiables los sitios como PersonalCapital? ¿Cuáles son los requisitos para convertirse en un Proxy de WHOIS o un servicio de Privacidad (no un registrador)?