安全漏洞评分系统（CVSS）

CVSS : Common Vulnerability Scoring System，即“通用漏洞评分系统”，是一个“行业公开标准，其被设计用来评测漏洞的严重程度，并帮助确定所需反应的紧急度和重要度”。

CVSS是安全内容自动化协议（SCAP）[2]的一部分，通常CVSS同CVE一同由美国国家漏洞库（NVD）发布，由美国国家基础建设咨询委员会（NIAC）委托制作，是一套公开的评测标准，经常被用来评比企业资讯科技系统的安全性，并受到eBay、(Symantec)、思科(Cisco)、甲古文(Oracle)等众多厂商支援。

CVSS的目标是为所有软件安全漏洞提供一个严重程度的评级

 这就意味着CVSS旨在为一个已知的安全漏洞的严重程度提供一个数值(分数)，而不管这个安全漏洞影响的软件类型是什么，不管它是操作系统、杀毒软件、数据库、邮件服务器、桌面还是商务应用程序。由于这个评分范围非常广，这个评分系统把能够完全攻破操作系统层的已知安全漏洞评为基准分数10.0分。换句话说，CVSS基准分数为10.0分的安全漏洞一般指能够完全攻破系统的安全漏洞，典型的结果是攻击者完全控制一个系统，包括操作系统层的管理或者“根”权限。例如，国家安全漏洞数据库中一个第三方产品中的这种安全漏洞被解释为，攻击者能够安装程序;观看、修改或者删除数据;或者创建拥有用户全部权利的新账户。

它的主要目的是帮助人们建立衡量漏洞严重程度的标准，使得人们可以比较漏洞的严重程度，从而确定处理它们的优先级。CVSS得分基于一系列维度上的测量结果，这些测量维度被称为量度（Metrics）。漏洞的最终得分最大为10，最小为0。得分7~10的漏洞通常被认为比较严重，得分在4~6.9之间的是中级漏洞，0~3.9的则是低级漏洞

CVSS系统包括三种类型的分数

　　- 基准分数，暂时的和环境的。每一个分数都要衡量这个安全漏洞的不同属性。甲骨文在严重补丁更新文件中提供这个“基准分数”。这个基准分数有如下特点：

   　- 这个基准分数具体指一个指定的安全漏洞。

　　- 这个基准分数是不变的。

　　- 它不是具体针对一个客户的技术IT环境的