ເອກະສານ11.2.1. ການປະເມີນຄວາມສ່ຽງ
A ຄວາມສ່ຽງ ຖືວ່າເປັນຈຸດອ່ອນທີ່ສາມາດໃຊ້ໃນບາງລັກສະນະເພື່ອປະນີປະນອມຄວາມລັບ, ຄວາມຊື່ສັດ, ຫຼືການມີລະບົບຂໍ້ມູນຂ່າວສານ. ໃນການປະເມີນຄວາມສ່ຽງ, ຈຸດປະສົງຂອງທ່ານແມ່ນເພື່ອສ້າງສາງທີ່ງ່າຍດາຍຂອງຊ່ອງໂຫວ່ທີ່ຄົ້ນພົບພາຍໃນ. ສະພາບແວດລ້ອມເປົ້າໝາຍ. ແນວຄວາມຄິດຂອງສະພາບແວດລ້ອມເປົ້າຫມາຍນີ້ແມ່ນມີຄວາມສໍາຄັນທີ່ສຸດ. ທ່ານຕ້ອງແນ່ໃຈວ່າຈະຢູ່ໃນຂອບເຂດຂອງເຄືອຂ່າຍເປົ້າຫມາຍຂອງລູກຄ້າຂອງທ່ານແລະຈຸດປະສົງທີ່ຕ້ອງການ. ການກ້າວໄປຂ້າງນອກຂອບເຂດຂອງການປະເມີນສາມາດເຮັດໃຫ້ເກີດການຂັດຂວາງການບໍລິການ, ການລະເມີດຄວາມໄວ້ວາງໃຈກັບລູກຄ້າຂອງທ່ານ, ຫຼືການດໍາເນີນການທາງກົດຫມາຍຕໍ່ທ່ານແລະນາຍຈ້າງຂອງທ່ານ.
ເນື່ອງຈາກຄວາມງ່າຍດາຍທີ່ກ່ຽວຂ້ອງຂອງມັນ, ການທົດສອບຄວາມອ່ອນແອມັກຈະຖືກສໍາເລັດໃນສະພາບແວດລ້ອມທີ່ໃຫຍ່ກວ່າເປັນປະຈໍາເປັນສ່ວນຫນຶ່ງຂອງການສະແດງເຖິງຄວາມພາກພຽນຂອງເຂົາເຈົ້າ. ໃນກໍລະນີຫຼາຍທີ່ສຸດ, ເຄື່ອງມືອັດຕະໂນມັດ, ເຊັ່ນໃນການວິເຄາະຄວາມອ່ອນແອ7 ແລະຄໍາຮ້ອງສະຫມັກເວັບ8 ປະເພດຂອງເວັບໄຊທ໌ Kali Tools ແລະເມນູ Kali desktop Applications, ຖືກນໍາໃຊ້ເພື່ອຄົ້ນພົບລະບົບທີ່ມີຊີວິດຢູ່ໃນສະພາບແວດລ້ອມເປົ້າຫມາຍ, ກໍານົດການບໍລິການຟັງ, ແລະຈໍາແນກໃຫ້ເຂົາເຈົ້າຄົ້ນພົບຂໍ້ມູນຫຼາຍເທົ່າທີ່ເປັນໄປໄດ້ເຊັ່ນຊອບແວເຊີຟເວີ, ຮຸ່ນ, ເວທີ, ແລະອື່ນໆ. .
