思科微软等欲建标准缺陷评估系统.源泉

包括思科、微软、赛门铁克在内的知名IT厂商正在推广一种评估系统，实现对软件缺陷严重程度评估的标准化。

钠盐含量低名为“通用缺陷评估系统”(CVSS)的这一计划是日前在RSA Conference上被公布的。如果能够得到广泛采用，新的系统将为描述计算机安全缺陷提供一种“通用语言”，并取代厂商“各自为政”建立的不同评估系统。这一新的评估系统是国家基础设施咨询委员会实施的一个项目的一部分，该项目旨在创建一个发布安全缺陷信息的全球框架。

CVSS将利用标准的数学方程，根据缺陷是否能够被远程利用、在利用缺陷前黑客是否必须登陆系统等基本资料计算缺陷的严重程度。CVSS的评估还将参考时间因素，例如是否有利用缺陷的代码出现、厂商是否已经发布了补丁软件，以及这些软件已经发布多长时间了等。

IT安全厂商将在它们的产品中利用CVSS，对软件缺陷进行评估和区分优先顺序。厂商还将被要求向客户提供输入它们IT环境信息的方法，例如被感染系统的类型和数量。例如，影响一名员工台式机的缺陷与影响关键的员工薪酬服务器的缺陷的CVSS评级将是不同的。

一旦得到广泛普及，CVSS将向IT系统管理员和厂商提供评估软件缺陷，决定在大规模络上安装补丁软件优先顺序的简易方法。要在所有系统上安装所有补丁软件有时是不现实的，评估各个缺陷的优先程度是非常重要的。