SSVC.pm：CPAN上的利益相关者特定漏洞分类
内容提要
本文介绍SSVC（利益相关者特定漏洞分类）作为CVSS的替代方案，通过决策树而非单一评分来指导漏洞处理。作者发布了Perl实现SSVC.pm，支持CISA等六种方法论，并演示了结合NVD数据计算CVE-2021-44228（Log4Shell）的实例，强调SSVC需结合环境因素做出针对性决策。
延伸解读
SSVC与CVSS的本质区别
CVSS给出一个单一分数，但无法直接指导行动。SSVC采用决策树，根据利益相关者角色（如供应商、部署者）输入不同因素，输出具体决策（如跟踪、行动、立即处理）。这种设计更贴近实际漏洞管理流程，避免因分数相同而一刀切处理。
SSVC.pm的实用价值
SSVC.pm不仅实现了CISA等六种方法论，还支持自定义决策树注册。通过结合NVD的SSVC数据，用户只需补充环境相关因素（如任务普遍性、公共福祉影响），即可获得决策和向量字符串。这简化了SSVC的应用，使组织能快速评估漏洞优先级。
Log4Shell示例的启示
以Log4Shell为例，尽管CISA标记为主动利用、可自动化且技术影响完全，但在任务普遍性和公共福祉影响均为最低时，SSVC决策为“attend”而非“act”。这表明SSVC强调环境因素，避免对所有高危漏洞同等对待，有助于资源合理分配。
Q&A
SSVC是什么？它与CVSS有何不同？
SSVC（利益相关者特定漏洞分类）是由卡内基梅隆大学SEI（CERT/CC）开发，后被CISA改编的漏洞分类方法。与CVSS给出单一严重性分数不同，SSVC使用决策树，根据利益相关者（如供应商、部署者、协调者、发现者）的具体角色输入多个因素，输出实际决策（如跟踪、行动、立即处理）。
SSVC.pm是什么？它支持哪些方法论？
SSVC.pm是作者发布的Perl实现，支持六种方法论：cisa、cisa_bod_26_04、coordinator_publication、coordinator_triage、deployer、supplier。此外，用户可以通过register_methodology()注册自定义决策树类。
如何使用SSVC.pm计算CISA决策？
使用SSVC模块，创建SSVC对象时传入cisa参数，包含exploitation、automatable、technical_impact、mission_prevalence、public_well_being_impact等决策点值，然后调用decision方法即可获得决策结果。例如，传入active、yes、partial、minimal、irreversible会得到'act'。
SSVC.pm如何解析CISA向量字符串？
SSVC::CISA类提供了from_vector_string方法，可以解析CISA的紧凑向量字符串（如'SSVCv2/E:A/A:Y/T:P/P:M/B:I/M:H/D:C/2025-01-01T00:00:00'），并支持重新输出向量字符串。
在SSVC中，哪些决策点由CISA提供，哪些需要用户自己确定？
CISA的Vulnrichment项目为CVE提供三个决策点：exploitation、automatable、technicalImpact。而mission_prevalence和public_well_being_impact涉及具体环境和任务，必须由用户根据自身情况确定，外部数据源无法替代。
如何用SSVC.pm计算CVE-2021-44228（Log4Shell）的决策？
运行示例脚本simple-cve-ssvc-calculator.pl，传入CVE ID和两个用户决策点值（如minimal minimal），脚本会从NVD获取CISA已评分的三个决策点，结合用户输入，输出决策结果。对于Log4Shell，在minimal/minimal环境下，决策为'attend'。
SSVC.pm的安装方式是什么？
可以通过CPAN安装，命令为cpanm SSVC，或者访问CPAN页面https://metacpan.org/pod/SSVC获取更多信息。