ຫຼັງຈາກນັ້ນ, ຂໍ້ມູນນີ້ຈະຖືກກວດສອບສໍາລັບລາຍເຊັນທີ່ຮູ້ຈັກຂອງບັນຫາທີ່ອາດມີຫຼືຄວາມອ່ອນແອ. ລາຍເຊັນເຫຼົ່ານີ້ແມ່ນປະກອບດ້ວຍການລວມຈຸດຂໍ້ມູນທີ່ມີຈຸດປະສົງເພື່ອເປັນຕົວແທນຂອງບັນຫາທີ່ຮູ້ຈັກ. ຫຼາຍຈຸດຂໍ້ມູນຖືກໃຊ້, ເພາະວ່າຈຸດຂໍ້ມູນຫຼາຍທີ່ທ່ານໃຊ້, ການລະບຸຄວາມຖືກຕ້ອງຫຼາຍຂຶ້ນ. ມີຈໍານວນຈຸດຂໍ້ມູນທີ່ມີທ່າແຮງຫຼາຍ, ລວມທັງແຕ່ບໍ່ຈໍາກັດພຽງແຕ່:
• ເວີຊັ່ນຂອງລະບົບປະຕິບັດການ: ມັນບໍ່ແມ່ນເລື່ອງແປກທີ່ຊອບແວຈະມີຄວາມສ່ຽງຕໍ່ເວີຊັ່ນໜຶ່ງຂອງລະບົບ Operating System ແຕ່ບໍ່ແມ່ນໃນລຸ້ນອື່ນ. ດ້ວຍເຫດນີ້, ເຄື່ອງສະແກນຈະພະຍາຍາມກໍານົດ, ຢ່າງຖືກຕ້ອງເທົ່າທີ່ເປັນໄປໄດ້, ລະບົບປະຕິບັດການໃດທີ່ເປັນເຈົ້າພາບຄໍາຮ້ອງສະຫມັກເປົ້າຫມາຍ.
• ລະດັບ Patch: ຫຼາຍໆຄັ້ງ, ແຜ່ນແພັກສໍາລັບລະບົບປະຕິບັດການຈະຖືກປ່ອຍອອກມາ ທີ່ບໍ່ເພີ່ມຂໍ້ມູນເວີຊັນ, ແຕ່ຍັງຄົງປ່ຽນວິທີທີ່ຊ່ອງໂຫວ່ຕອບໂຕ້, ຫຼືແມ້ກະທັ້ງການກໍາຈັດຊ່ອງໂຫວ່ທັງໝົດ.
• ສະຖາປັດຕະຍະກຳຂອງໂປເຊດເຊີ: ແອັບພລິເຄຊັນຊອຟແວຫຼາຍອັນມີໃຫ້ກັບສະຖາປັດຕະຍະກຳຂອງໂປເຊດເຊີຫຼາຍຕົວເຊັ່ນ Intel x86, Intel x64, ຫຼາຍລຸ້ນຂອງ ARM, UltraSPARC, ແລະອື່ນໆ.
5https://en.wikipedia.org/wiki/Executable_space_protection#Windows 6https://en.wikipedia.org/wiki/Address_space_layout_randomization 7http://tools.kali.org/category/vulnerability-analysis 8http://tools.kali.org/category/web-applications
ໃນບາງກໍລະນີ, ຊ່ອງໂຫວ່ຈະມີຢູ່ໃນສະຖາປັດຕະຍະກໍາສະເພາະ, ດັ່ງນັ້ນການຮູ້ຂໍ້ມູນນ້ອຍໆນີ້ສາມາດສໍາຄັນສໍາລັບການລົງລາຍເຊັນທີ່ຖືກຕ້ອງ.
• ເວີຊັ່ນຊອບແວ: ເວີຊັນຂອງຊອບແວເປົ້າໝາຍແມ່ນໜຶ່ງໃນລາຍການພື້ນຖານທີ່ຕ້ອງໄດ້ຈັບເພື່ອລະບຸຈຸດອ່ອນ.
ເຫຼົ່ານີ້, ແລະຈຸດຂໍ້ມູນອື່ນໆຈໍານວນຫຼາຍ, ຈະຖືກນໍາໃຊ້ເພື່ອສ້າງເປັນລາຍເຊັນເປັນສ່ວນຫນຶ່ງຂອງການສະແກນຊ່ອງໂຫວ່. ຕາມທີ່ຄາດໄວ້, ຈຸດຂໍ້ມູນທີ່ກົງກັນຫຼາຍເທົ່າໃດ, ຄວາມຖືກຕ້ອງຂອງລາຍເຊັນຈະຫຼາຍຂຶ້ນ. ເມື່ອຈັດການກັບການຈັບຄູ່ລາຍເຊັນ, ທ່ານສາມາດມີຜົນໄດ້ຮັບທີ່ເປັນໄປໄດ້ທີ່ແຕກຕ່າງກັນ:
• True Positive: ລາຍເຊັນຖືກຈັບຄູ່ ແລະມັນຈັບເອົາຊ່ອງໂຫວ່ທີ່ແທ້ຈິງ. ຜົນໄດ້ຮັບເຫຼົ່ານີ້ແມ່ນສິ່ງທີ່ເຈົ້າຈະຕ້ອງຕິດຕາມແລະແກ້ໄຂ, ຍ້ອນວ່າເຫຼົ່ານີ້ແມ່ນລາຍການທີ່ບຸກຄົນທີ່ເປັນອັນຕະລາຍສາມາດເອົາປຽບເພື່ອທໍາຮ້າຍອົງການຂອງເຈົ້າ (ຫຼືລູກຄ້າຂອງເຈົ້າ).
