CVSS 环境指标是什么
CVSS 指标体系分三层：基础指标描述漏洞本身的技术严重度，现时指标反映利用成熟度与修复水平，环境指标由使用方自己填写，把资产的实际部署情况折算进评分。环境指标包含两组：安全要求 CR/IR/AR 描述该资产对机密性、完整性、可用性的要求高低；覆写指标 MAV/MAC/MPR/MUI/MS/MC/MI/MA 允许按实际部署改写基础度量的取值，例如把「公网可达」改成「仅相邻网段可达」。它只改度量值、不改公式，重算后得到 0.0-10.0 的环境分与严重度等级。
基本信息
| 规范来源 | FIRST CVSS v3.1 规范第 4 章（环境指标组） |
|---|---|
| 填写方 | 使用方自己；CNA 与 NVD 都不提供，属内部口径 |
| 安全要求取值 | CR/IR/AR：X 未定义、H 高、M 中、L 低 |
| 覆写指标取值 | MAV/MAC/MPR/MUI/MS/MC/MI/MA：X 表示不覆写，其余同基础指标取值 |
| 输出 | 重算后的 0.0-10.0 环境分与严重度等级 |
| 版本差异 | CVSS v4.0 仍保留环境指标这一层，度量集合有增删，跨版本不要直接比分数 |
典型使用场景
- 同一 CVE 覆盖多台资产时排序：核心交易系统抬高安全要求，隔离内网改写攻击向量，避免一刀切停机
- 修复排期分级：环境分高的进紧急窗口，影响小的进常规窗口
- 与资产台账联动：把资产等级、网络隔离级别映射成 CR/IR/AR 与 MAV/MPR 的固定取值
- 对外通报与内部排期分口径：对外用基础分，对内用环境分做资源分配
- 变更后复评：系统从公网迁入内网、从单机变成集群后重算环境分
- 演练与审计：解释同一漏洞在两套系统上处置时限为何不同
环境指标速查
| 指标 | 含义 | 取值 | 说明 |
|---|---|---|---|
| CR | 机密性安全要求 | X/H/M/L | 数据泄露代价高（如客户库）取 H |
| IR | 完整性安全要求 | X/H/M/L | 篡改代价高（如交易、计费）取 H |
| AR | 可用性安全要求 | X/H/M/L | 停机影响收入或安全的取 H |
| MAV | 覆写攻击向量 | X/N/A/L/P | 实际只能从相邻网段访问时取 A，分数下降 |
| MPR | 覆写所需权限 | X/N/L/H | 实际利用需要高权限则取 H |
| MUI | 覆写用户交互 | X/N/R | 必须诱导用户点击才能触发则取 R |
| MC/MI/MA | 覆写影响范围 | X/H/L/N | 按部署形态修正机密性、完整性、可用性影响 |
| MS | 覆写作用域 | X/U/C | 作用域是否被改变，影响评分归属 |
折算示例
折算示例
# 基线：某远程代码执行漏洞基础分 9.8，向量 AV:N，即公网可达
# 场景 A：内网隔离系统，只能从相邻网段访问
MAV:A # 攻击向量改写为相邻网络，环境分下降，但仍属高危
# 场景 B：核心交易库，数据泄露与篡改代价高
CR:H / IR:H / AR:H # 三项安全要求全高，环境分抬升，进紧急窗口
# 结论：同一个 CVE 在不同资产上可以有不同处置优先级环境分适合内部台账与排期；对外通报、监管报送仍以基础分和厂商、NVD 口径为准。两套口径分开维护，避免同一漏洞出现两个互相打架的分数。
CVSS 只描述技术严重度，不含是否已被利用、资产是否真正可达、业务损失多少。排期时还要叠加在野利用情报与暴露面判断。