Hooken cvss vurderer en CVSS v4.0-vektor og skriver ut scoren og alvorlighetsgraden, den vurderingen /lagune-plan skriver på hver utbedring og /lagune-prove på hvert sikkerhetsvarsel. Den er den deterministiske motoren bak disse vurderingene, med samme beregning som kalkulatoren til FIRST, og du kan kjøre den selv.
Kjør
Send hver vektor med --vector. Hooken skriver ut én linje per vektor: scoren og alvorlighetsgraden.
- Én vektor
- Flere vektorer
- Med enkle ord
npx lagune read cvss --vector 'CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N'
# => 9.3, Critical
Gjenta --vector for å vurdere flere samtidig, én linje hver, i samme rekkefølge.
npx lagune read cvss \
--vector 'CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N' \
--vector 'CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/MAV:A'
# => 9.3, Critical
# => 8.7, High
Legg til --explain for å få hver metrikk forklart med enkle ord. Når Threat- eller Environmental-metrikker endrer scoren, kommer Base-scoren alene først.
npx lagune read cvss --explain --vector 'CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/MAV:A'
# => 8.7, High
# => Base metrics alone: 9.3, Critical
# => Attack Vector: Network, modified to Adjacent
# => Attack Complexity: Low
# => ...
Slik leser du resultatet
| Alvorlighetsgrad | Score |
|---|---|
None | 0.0 |
Low | 0.1 til 3.9 |
Medium | 4.0 til 6.9 |
High | 7.0 til 8.9 |
Critical | 9.0 til 10.0 |
En vektor med bare Base-metrikker vurderer selve sårbarheten og antar det verste: at hvert sikkerhetskrav er High, og at sårbarheten angripes i praksis. Environmental-metrikker (MAV og de andre modifiserte metrikkene, pluss CR, IR og AR) tilpasser den til én konkret utrulling, og Threat-metrikken (E) til det som er kjent om utnyttelse.
En ugyldig vektor skriver ut invalid vector: og hva som er galt, og hooken avslutter med en kode som ikke er null.
CLI-alternativer
| Alternativ | Verdi | Beskrivelse |
|---|---|---|
--vector | en CVSS:4.0-vektor | Vurder én vektor. Gjenta for å vurdere flere, én linje per vektor, i samme rekkefølge. |
--explain | Legg til hver metrikk med enkle ord under hver vurderingslinje. |
Minst én --vector er påkrevd. Vektoren er aldri et frittstående posisjonsargument, så den kan ikke forveksles med et flagg.
Hver vektor sendes som verdien til et flagg og interpoleres aldri inn i kommandoen. En verdi med anførselstegn eller backticks forblir uvirksom og kan ikke injisere noe i skallet. Sett den alltid i enkle anførselstegn, så skallet ditt ikke ekspanderer den først.
Bare CVSS v4.0: en vektor i v2.0, v3.0 eller v3.1 avvises i stedet for å vurderes, siden Lagune vurderer hvert funn i v4.0.
Valideringen i fasen plan kjører den samme beregningen på nytt for hver CVSS-linje, så en score som har drevet bort fra vektoren sin, fanges opp før planen godtas.
Vanlige spørsmål
Hooken cvss følger referansekalkulatoren til FIRST for CVSS v4.0, så en vektor får nøyaktig samme score som på nettstedet til FIRST.
Nei. Lagune vurderer hvert funn i CVSS v4.0, og hooken avviser alle andre versjoner i stedet for å vurdere dem.
Det forklarer hver metrikk med enkle ord og viser Base-scoren ved siden av totalscoren, så alle kan se hva vektoren sier og hvordan prosjektets kontekst har endret den.