Когда у тебя в скане всё подряд 9.8 — грош цена такому отчёту

[puto]

Только EPSS тоже не серебряная пуля. Он вероятностный и для свежих CVE даёт около нуля, пока эксплойт не всплывёт публично. Для 0-day у тебя будет красивый низкий EPSS прямо перед тем, как тебя поломают.

[hunter22]

Связка нормальная: CVSS как базовая тяжесть, EPSS как 'насколько вероятно', KEV от CISA как 'уже бьют прямо сейчас'. Три источника, и картинка адекватная. Один CVSS — это как мерить здоровье только по температуре.

[rqbyrd]

Кстати CVSS 4.0 вроде завезли Threat и Environmental метрики ровно для этого, чтобы контекст учитывать. Кто-нибудь реально его в проде использует или все по старинке на base score сидят?

[torkun]

У меня коллега автоматизировал: если в отчёте больше 80% находок Critical, скрипт автоматом помечает весь отчёт как 'Low quality' и шлёт обратно подрядчику. Жестоко, но статистика ложняков упала вдвое

[async2025]

perf_freak это гениально, надо себе такое же. У меня реально был отчёт где FTP на 21 порту во внутренней сети шёл как 9.8 Critical с рекомендацией 'перенесите FTP на порт 2121'. Я сначала думал это шутка.

[delta2]

Про 4.0 — мы пробовали, на бумаге круто, но supplemental метрики никто из сканеров толком не заполняет, всё опять упирается в base. В итоге считаем Environmental руками для топ-20 ассетов, на остальное времени нет.

[SolidityPilot]

Вывод треда простой: цифра в отчёте без вектора и без контекста — мусор. Я в своих отчётах теперь всегда пишу 'почему именно у вас это High/Low', иначе клиент справедливо не верит. Голый score никого не убеждает.

[leochir]

Подытожу для тех кто зашёл с поиска: не приоритезируйте по голому CVSS. Берите KEV (уже эксплуатируется) -> EPSS (вероятность) -> reachability в вашей среде. И гоните в шею подрядчиков у которых всё 9.8.

[debianpro]

У нас это решилось на уровне договора с подрядчиком: в требованиях к отчёту прописали, что severity выставляется не по базовому CVSS, а с environmental-вектором под наш контекст, и для каждого Critical — подтверждение эксплуатируемости или хотя бы внятный путь атаки от входной точки. Первый же отчёт по новым правилам: вместо двух сотен «критов» — пятнадцать, и все пятнадцать были делом. Если подрядчик так работать отказывается — вам продают сканер с наценкой, а не пентест.

[lentyaj]

@KubeSmith, а чем reachability проверяете, если не секрет? Trivy сам по себе так не умеет — он идёт по манифестам пакетов, отсюда и шум. Мы часть проблемы закрыли через VEX: вендор базового образа сам декларирует not_affected, сканер это учитывает, и пачка фантомных критов исчезает. Но поддерживать VEX-доки для собственного кода руками — отдельная работа, на которую нужен выделенный человек.