資訊安全基礎
關於漏洞管理中使用的CVE與CVSS，正確的說明組合是哪一項？
- ACVE是賦予個別漏洞的通用識別編號，CVSS是以0.0～10.0的數值評估漏洞嚴重程度的通用方法
- BCVE是評估漏洞嚴重程度的數值，CVSS是漏洞的識別編號
- CCVE與CVSS都是防毒軟體用來辨識惡意軟體的病毒碼檔案名稱
查看答案與解析
正確答案：A. CVE是賦予個別漏洞的通用識別編號，CVSS是以0.0～10.0的數值評估漏洞嚴重程度的通用方法
CVE（Common Vulnerabilities and Exposures）是賦予每個公開漏洞、形式為「CVE-年-編號」的識別編號，讓不同產品或組織都能以相同編號稱呼同一個漏洞。CVSS（Common Vulnerability Scoring System）是根據攻擊所需條件，以及對機密性、完整性、可用性的影響等，以0.0～10.0的數值評估漏洞嚴重程度的通用方法。CVSS的基本分數代表漏洞本身的性質，因此要同時考量在自身環境中實際有多危險（例如該設備是否能從網際網路連到、是否已實際觀察到攻擊等），來決定套用修補的順序。漏洞管理會反覆進行以下流程：建立所使用軟體與版本的清單（資產清冊）、蒐集新漏洞的資訊、評估影響、套用修補程式，並確認已經套用。
- A. 正確。CVE是漏洞的識別編號，CVSS是以數值評估嚴重程度的方法。
- B. 兩者的說明弄反了。
- C. 兩者都不是病毒碼檔案。CVE是識別編號，CVSS是評估嚴重程度的方法。