• False Positive: ລາຍເຊັນຖືກຈັບຄູ່; ແນວໃດກໍ່ຕາມບັນຫາທີ່ກວດພົບບໍ່ແມ່ນຈຸດອ່ອນທີ່ແທ້ຈິງ. ໃນການປະເມີນ, ສິ່ງເຫຼົ່ານີ້ມັກຈະຖືກພິຈາລະນາເປັນສິ່ງລົບກວນແລະສາມາດຂ້ອນຂ້າງອຸກອັ່ງ. ທ່ານບໍ່ເຄີຍຕ້ອງການທີ່ຈະຍົກເລີກການບວກທີ່ແທ້ຈິງເປັນບວກທີ່ບໍ່ຖືກຕ້ອງໂດຍບໍ່ມີການກວດສອບຢ່າງກວ້າງຂວາງຫຼາຍ.
• True Negative: ລາຍເຊັນບໍ່ກົງກັນ ແລະບໍ່ມີຈຸດອ່ອນ. ນີ້ແມ່ນສະຖານະການທີ່ເຫມາະສົມ, ການກວດສອບວ່າຈຸດອ່ອນບໍ່ມີຢູ່ໃນເປົ້າຫມາຍ.
• False Negative: ລາຍເຊັນບໍ່ກົງກັນແຕ່ມີຈຸດອ່ອນທີ່ມີຢູ່. ບໍ່ດີເທົ່າທີ່ເປັນບວກທີ່ບໍ່ຖືກຕ້ອງແມ່ນ, ລົບທີ່ບໍ່ຖືກຕ້ອງແມ່ນຮ້າຍແຮງກວ່າເກົ່າ. ໃນກໍລະນີນີ້, ບັນຫາມີຢູ່ແຕ່ເຄື່ອງສະແກນບໍ່ໄດ້ກວດພົບມັນ, ດັ່ງນັ້ນທ່ານຈຶ່ງບໍ່ມີຕົວຊີ້ບອກເຖິງການມີຢູ່ຂອງມັນ.
ຕາມທີ່ທ່ານສາມາດຈິນຕະນາການ, ຄວາມຖືກຕ້ອງຂອງລາຍເຊັນແມ່ນມີຄວາມສໍາຄັນທີ່ສຸດສໍາລັບຜົນໄດ້ຮັບທີ່ຖືກຕ້ອງ. ຂໍ້ມູນທີ່ສະຫນອງໃຫ້ຫຼາຍ, ມີໂອກາດຫຼາຍທີ່ຈະມີຜົນໄດ້ຮັບທີ່ຖືກຕ້ອງຈາກການສະແກນລາຍເຊັນອັດຕະໂນມັດ, ຊຶ່ງເປັນເຫດຜົນທີ່ວ່າການສະແກນຄວາມຖືກຕ້ອງມັກຈະເປັນທີ່ນິຍົມ.
ດ້ວຍການສະແກນທີ່ຮັບຮອງຄວາມຖືກຕ້ອງ, ຊອບແວສະແກນຈະໃຊ້ຂໍ້ມູນປະຈໍາຕົວທີ່ສະໜອງໃຫ້ເພື່ອພິສູດຢືນຢັນເປົ້າໝາຍ. ນີ້ສະຫນອງລະດັບຄວາມເລິກຂອງການເບິ່ງເຫັນເຂົ້າໄປໃນເປົ້າຫມາຍກ່ວາຈະເປັນໄປໄດ້. ສໍາລັບຕົວຢ່າງ, ໃນການສະແກນປົກກະຕິ, ທ່ານພຽງແຕ່ສາມາດກວດພົບຂໍ້ມູນກ່ຽວກັບລະບົບທີ່ສາມາດໄດ້ມາຈາກການບໍລິການຟັງແລະຫນ້າທີ່ເຂົາເຈົ້າໃຫ້. ບາງຄັ້ງນີ້ສາມາດເປັນຂໍ້ມູນເລັກນ້ອຍ, ແຕ່ມັນບໍ່ສາມາດແຂ່ງຂັນກັບລະດັບແລະຄວາມເລິກຂອງຂໍ້ມູນທີ່ຈະໄດ້ຮັບຖ້າທ່ານພິສູດຢືນຢັນໃນລະບົບແລະທົບທວນຄືນຊອບແວທີ່ຕິດຕັ້ງທັງຫມົດ, ແຜ່ນທີ່ນໍາໃຊ້, ຂະບວນການແລ່ນ, ແລະອື່ນໆ. . ຄວາມກວ້າງຂອງຂໍ້ມູນນີ້ແມ່ນເປັນປະໂຫຍດສໍາລັບການກວດສອບຊ່ອງໂຫວ່ທີ່ຖ້າບໍ່ດັ່ງນັ້ນອາດຈະຖືກຄົ້ນພົບ.
