Regelbaserade policyer för att minska programvarurisken föreslår att CVSS-poängen används för att mäta risken för en individuell sårbarhet och agera därefter. En viktig fråga är om "faran"-poängen verkligen motsvarar risken för exploatering i det fria, och om och hur en sådan poäng skulle kunna förbättras. För att ta itu med denna fråga föreslår vi att man använder en fallkontrollmetod som liknar den metod som användes för att koppla samman lungcancer och rökning på 1950-talet. En fallkontrollstudie gör det möjligt för forskaren att dra slutsatser om förhållandet mellan vissa riskfaktorer (t.ex. rökning) och en effekt (t.ex. cancer) genom att titta bakåt på fallen (t.ex. patienter) och jämföra dem med kontroller (t.ex. slumpmässigt utvalda patienter med liknande egenskaper). Metoden gör det möjligt för oss att kvantifiera den möjliga riskminskningen genom att agera utifrån riskfaktorn. Vi illustrerar metoden genom att använda offentligt tillgängliga data om sårbarheter, utnyttjanden och utnyttjanden i naturen för att (1) utvärdera resultaten av den nuvarande riskfaktorn i branschen, CVSS baspoäng, (2) avgöra om det kan förbättras genom att överväga ytterligare faktorer som förekomsten av en proof-of-concept utnyttja, eller en utnyttja på svarta marknader. Vår analys visar att (a) fastställande av en sårbarhet bara för att det tilldelades en hög CVSS poäng motsvarar slumpmässigt plocka sårbarheter att fixa; (b) förekomsten av proof-of-concept utnyttja är en betydligt bättre riskfaktor; (c) fastställande som svar på utnyttjande närvaro på svarta marknader ger den största riskminskningen.
En god riskfaktor, som kan användas för att göra förutsägelser om framtida utnyttjanden, är informationen om förekomsten av utnyttjande på de svarta marknaderna REF.
Comparing Vulnerability Severity and Exploits Using Case-Control Studies
{'venue': 'TSEC', 'journal': None, 'mag_field_of_study': ['Computer Science']}