SSVC自动化：一种用于评估漏洞对人类影响的最坏情况分析方法

《IEICE Communications Express》：Automating SSVC: A worst-case scenario approach for evaluating human impact of vulnerabilities

　　

摘要：

网络安全漏洞的数量持续增加，这使许多组织面临重大风险。为了解决这一问题，我们旨在通过为部署者设计的特定利益相关者漏洞分类决策树来实现漏洞分级的自动化。其中一个挑战是“人类影响”这一决策点，它涉及对安全性和任务完成度的影晌，既取决于组织环境，也取决于漏洞的特性，因此很难实现自动评估。为此，我们提出了一种方法，通过结合预先评估的最坏情况影响与漏洞的技术影响来自动确定人类影响。具体而言，在准备阶段，我们会预先评估保密性、完整性和可用性这三方面最坏情况下对安全性和任务完成度的影响。而在运营阶段发现新漏洞时，该方法会根据漏洞的技术影响程度调整最坏情况影响，从而得出实际的人类影响值。使用大型语言模型进行的实验表明，该方法能够以接近专家水平的精度自动评估人类影响。我们还探讨了该方法的工业应用前景，包括其与工单系统的集成方式。