ການປະເມີນຄວາມອ່ອນແອທີ່ປະຕິບັດໄດ້ດີສະແດງໃຫ້ເຫັນພາບລວມຂອງບັນຫາທີ່ອາດຈະເກີດຂຶ້ນໃນອົງການຈັດຕັ້ງແລະສະຫນອງການວັດແທກເພື່ອວັດແທກການປ່ຽນແປງໃນໄລຍະເວລາ. ນີ້ແມ່ນການປະເມີນທີ່ມີນ້ໍາຫນັກເບົາພໍສົມຄວນ, ແຕ່ເຖິງແມ່ນວ່າ, ອົງການຈັດຕັ້ງຈໍານວນຫຼາຍຈະດໍາເນີນການສະແກນຊ່ອງໂຫວ່ອັດຕະໂນມັດເປັນປະຈໍາໃນເວລານອກຊົ່ວໂມງເພື່ອຫຼີກເວັ້ນບັນຫາທີ່ອາດຈະເກີດຂຶ້ນໃນລະຫວ່າງມື້ທີ່ຄວາມພ້ອມຂອງການບໍລິການແລະແບນວິດແມ່ນສໍາຄັນທີ່ສຸດ.
ດັ່ງທີ່ໄດ້ກ່າວກ່ອນຫນ້ານີ້, ການສະແກນຊ່ອງໂຫວ່ຈະຕ້ອງກວດເບິ່ງຈຸດຂໍ້ມູນທີ່ແຕກຕ່າງກັນຫຼາຍເພື່ອໃຫ້ໄດ້ຜົນທີ່ຖືກຕ້ອງ. ທັງຫມົດຂອງການກວດສອບທີ່ແຕກຕ່າງກັນເຫຼົ່ານີ້ສາມາດສ້າງການໂຫຼດໃນລະບົບເປົ້າຫມາຍເຊັ່ນດຽວກັນກັບການບໍລິໂພກແບນວິດ. ແຕ່ຫນ້າເສຍດາຍ, ມັນເປັນການຍາກທີ່ຈະຮູ້ຢ່າງແນ່ນອນວ່າຈໍານວນຊັບພະຍາກອນຈະຖືກບໍລິໂພກຕາມເປົ້າຫມາຍຍ້ອນວ່າມັນຂຶ້ນກັບຈໍານວນການບໍລິການທີ່ເປີດແລະປະເພດ.
ການກວດສອບທີ່ຈະກ່ຽວຂ້ອງກັບການບໍລິການເຫຼົ່ານັ້ນ. ນີ້ແມ່ນຄ່າໃຊ້ຈ່າຍຂອງການດໍາເນີນການສະແກນ; ມັນ ກຳ ລັງຈະຍຶດເອົາຊັບພະຍາກອນຂອງລະບົບ. ມີຄວາມຄິດທົ່ວໄປກ່ຽວກັບຊັບພະຍາກອນທີ່ຈະບໍລິໂພກແລະການໂຫຼດທີ່ລະບົບເປົ້າຫມາຍສາມາດໃຊ້ເວລາໄດ້ເປັນສິ່ງສໍາຄັນໃນເວລາທີ່ແລ່ນເຄື່ອງມືເຫຼົ່ານີ້.
ການສະແກນກະທູ້ ເຄື່ອງສະແກນຄວາມອ່ອນແອສ່ວນໃຫຍ່ປະກອບມີທາງເລືອກທີ່ຈະຕັ້ງ ກະທູ້ຕໍ່ການສະແກນ, ເຊິ່ງເທົ່າກັບຈໍານວນຂອງການກວດສອບພ້ອມກັນທີ່ເກີດຂຶ້ນໃນເວລາດຽວ. ການເພີ່ມຈໍານວນນີ້ຈະມີຜົນກະທົບໂດຍກົງຕໍ່ການໂຫຼດໃນເວທີການປະເມີນເຊັ່ນດຽວກັນກັບເຄືອຂ່າຍແລະເປົ້າຫມາຍທີ່ທ່ານກໍາລັງພົວພັນກັບ. ນີ້ແມ່ນສິ່ງສໍາຄັນທີ່ຈະຮັກສາຢູ່ໃນໃຈເມື່ອທ່ານໃຊ້ເຄື່ອງສະແກນເຫຼົ່ານີ້. ມັນເປັນການລໍ້ລວງທີ່ຈະເພີ່ມທະວີການກະທູ້ເພື່ອໃຫ້ສໍາເລັດການສະແກນໄວຂຶ້ນແຕ່ຈື່ການເພີ່ມຂຶ້ນຢ່າງຫຼວງຫຼາຍທີ່ກ່ຽວຂ້ອງກັບການເຮັດເຊັ່ນນັ້ນ.
ການສະແກນກະທູ້ ເຄື່ອງສະແກນຄວາມອ່ອນແອສ່ວນໃຫຍ່ປະກອບມີທາງເລືອກທີ່ຈະຕັ້ງ ກະທູ້ຕໍ່ການສະແກນ, ເຊິ່ງເທົ່າກັບຈໍານວນຂອງການກວດສອບພ້ອມກັນທີ່ເກີດຂຶ້ນໃນເວລາດຽວ. ການເພີ່ມຈໍານວນນີ້ຈະມີຜົນກະທົບໂດຍກົງຕໍ່ການໂຫຼດໃນເວທີການປະເມີນເຊັ່ນດຽວກັນກັບເຄືອຂ່າຍແລະເປົ້າຫມາຍທີ່ທ່ານກໍາລັງພົວພັນກັບ. ນີ້ແມ່ນສິ່ງສໍາຄັນທີ່ຈະຮັກສາຢູ່ໃນໃຈເມື່ອທ່ານໃຊ້ເຄື່ອງສະແກນເຫຼົ່ານີ້. ມັນເປັນການລໍ້ລວງທີ່ຈະເພີ່ມທະວີການກະທູ້ເພື່ອໃຫ້ສໍາເລັດການສະແກນໄວຂຶ້ນແຕ່ຈື່ການເພີ່ມຂຶ້ນຢ່າງຫຼວງຫຼາຍທີ່ກ່ຽວຂ້ອງກັບການເຮັດເຊັ່ນນັ້ນ.
ເມື່ອການສະແກນຊ່ອງໂຫວ່ສຳເລັດແລ້ວ, ບັນຫາທີ່ຄົ້ນພົບໂດຍປົກກະຕິຈະເຊື່ອມຕໍ່ກັບຄືນໄປຫາຕົວລະບຸມາດຕະຖານອຸດສາຫະກຳ ເຊັ່ນ: ໝາຍເລກ CVE.9, EDB-ID10, ແລະຄໍາແນະນໍາຜູ້ຂາຍ. ຂໍ້ມູນນີ້, ພ້ອມກັບຄະແນນ CVSS ຈຸດອ່ອນ11, ຖືກນໍາໃຊ້ເພື່ອກໍານົດການຈັດອັນດັບຄວາມສ່ຽງ. ຄຽງຄູ່ກັບຂໍ້ເສຍທີ່ບໍ່ຖືກຕ້ອງ (ແລະຜົນບວກທີ່ບໍ່ຖືກຕ້ອງ), ການຈັດອັນດັບຄວາມສ່ຽງທີ່ຕົນເອງມັກແມ່ນບັນຫາທົ່ວໄປທີ່ຕ້ອງໄດ້ຮັບການພິຈາລະນາໃນເວລາທີ່ການວິເຄາະຜົນການສະແກນ.
ເນື່ອງຈາກເຄື່ອງມືອັດຕະໂນມັດໃຊ້ຖານຂໍ້ມູນຂອງລາຍເຊັນເພື່ອກວດຫາຊ່ອງໂຫວ່, ການບ່ຽງເບນເລັກນ້ອຍຈາກລາຍເຊັນທີ່ຮູ້ຈັກສາມາດປ່ຽນແປງຜົນໄດ້ຮັບ ແລະເຊັ່ນດຽວກັນ ຄວາມຖືກຕ້ອງຂອງຊ່ອງໂຫວ່ທີ່ຮັບຮູ້ໄດ້. ບວກທີ່ບໍ່ຖືກຕ້ອງ ໝາຍ ຄວາມອ່ອນແອທີ່ບໍ່ມີຢູ່, ໃນຂະນະທີ່ທາງລົບທີ່ບໍ່ຖືກຕ້ອງແມ່ນຕາບອດຢ່າງມີປະສິດທິພາບແລະບໍ່ໄດ້ລາຍງານມັນ. ດ້ວຍເຫດຜົນນີ້, ເຄື່ອງສະແກນມັກຈະຖືກກ່າວເຖິງວ່າພຽງແຕ່ດີເທົ່າກັບພື້ນຖານກົດລະບຽບລາຍເຊັນຂອງມັນ. ສໍາລັບເຫດຜົນນີ້, ຜູ້ຂາຍຈໍານວນຫຼາຍສະຫນອງຊຸດສັນຍາລັກຫຼາຍ: ຊຸດຫນຶ່ງທີ່ອາດຈະບໍ່ເສຍຄ່າກັບຜູ້ໃຊ້ໃນບ້ານແລະອີກຊຸດຫນຶ່ງທີ່ມີລາຄາແພງຫຼາຍທີ່ສົມບູນກວ່າ, ເຊິ່ງໂດຍທົ່ວໄປແລ້ວແມ່ນຂາຍໃຫ້ກັບລູກຄ້າຂອງບໍລິສັດ.
ບັນຫາອື່ນທີ່ມັກຈະພົບກັບການສະແກນຄວາມສ່ຽງແມ່ນຄວາມຖືກຕ້ອງຂອງການຈັດອັນດັບຄວາມສ່ຽງທີ່ແນະນໍາ. ການຈັດອັນດັບຄວາມສ່ຽງເຫຼົ່ານີ້ຖືກກໍານົດບົນພື້ນຖານທົ່ວໄປ, ພິຈາລະນາປັດໃຈທີ່ແຕກຕ່າງກັນເຊັ່ນ: ລະດັບສິດທິພິເສດ, ປະເພດຂອງຊອບແວ, ແລະການຢືນຢັນກ່ອນຫຼືຫຼັງການຢືນຢັນ. ອີງຕາມສະພາບແວດລ້ອມຂອງທ່ານ, ການຈັດອັນດັບເຫຼົ່ານີ້ອາດຈະໃຊ້ໄດ້ຫຼືອາດຈະບໍ່ຖືກຍອມຮັບດັ່ງນັ້ນພວກເຂົາບໍ່ຄວນຖືກຍອມຮັບໂດຍຕາບອດ. ມີພຽງແຕ່ຜູ້ທີ່ມີຄວາມຊໍານິຊໍານານໃນລະບົບແລະຈຸດອ່ອນເທົ່ານັ້ນທີ່ສາມາດກວດສອບການຈັດອັນດັບຄວາມສ່ຽງໄດ້ຢ່າງຖືກຕ້ອງ.
ໃນຂະນະທີ່ບໍ່ມີຂໍ້ຕົກລົງທົ່ວໄປກ່ຽວກັບການຈັດອັນດັບຄວາມສ່ຽງ, NIST Special publication 800-3012 ແນະນໍາໃຫ້ເປັນພື້ນຖານສໍາລັບການປະເມີນການຈັດອັນດັບຄວາມສ່ຽງແລະຄວາມຖືກຕ້ອງຂອງພວກມັນໃນສະພາບແວດລ້ອມຂອງທ່ານ. NIST SP 800-30 ກໍານົດຄວາມສ່ຽງທີ່ແທ້ຈິງຂອງຊ່ອງໂຫວ່ທີ່ຄົ້ນພົບເປັນ ການປະສົມປະສານຂອງຄວາມເປັນໄປໄດ້ຂອງການເກີດຂື້ນແລະຜົນກະທົບທີ່ເປັນໄປໄດ້.
9https://cve.mitre.org 10https://www.exploit-db.com/about/ 11https://www.first.org/cvss
12http://csrc.nist.gov/publications/PubsSPs.html#800-30